L'errore più comune nell'utilizzo di strumenti di IA sul luogo di lavoro è che i dipendenti inseriscono dati personali in uno strumento come ChatGPT, Copilot o una chatbot simile, senza che l'azienda sappia che ciò sta accadendo. Un CV, un fascicolo clienti o uno scambio di e-mail viene riassunto o riscritto velocemente, mentre nessuno ha verificato dove finiscono successivamente questi dati, chi può visualizzarli e se esiste un accordo sul trattamento dei dati con il fornitore dello strumento.
Non è un dettaglio da poco. Non appena uno strumento tratta dati personali, ad esso si applicano gli stessi principi fondamentali di qualsiasi altra applicazione SaaS: deve esserci una base legale, il trattamento deve essere registrato nel registro dei trattamenti, e se il fornitore agisce come responsabile del trattamento, deve essere disponibile un accordo sul trattamento dei dati. Con molti strumenti di IA gratuiti, quest'ultimo manca, oppure i termini stabiliscono che l'input può essere utilizzato per addestrare il modello. Questo varia notevolmente a seconda del fornitore e della forma di abbonamento, ed è esattamente il motivo per cui è necessario un controllo preliminare.
Come questo va male nella pratica
Nella maggior parte dei casi, il problema non nasce dalla negligenza, ma dall'ignoranza. Un responsabile delle risorse umane incolla una lettera di candidatura in una chatbot per migliorare un testo di annuncio di lavoro. Un project manager fa riassumere un'e-mail di un cliente. Nessuno di loro pensa al GDPR, perché sembra uno strumento piuttosto che un trattamento di dati personali. L'azienda stessa spesso non ha una panoramica degli strumenti di IA utilizzati quotidianamente, per non parlare se questi strumenti sono registrati nel registro dei trattamenti o se figurano in un elenco di software approvato.
Un secondo errore ricorrente è che le aziende che dispongono di una politica di IA non collegano questa politica al loro registro dei trattamenti e agli accordi sul trattamento dei dati esistenti. Lo strumento di IA viene quindi trattato separatamente dal resto della documentazione GDPR, mentre in sostanza si tratta della stessa questione che si pone anche per qualsiasi altro strumento SaaS: chi tratta quali dati, per quale scopo e su quale base. la knowledge base con spiegazioni per argomento tratta questa questione anche per altri software di uso comune, e mostra che gli strumenti di IA in pratica non sono un'eccezione alla sistematica che già si applica ad altri fornitori.
Perché può riguardare dati personali, anche se non è l'intenzione
Il GDPR adotta una definizione ampia di dati personali: qualsiasi informazione riconducibile a una persona fisica identificabile. Un nome, un numero di cliente, una foto, una nota telefonica o una combinazione di dati che insieme identificano qualcuno, rientra in questa categoria. Quando si utilizzano strumenti di IA, non si tratta quindi solo di dati personali espliciti come un CV, ma anche di frammenti nascosti in un documento più ampio, come un nome in un allegato che viene copiato insieme.
L'Autorità garante della protezione dei dati personali e l'EDPB pubblicano linee guida sulla gestione dell'IA e dei dati personali, e queste si evolvono; ciò che oggi conta come interpretazione comune può essere precisato in alcuni aspetti. Questo è uno dei motivi per cui una procedura fissa all'interno dell'azienda offre più certezza rispetto ad accordi occasionali tra i dipendenti.
Come evitare questo errore
Il nucleo della soluzione è semplice da formulare, anche se l'attuazione richiede tempo: mappare quali strumenti di IA vengono utilizzati all'interno dell'azienda e determinare per ogni strumento se vi vengono immessi dati personali. Se è questo il caso, lo strumento deve essere registrato nel registro dei trattamenti e, proprio come con altri fornitori SaaS, deve essere verificato se il fornitore agisce come responsabile del trattamento e se è disponibile un accordo sul trattamento dei dati. come i dati sono protetti presso i responsabili del trattamento fornisce una panoramica dei punti rilevanti in questo contesto.
Inoltre, una breve istruzione concreta ai dipendenti è più efficace di un esteso documento di politica che nessuno legge: quali strumenti sono consentiti, quali dati possono essere inseriti o meno, e a chi il dipendente deve segnalare in caso di dubbi. Quest'ultimo passaggio è forse il più importante, perché la maggior parte degli errori non nasce dalla cattiva volontà ma dall'assenza di un punto di contatto chiaro.
Se è già accaduto
Se una grande quantità di dati personali è stata inserita senza intenti in uno strumento di intelligenza artificiale senza che esista un contratto di elaborazione dei dati, è consigliabile valutare se ciò si qualifica come un evento che richiede una reazione, ad esempio nel contesto dell'obbligo di segnalazione delle violazioni dei dati personali. in poche domande ottenere una prima indicazione può fornire un primo orientamento al riguardo, indipendentemente dalla questione se la segnalazione sia necessaria in un caso concreto; tale valutazione spetta al titolare del trattamento stesso o a un legale.
Desiderate per la vostra azienda un riepilogo di quali strumenti, incluse le applicazioni di intelligenza artificiale, richiedono attenzione? Effettuate la scansione rapida gratuita o leggete gli argomenti in le domande frequenti su GDPR e software per vedere cosa richiede la tua situazione.