L’intelligenza artificiale permette alle aziende di migliorare l’efficienza, automatizzare attività e velocizzare i processi. Il suo utilizzo richiede però attenzione alla sicurezza dei dati, soprattutto quando vengono elaborati documenti riservati o informazioni personali.
Come utilizzare l’AI proteggendo le informazioni aziendali? In questa guida vediamo quali rischi considerare, cosa prevede il GDPR e quali misure adottare per un utilizzo più sicuro e consapevole.
Quali rischi comporta l’utilizzo dell’AI per i dati aziendali?
I principali rischi da valutare sono:
- condivisione involontaria di dati personali: un dipendente potrebbe inserire in un prompt nominativi, recapiti, informazioni dei clienti o altri dati che non dovrebbero essere condivisi con quel servizio.
- esposizione di informazioni riservate: contratti, offerte commerciali, dati finanziari e documenti strategici possono richiedere livelli di protezione specifici.
- gestione poco trasparente dei dati: se le condizioni del servizio non vengono verificate, l’azienda potrebbe non conoscere adeguatamente le modalità di conservazione, accesso o utilizzo delle informazioni.
- accessi non autorizzati: collegamenti tra sistemi aziendali e strumenti AI possono introdurre nuovi punti di accesso da proteggere.
- risultati inattesi: informazioni generate dall’AI che richiedono una verifica prima di essere utilizzate.
Per esempio, prima di caricare un contratto in un assistente AI per estrarne le clausole principali, l’azienda dovrebbe verificare se lo strumento è autorizzato per quell’utilizzo e quali condizioni si applicano al trattamento delle informazioni contenute nel documento.
ChatGPT è conforme al GDPR? Cosa devono sapere le aziende?
ChatGPT e altri strumenti AI non sono automaticamente conformi o non conformi al GDPR in ogni situazione. La valutazione dipende dal servizio utilizzato, dalla configurazione e dal trattamento dei dati personali effettuato dall’azienda.
Quando vengono trattati dati personali, l’organizzazione deve verificare la liceità del trattamento, le finalità, la minimizzazione dei dati, la trasparenza e le misure di sicurezza applicabili.
In particolare, è necessario considerare:
- Finalità e base giuridica: perché vengono trattati i dati e su quale presupposto?
- Minimizzazione dei dati: è possibile raggiungere lo stesso obiettivo utilizzando meno informazioni?
- Trasparenza: gli interessati ricevono le informazioni previste dalla normativa?
- Sicurezza: sono presenti misure adeguate a proteggere i dati?
- Ruoli e responsabilità: sono chiari i compiti dell’azienda e dei fornitori coinvolti?
A seconda del trattamento, possono essere necessari ulteriori adempimenti, come la valutazione d’impatto sulla protezione dei dati (DPIA), quando ricorrono le condizioni previste dal GDPR.
È importante distinguere inoltre i dati personali dalle informazioni aziendali riservate. Un documento strategico può richiedere protezione anche se non contiene dati personali; in quel caso entrano in gioco anche la riservatezza aziendale, gli obblighi contrattuali e le politiche di sicurezza.
Quali dati non bisogna inserire negli strumenti di AI?
Non esiste un elenco universale di dati vietati in ogni strumento AI. La scelta dipende dal contesto, dalla finalità e dalle garanzie offerte dal servizio.
Richiedono attenzione particolare:
- password, credenziali e chiavi di accesso;
- dati personali non necessari per l’attività;
- informazioni sanitarie e altre categorie particolari di dati;
- contratti riservati e documenti contenenti informazioni sui clienti;
- dati finanziari, commerciali o strategici non destinati alla divulgazione;
- informazioni soggette a obblighi contrattuali o professionali di riservatezza.
Prima di utilizzare questi dati, verifica che lo strumento AI sia adeguato e autorizzato per il contesto aziendale previsto. Condividi solo le informazioni necessarie, rimuovendo quelle superflue o utilizzando dati sintetici durante le prove.
Come scegliere uno strumento di AI sicuro per l’azienda?
La scelta di uno strumento AI dovrebbe comprendere una valutazione delle funzionalità, delle condizioni contrattuali e delle modalità di gestione dei dati.
Le aziende dovrebbero verificare almeno quattro aspetti.
1. Utilizzo e conservazione dei dati
È importante capire quali dati vengono raccolti, per quanto tempo sono conservati e se possono essere utilizzati per migliorare o addestrare i modelli. Le condizioni possono variare tra servizi consumer, piani aziendali e API: occorre quindi consultare la documentazione aggiornata del prodotto effettivamente utilizzato.
2. Infrastruttura e localizzazione
È utile verificare dove vengono elaborati e conservati i dati, quali soggetti possono accedervi e se sono previsti trasferimenti verso Paesi al di fuori dello Spazio economico europeo. La localizzazione, da sola, non determina la conformità, ma è un elemento della valutazione complessiva.
3. Controlli di sicurezza e accesso
Autenticazione, gestione delle autorizzazioni, registrazione delle attività e separazione degli ambienti possono contribuire a ridurre i rischi. Le misure necessarie dipendono dal tipo di dati e dal livello di esposizione del processo.
4. Condizioni contrattuali e ruoli
L’azienda deve comprendere il ruolo del fornitore nel trattamento dei dati personali, verificare gli accordi applicabili e valutare le garanzie offerte. Se il fornitore agisce come responsabile del trattamento, occorre verificare gli elementi richiesti dall’articolo 28 del GDPR.
La scelta dovrebbe basarsi su requisiti concreti e verificabili, non soltanto su dichiarazioni generiche di sicurezza o sull’ampiezza delle funzionalità offerte.
Come proteggere i dati personali quando si utilizza l’AI?
Per utilizzare l’AI in modo più sicuro, è importante adottare misure organizzative e tecniche adeguate ai rischi:
- Definire una policy aziendale: stabilire quali strumenti utilizzare, per quali attività e quali dati è possibile condividere.
- Classificare le informazioni: distinguere dati pubblici, interni, riservati e personali per individuare le misure di protezione necessarie.
- Formare i dipendenti: sensibilizzare sui rischi legati ai prompt, al caricamento dei documenti e alla condivisione dei risultati.
- Gestire accessi e autorizzazioni: limitare l’accesso a dati e funzionalità in base al ruolo, verificando anche i permessi quando l’AI è integrata con sistemi aziendali.
- Applicare misure di protezione: valutare, in base al caso d’uso, minimizzazione, pseudonimizzazione, mascheramento e controlli prima della trasmissione dei dati ai modelli.
- Verificare i risultati: prevedere controlli umani per individuare errori o informazioni non attendibili, soprattutto quando le risposte incidono su decisioni importanti o sul trattamento di dati personali.
Quali controlli effettuare prima di adottare l’IA in azienda?
Prima di introdurre uno strumento AI in un processo operativo, può essere utile utilizzare una checklist di valutazione.
- Quali dati verranno trattati? Identificare dati personali, informazioni riservate e categorie particolari di dati.
- Per quale finalità saranno utilizzati? Definire il risultato atteso e verificare quali informazioni sono effettivamente necessarie.
- Quale servizio verrà utilizzato? Valutare le condizioni, le funzionalità e le garanzie del fornitore.
- Dove saranno elaborati i dati? Verificare conservazione, accessi e possibili trasferimenti internazionali.
- Chi potrà accedere alle informazioni? Definire ruoli, autorizzazioni e controlli sugli utenti.
- Quali misure di sicurezza saranno applicate? Valutare controlli tecnici e organizzativi in funzione del rischio.
- Chi controllerà i risultati? Stabilire quando è necessaria la verifica umana e come gestire eventuali errori.
Questa valutazione dovrebbe essere aggiornata quando cambiano il servizio, i dati trattati o le modalità di utilizzo. Un progetto pilota con un perimetro limitato può aiutare a individuare criticità prima di estendere la soluzione a tutta l’organizzazione.
Che cos’è un AI Privacy Gateway e quando può essere utile?
Un AI Privacy Gateway è una componente tecnologica che può essere inserita tra i sistemi aziendali e i modelli di intelligenza artificiale per applicare controlli sui dati scambiati.
In base alla soluzione implementata, può individuare determinati dati, applicare regole di protezione e controllare le informazioni prima della loro trasmissione al modello AI. Questo approccio può essere utile quando i processi aziendali richiedono di utilizzare modelli esterni su documenti o informazioni che necessitano di protezione.
Il Gateway non sostituisce la valutazione GDPR, la scelta corretta dei fornitori, le policy aziendali o le altre misure di sicurezza necessarie: è uno strumento tecnico che può contribuire ad un sistema di protezione più ampio.
Per approfondire il funzionamento della soluzione proposta da IBC, leggi anche: Come usare l’intelligenza artificiale in sicurezza?
Come adottare l’AI in azienda senza trascurare la sicurezza?
Un utilizzo consapevole dell’AI parte dalla valutazione dei processi e dall’adozione di controlli adeguati alla protezione dei dati.
IBC supporta le aziende nell’individuare soluzioni di intelligenza artificiale coerenti con le proprie esigenze operative.
Vuoi integrare l’AI nei processi aziendali senza trascurare la sicurezza dei dati?
Parla con IBC per valutare le esigenze della tua organizzazione e individuare le soluzioni più adatte.
