Dove stanno i vostri dati quando usate un servizio di AI

«I dati restano in Europa» e' una frase che compare in quasi tutte le presentazioni commerciali e che, da sola, non dice quasi niente. Le domande che contano sono quattro, e le risposte vanno lette con attenzione perche' sono spesso formulate per sembrare piu' rassicuranti di quello che sono.

1. Dove vengono elaborati, non solo dove sono conservati

Sono due cose diverse. Un fornitore puo' conservare i dati in un centro europeo ed elaborarli altrove, oppure conservarli in Europa e dare assistenza tecnica da un altro continente — il che comporta accesso. La domanda precisa e': in quali paesi si trovano i sistemi che elaborano i nostri dati e da quali paesi vi accede il personale di supporto?

2. Che cosa succede se i dati escono dall'Unione

Non e' vietato: e' regolato. Serve un meccanismo valido — decisione di adeguatezza, clausole contrattuali tipo, e in molti casi una valutazione aggiuntiva sul paese di destinazione. Il punto pratico e' che la responsabilita' di verificarlo resta vostra, anche quando il fornitore e' grande e il contratto e' standard.

La domanda da fare: su quale base giuridica avviene il trasferimento e potete darcene evidenza documentale? Un fornitore serio risponde con un documento, non con una rassicurazione.

3. I nostri dati vengono usati per addestrare i modelli

E' la differenza piu' netta fra i piani gratuiti o consumer e quelli aziendali dello stesso prodotto. Nei primi, l'uso dei contenuti per il miglioramento del servizio e' spesso previsto; nei secondi di regola no. E' anche il motivo per cui mettere documenti di clienti in uno strumento gratuito e' un problema serio: non e' una questione di prudenza, e' che state trasferendo dati altrui a un terzo senza averne titolo.

La domanda: per la versione specifica che stiamo acquistando, i nostri contenuti vengono usati per addestrare o migliorare modelli? Dove e' scritto?

4. Per quanto tempo restano, e che succede quando smettiamo

Molti servizi conservano le conversazioni per un periodo, tipicamente per prevenire abusi. E' legittimo e va saputo, perche' entra nella vostra informativa e nei vostri tempi di conservazione. E va chiarito che cosa accade alla fine del contratto: cancellazione entro quanto, con quale attestazione, e che cosa potete portare via.

Perche' la domanda si sta facendo piu' seria

Non per una nuova norma che imponga di tenere tutto in Europa — non esiste. Per due ragioni concrete: la catena di responsabilita' verso i vostri clienti, che vi chiedono garanzie che dovete poter girare a monte; e la continuita' operativa, cioe' il rischio di dipendere da un servizio che potrebbe cambiare condizioni, prezzi o disponibilita' senza che abbiate alternative pronte.

Che cosa fare, in concreto

• Fate l'elenco dei servizi in uso e, per ciascuno, rispondete alle quattro domande. Molte aziende scoprono a questo punto strumenti attivati da singoli reparti senza contratto aziendale.
• Separate i dati per sensibilita': non tutto merita lo stesso livello di cautela, e trattare tutto come riservatissimo porta a non usare niente.
• Scrivete la regola su che cosa non esce, e comunicatela. E' piu' efficace di qualunque restrizione tecnica, perche' le restrizioni tecniche si aggirano con il telefono personale.
• Per i casi in cui i dati davvero non possono uscire, valutate soluzioni che girano nella vostra infrastruttura: costano di piu' e vanno mantenute, ma per alcuni trattamenti sono l'unica strada.