Non appena un'azienda prende sul serio l'IA, arriva la questione dei dati, spesso formulata in modo troppo vago per poterla affrontare: «è sicuro?». Questa domanda non ha una risposta generale. Tre domande precise, invece, ce l'hanno.

Domanda 1: cosa esce dalla tua azienda?

Tutto ciò che viene inviato a un servizio esterno esce dal tuo perimetro. Di per sé non è un problema: un indirizzo professionale pubblico o un testo di marketing non hanno nulla di sensibile. Un file clienti completo, dati sanitari o documenti contrattuali, invece, sì.

Il riflesso giusto è classificare prima di automatizzare: ciò che può uscire liberamente, ciò che va anonimizzato, ciò che non esce mai. Questa cernita richiede mezza giornata ed evita la maggior parte degli incidenti.

Il rischio non viene dall'IA. Viene da ciò che le si invia senza averci riflettuto.

Domanda 2: su quale account gira l'esecuzione?

Far girare le elaborazioni con i tuoi accessi cambia tre cose: vedi esattamente cosa viene consumato, non c'è alcun margine nascosto sull'utilizzo e puoi interrompere tutto con una sola operazione. È una posizione di controllo, non un vincolo tecnico.

Al contrario, un fornitore che esegue tutto con i propri accessi ti rende dipendente: non sai cosa viene consumato, cosa viene conservato, né che cosa ne sarà del sistema se il rapporto si interrompe.

Domanda 3: chi può leggere cosa?

Un agente collegato ai tuoi documenti eredita i permessi che gli vengono dati. Se ha accesso a tutto, potrà restituire a qualsiasi utente un'informazione che questi non avrebbe dovuto vedere. Il tema non è la riservatezza verso l'esterno: è la separazione interna.

  • Dare l'accesso allo stretto necessario per la missione, e nulla di più.
  • Conservare una traccia di ciò che è stato consultato e prodotto.
  • Prevedere in modo esplicito cosa succede quando un collaboratore se ne va.

Cosa impone già il quadro normativo

Gli obblighi esistenti in materia di dati personali si applicano senza modifiche: informativa alle persone, finalità determinata, durata di conservazione, subappalto regolamentato. L'IA non ha creato alcuna eccezione. Un'azienda già rigorosa su questo punto non deve fare nessuna rivoluzione, solo aggiungere una riga al proprio registro.

La pagina da scrivere prima di collegare qualsiasi cosa

Prima di collegare qualsiasi cosa, scrivi su una pagina: le categorie di dati coinvolte, quelle che non devono mai uscire, con quali accessi gira l'esecuzione e chi può consultare cosa. Questa pagina vale più di qualsiasi impegno a parole e rende l'argomento discutibile invece di renderlo fonte d'ansia.

Il controllo non si promette. Si verifica nell'architettura.