Dove vanno i tuoi dati quando usi l'AI: le domande da fare prima di firmare

Se gestisci una struttura, un negozio o uno studio, nei tuoi archivi ci sono i dati di altre persone: ospiti, clienti, pazienti, fornitori. Davanti alla legge, di quei dati rispondi tu — anche se li tiene un software che non hai scritto tu. È la prima cosa da avere chiara, perché cambia il modo in cui scegli a chi affidarli.

Il titolare del trattamento resti tu. Il fornitore è al massimo un responsabile, che lavora per conto tuo e lo mette per iscritto.

Non serve diventare esperti di privacy per scegliere bene. Servono sei domande, da fare a chiunque ti proponga qualcosa «con l'intelligenza artificiale dentro». Se a queste non sa rispondere con chiarezza, la risposta ce l'hai già.

1. Dove girano i dati quando l'AI li legge? Su un servizio esterno, su un'infrastruttura che gestite voi, o su una macchina in casa mia? Sono tre livelli diversi di controllo.
2. Chi li può vedere, oltre a me? I tuoi tecnici per l'assistenza? E in quali casi? Deve esserci un motivo preciso, non «quando ci serve».
3. I miei dati servono ad addestrare dei modelli? La risposta deve essere no, e deve essere scritta. Noi usiamo Anthropic, che non usa i dati che riceve dalle aziende per addestrare i suoi modelli.
4. Dove sono fisicamente? In Europa o altrove? Per certi dati, e per certi clienti, il paese conta.
5. Come li esporto, se voglio? Devi poter tirare fuori tutto, in un formato che si apre anche senza di loro. Se i tuoi dati sono ostaggio, non sono tuoi.
6. Cosa succede se smetto? I dati partono con te o restano lì? E per quanto tempo vengono conservati dopo?

Il GDPR — il regolamento europeo sulla privacy — prevede una cosa semplice per situazioni come questa: quando qualcuno tratta dati per conto tuo, firmate un accordo in cui lui diventa responsabile del trattamento e tu resti il titolare. Non è burocrazia per la burocrazia: è il documento che dice, nero su bianco, chi fa cosa con quei dati e cosa non può fare.

Oltre al GDPR, da poco c'è anche un regolamento europeo pensato apposta per l'intelligenza artificiale. Per la stragrande maggioranza delle piccole imprese che usano l'AI per smistare fatture o preparare documenti, gli obblighi pesanti non scattano: riguardano gli usi ad alto rischio (selezione del personale, credito, sorveglianza), non il gestionale di un campeggio.

Ma le regole cambiano e le date si avvicinano: cosa riguarda la tua azienda e da quando lo abbiamo messo in ordine in questo articolo.

Usare l'AI non ti aggiunge responsabilità che non avevi: rende visibili quelle che avevi già. Meglio vederle e metterle a posto, che scoprirle dopo.

Alla fine c'è un modo semplice per capire con chi hai a che fare. Fai le sei domande e guarda la reazione. Chi lavora bene risponde con calma, per iscritto, e firma. Chi ti dice «stia tranquillo, è tutto sicuro» senza entrare nei dettagli, ti ha appena dato la risposta più importante di tutte.