Sei domande da porre a qualsiasi fornitore di IA prima di affidargli i dati dei clienti

Molte aziende esitano a implementare l'IA per timori legati alla privacy, spesso a ragione. La buona notizia: non serve una laurea in legge per individuare i fornitori affidabili. Ecco le sei domande che dovreste porre a ogni fornitore prima di trasferire qualsiasi dato dei clienti. Chi risponde in modo evasivo ha già dato la sua risposta.

1. «È previsto un accordo sul trattamento dei dati (DPA)?»

In base all'articolo 28 del GDPR, è obbligatorio stipulare un contratto in cui il fornitore garantisca di trattare i dati esclusivamente secondo le vostre istruzioni. Senza questo accordo, non deve essere trasmesso alcun dato dei clienti.

2. «Dove risiedono i dati e chi altri è coinvolto?»

Chiedete informazioni dettagliate sui data center e sui sub-responsabili del trattamento. L'hosting e la conservazione dei dati all'interno dell'UE semplificano notevolmente il quadro normativo.

3. «I miei dati vengono utilizzati per l'addestramento dei modelli?»

La risposta corretta è no. I dati dei vostri clienti appartengono a voi, non al modello dell'IA del fornitore.

4. «L'IA ha accesso a più informazioni rispetto al collaboratore che effettua la richiesta?»

Una domanda fondamentale, spesso trascurata. Un'IA onnisciente potrebbe inavvertitamente divulgare ai colleghi informazioni riservate a cui non dovrebbero avere accesso, come caselle di posta private o calendari personali. Per le risposte generate dall'IA devono applicarsi gli stessi permessi e privilegi previsti per l'utente umano.

5. «Quali azioni può compiere l'IA in autonomia e posso modificare questi permessi?»

Per ogni processo aziendale deve essere possibile configurare se l'IA debba limitarsi a suggerire, agire solo previa approvazione o lavorare in completa autonomia. Tali impostazioni devono poter essere revocate in qualsiasi momento.

6. «È possibile tracciare e verificare ogni singola operazione?»

Un log dettagliato che certifichi cosa l'IA ha fatto, quando e perché è il fondamento del controllo aziendale e della gestione corretta delle richieste di accesso degli interessati.

E al di fuori dell'Unione Europea?

Nel Regno Unito si applica lo UK GDPR con principi analoghi, negli Stati Uniti normative statali come il California Consumer Privacy Act e in Canada il PIPEDA. Queste sei domande rappresentano ovunque un ottimo punto di partenza, pur non sostituendo una consulenza legale formale.