L'AI e i dati della tua azienda: cosa esce davvero
La domanda che blocca metà dei progetti
Arriva sempre, e arriva presto: "ma i nostri dati dove finiscono?". Spesso la pongono le persone più attente dell'azienda, ed è una domanda legittima che merita una risposta precisa invece di una rassicurazione generica.
Il problema è che di solito ottiene due risposte cattive. La prima è minimizzare — "stai tranquillo, è tutto sicuro" — che non convince nessuno e a ragione. La seconda è il blocco totale: niente AI su nessun dato, che è una posizione difendibile solo finché non si guarda cosa fanno già le persone con gli strumenti aperti nel browser.
La risposta utile sta nel mezzo e richiede di distinguere due cose che vengono sempre confuse: cosa fa la tecnologia e cosa dice il contratto.
Cosa succede tecnicamente
Quando un sistema manda un testo a un modello di linguaggio, sta facendo una chiamata a un servizio: il testo viene inviato, elaborato, e torna indietro una risposta. Nel viaggio il contenuto è cifrato come qualsiasi altra comunicazione verso un servizio esterno — non è quello il punto della preoccupazione.
Le domande che contano sono altre tre.
Il contenuto viene conservato, e per quanto? Molti servizi trattengono le richieste per un periodo limitato, tipicamente per verifiche di abuso, e poi le cancellano. È un'informazione che sta scritta nelle condizioni del servizio e va letta, non dedotta.
Viene usato per addestrare modelli? È la paura più diffusa ed è anche la più facile da chiarire. Le offerte pensate per le aziende in genere lo escludono in modo esplicito; alcune offerte gratuite o per privati no. La differenza non è tecnica, è contrattuale, ed è la ragione principale per cui uno strumento aperto nel browser da un dipendente e la stessa tecnologia integrata in un sistema aziendale non sono affatto la stessa cosa.
Dove avviene l'elaborazione? Contano il paese e il quadro giuridico. Diverse offerte permettono di scegliere una regione europea; per alcuni tipi di dato è un requisito, per altri no.
Nessuna di queste tre risposte si indovina: si trova nelle condizioni del fornitore scelto, e va messa per iscritto nel progetto.
Le opzioni, in ordine di controllo
Il servizio pubblico, usato dalle persone. Una scheda del browser, un abbonamento personale. È la modalità con meno controllo e — va detto — è quella che sta già succedendo nella maggior parte delle aziende, senza che nessuno l'abbia decisa. Il rischio non è teorico: è che qualcuno incolli un contratto o un elenco di clienti in uno strumento di cui l'azienda non sa nulla.
Un servizio con garanzie contrattuali, integrato nei vostri sistemi. È la scelta più comune per un progetto serio: condizioni aziendali che escludono l'addestramento, regione di elaborazione scelta, chiamate fatte dal vostro software e non dalle persone, registro di cosa è stato inviato. Il controllo è buono e il costo di realizzazione resta ragionevole.
Un modello che gira sulla vostra infrastruttura. Il dato non esce mai. È l'opzione giusta quando il tipo di informazione lo impone, o quando un cliente o un settore regolato lo richiede. Costa di più — in macchine e in gestione continuativa — e i modelli utilizzabili in questo modo, a parità di dimensioni, sono meno capaci di quelli più grandi disponibili come servizio. È una scelta da fare per un motivo preciso, non per prudenza generica.
Il criterio: quali dati, non quale tecnologia
La decisione diventa semplice quando si smette di ragionare per strumenti e si ragiona per categorie di informazione. In pratica basta una tabella su tre righe, fatta con chi in azienda conosce i dati.
- Dati che non sono riservati — testi pubblici, descrizioni di prodotto, documentazione già diffusa, contenuti di marketing. Nessun vincolo particolare: qui si può partire subito e senza discussioni.
- Dati aziendali riservati — offerte, capitolati, listini, corrispondenza con i clienti, documenti interni. È la categoria più grande e quella dove si crea più valore. Richiede un servizio con condizioni aziendali e un progetto fatto come si deve.
- Dati personali o sensibili — informazioni su persone identificabili, dati sanitari, tutto ciò che ricade sotto regole specifiche. Qui la decisione non è tecnica e non spetta al fornitore: va presa con chi segue la privacy in azienda, prima di scrivere una riga di codice.
Quasi sempre, quando si compila questa tabella, si scopre che i primi due gruppi coprono la maggior parte dei casi in cui l'AI farebbe risparmiare tempo. Il che significa che si può partire, subito, senza toccare la categoria difficile.
Cosa scrivere nero su bianco
Un progetto ben impostato mette in chiaro, in una pagina: quali dati vengono inviati e quali no; quale fornitore, con quali condizioni, in quale regione; per quanto tempo il fornitore li conserva; se sono esclusi dall'addestramento; cosa registra il vostro sistema di ciò che è stato inviato; e chi in azienda può attivare o spegnere la funzione.
Serve per tre motivi molto pratici: fa passare la verifica interna, dà una risposta pronta al cliente che chiederà — e prima o poi qualcuno chiede — e vi permette di cambiare fornitore fra un anno sapendo esattamente cosa state spostando.
Il rischio che si sottovaluta
Quasi tutte le discussioni su questo tema riguardano l'informazione che esce. Vale la pena guardare anche nella direzione opposta: quale informazione una funzione di AI rende accessibile a chi la usa.
Se una ricerca intelligente pesca da tutti i documenti aziendali senza rispettare i permessi che quelle stesse persone hanno nel gestionale, avete costruito una via laterale che aggira il controllo degli accessi. È un errore facile da fare, molto più concreto della paura dei dati che escono, e si evita con una regola sola: la funzione vede quello che vede l'utente che l'ha attivata, mai di più.
La domanda giusta non è se usare l'AI sui vostri dati. È quali dati, con quale fornitore e scritto dove — perché intanto qualcuno in azienda l'AI la sta già usando, e su quello non avete nessun controllo.
