Quali dati non inserire mai in ChatGPT e negli strumenti AI: guida per agenzie e team creativi

Posso inserire informazioni del cliente su sistemi di AI?

La legge sull’AI segue un approccio basato sul rischio: i sistemi di AI possono infatti essere rischiosi. È quindi fondamentale un’adeguata regolamentazione, anche interna per evitare la violazione dei diritti fondamentali delle persone coinvolte ma anche di diritti di proprietà intellettuale e segreti industriali.

Ci sono infatti tanti aspetti da considerare e all’interno di questo articolo proviamo a definire quelli principali:

• I dati personali all’interno dei sistemi di intelligenza artificiale
• Le informazioni confidenziali e i divieti di comunicazione e diffusione tramite sistemi di AI
• I segreti commerciali e la protezione della proprietà industriale del cliente
• I principi di base di diligenza professionale e correttezza verso il cliente

AI ACT e GDPR: privacy e prompt

Ritengo importante fare alcune premesse che possono esserti utile per una corretta governance dei dati personali all’interno della tua agenzia di comunicazione. Tutti gli aspetti relativi al data management e ai processi informativi, sono temi per noi molto importanti nel fornire consulenza strutturale all’agenzia di comunicazione.

Mi spiego meglio.

L’intelligenza artificiale dipende da dati (che possono essere personali) ed informazioni (che possono essere anche confidenziali). Il presupposto per lo sviluppo e l’utilizzo è questo. Il Garante ci dice che la maggior parte di questi dati sono personali e che possono essere ad esempio, comandi vocali, riconoscimento facciale, modelli di navigazione, interazioni con chatbot, sistemi di AI che cercano di simulare il più possibile comportamenti umani. Diventa quindi fondamentale governare all’interno delle nostre aziende digitali in modo adeguato l’utilizzo dell’AI affrontando la modalità di trattamento dei dati personali.

Non ti voglio parlare del tema dei dati acquisiti da parte dei sistemi di intelligenza artificiale (le autorità sono intervenute direttamente con riguardo ad esempio ai sistemi ChatGPT, Replika e DeepSeek). Voglio invece focalizzarmi sulle informazioni che noi andiamo a fornire come istruzioni di input. Oggi che abbiamo l’AI ACT non possiamo ceratemene dimenticarci di tutto il lavoro fatto con il GDPR.

Questo anche perchè lo scopo del Regolamento AI ACT è quello di migliorare il funzionamento del mercato interno istituendo un quadro giuridico uniforme in particolare per quanto riguarda lo sviluppo, l’immissione sul mercato, la messa in servizio, l’uso di sistemi d’intelligenza artificiale ma per fare questo, garantendo al contempo un livello elevato di protezione della salute, della sicurezza, dei diritti fondamentali sanciti dalla Carte dei diritti fondamentali dell’Unione Europea.

E l’articolo 8 della Carta dei diritti fondamentali dell’Unione Europea recita: “Ogni persona ha diritto alla protezione dei dati di carattere personale che la riguardano.”

Vediamo quindi come possiamo bilanciare ed integrare il proficuo utilizzo di sistemi di AI con la protezione dei dati personali del cliente e delle informazioni condivise.

Le regole legali di base: quali informazioni non condividere con AI?

Come saprai, nella fornitura del servizio al tuo cliente, come agenzia di comunicazione o come professionista creativo, la tua diligenza deve valutarsi con riguardo alla natura dell’attività esercitata (articolo 1176 comma 2 codice civile) ossia una diligenza professionale, intesa come cura, attenzione, perizia che il cliente può ragionevolmente aspettarsi rivolgendosi ad un soggetto che svolge professionalmente un’attività d’impresa.

Ed ecco che nel concetto di diligenza, la cura e l’attenzione, oltre che di correttezza e buona fede impongono una corretta valutazione in relazione ai contenuti da condividere o meno tramite sistemi d’intelligenza artificiale.

Inoltre ci sono i segreti commerciali, ossia le informazioni aziendali e le esperienze tecnico-industriali che nel loro insieme o nella precisa configurazione e combinazione dei loro elementi generalmente non sono note o facilmente accessibili agli esperti ed agli operatori del settore, che hanno valore economico, e che sono sottoposte a misure da ritenersi ragionevolmente adeguate a mantenerle segrete (ad esempio richiesta di sottoscrivere accordi o trattamento con misure di sicurezza).

Questo dovrebbe iniziare ad aiutarti ad orientare le scelte. Chiaramente per una corretta impostazione dei flussi informativi, dovrai dotarti di un impianto stabile. Questo dal punto di vista generale, normativo, poi ci sono gli obblighi contrattuali assunti nei confronti del cliente finale.

Gli obblighi contrattuali in materia di AI: divieti imposti da cliente

Ti ho già parlato degli obblighi contrattuali con riguardo all’utilizzo di sistemi di intelligenza artificiale, nei confronti dei clienti.

All’interno di questo articolo ti ho scritto per bene, quali sono gli obblighi che il tuo cliente può importi con riguardo all’utilizzo di sistemi di intelligenza artificiale. Si tratta di una negoziazione e quindi, anche entro i limiti delle possibilità (alcuni clienti non ammettono modifiche ai loro contratti) potrai valutare se accettare o meno.

Ad esempio, il tuo cliente può importi un radicale divieto di utilizzare sistemi di intelligenza artificiale, oppure può chiederti una preventiva autorizzazione all’uso dei sistemi.

O ancora, può chiederti di poter verificare l’elenco dei sistemi in uso con riguardo agli abbonamenti attivati per verificare la rispondenza anche in relazione al trattamento dei dati edelle informazioni.

Potrebbe anche richiederti di conservare le istruzioni di input per il tempo di durata del contratto. Sicuramente (per esperienza) imporrà delle responsabilità con riferimento ai contenuti generati e chiederà delle garanzie (che non sempre potrai dare).

Il cliente può richiedere un generico complessivo rispetto dell’AI ACT e del GDPR nell’uso dei sistemi di AI e da parte dei sistemi in uso.

Posso caricare un contratto all’interno di un sistema di AI?

Il mio suggerimento è sempre quello di non utilizzare i sistemi di intelligenza artificiale per l’elaborazione di documenti ufficiali. è un utile strumento che può esserti utile per l’elaborazione di documenti di base, ma è fondamentale la revisione umana per evitare delle situazioni che possono essere davvero gravi.

Purtroppo, alcune volte mi vengono sottoposti dei documenti, elaborati tramite sistemi di intelligenza artificiale, che oltre a non essere corretti giuridicamente, pongono il mio cliente in una situazione di carenza di protezione e lo espongono a responsabilità maggiori rispetto a quelle che il codice civile prevederebbe.

Attenzione quindi non solo a cosa carichiamo ma anche a cosa richiediamo di fare al momento dell’utilizzo dei sistemi.

Come gestire materiali coperti da NDA? L’accordo di riservatezza

Ci sono poi alcuni dati che anche se non sono personali, possono avere ancora più importanza per un’azienda e si tratta delle informazioni confidenziali ossia di quei contenuti che vengono condivisi dall’azienda cliente o fornitore e per i quali viene richiesto espressamente la riservatezza.

L’inserimento di queste informazioni all’interno di sistemi di AI, se non previamente autorizzato e non attestato anche in punto di sicurezza informatica e di misure tecniche e organizzative, può costituire una violazione all’impegno alla riservatezza delle informazioni e un grave danno all’azienda in relazione alla tipologia di informazioni condivise.

Quindi, all’interno dell’agenzia di comunicazione, nel momento in cui per quel cliente si è sottoscritto un accordo di riservatezza, si deve sapere che le informazioni non possono essere utilizzate all’interno del sistema di intelligenza artificiale o è fondamentale adottare gli accorgimenti necessari per una corretta anonimizzazione.

Come le aziende possono garantire la conformità GDPR nell’implementazione dell’IA?

Uno dei nodi fondamentali affrontati anche dal Garante è l’utilizzo dei dati personali come addestramento degli algoritmi. Ci si è interrogati se l’addestramento è una finalità che richiede il consenso esplicito o se rientra nel legittimo interesse. Non è affatto una banalità in quanto un’azione positiva negata (il consenso) o un’impostazione predefinita (il legittimo interesse) cambiano anche le possibilità di sviluppo di modelli di business. Ad oggi i sistemi di AI nei termini e condizioni dei servizi in abbonamento prevedono che i contenuti di input non vengano utilizzati per l’addestramento. É però un nodo di fondamentale importanza da verificare.

Un obbligo sicuramente gravante su un’agenzia di comunicazione (come responsabile del trattamento dei dati verso il cliente finale) è di andare ad analizzare i sistemi di intelligenza artificiale che si intende utilizzare per valutarli anche sotto il profilo del trattamento dei dati personali (trasferimento dei dati, tempi di conservazione, finalità di trattamento, terzi a cui vengono comunicati, ecc).

Caricare dati personali su un LLM? Linee guida per la compliance

Non c’è un divieto assoluto, previsto dall’AI ACT o dal GDPR, di inserimento di dati personali all’interno di sistemi di IA. C’è invece un obbligo giuridico a carico della tua agenzia di comunicazione, di fornire al cliente informazioni complete relative a questa intenzione e l’obbligo di acquisire informazioni in relazione al trattamento dei dati personali tramite sistema di AI.

Puoi iniziare da una lista di domande: coinvolgi il responsabile dell’area IT e i referenti delle aree.

1. Quali sono i dati personali, del cliente, che vuoi trattare?
2. Per quali finalità hai acquisto i dati personali del cliente?
3. Il cliente ha autorizzato il trattamento dei dati personali anche attraverso sistemi di AI?
4. Hai fornito un’informativa che prevede la comunicazione dei dati a sistemi di AI?
5. L’informativa prevede il trasferimento dei dati extra UE?
6. Il modello di AI ti fornisce un’informativa conforme a GDPR?
7. Qual è la giurisdizione del modello di AI?
8. Come vengono gestiti i dati personali immessi dal modello di AI?
9. Il modello di AI diventa titolare del trattamento con riguardo ai dati immessi?
10. È stata compiuta una valutazione d’impatto con riguardo all’uso del modello AI (sia con riguardo all’AI ACT sia con riguardo al GDPR?

Ti possiamo poi a definire nel concreto le corrette modalità di gestione del dato personale per garantire una compliance all’AI ACT e al GDPR in relazione alla tua attività d’impresa.

Foto di fauxels