L'intelligenza artificiale generativa è entrata negli uffici in pochi mesi: riassumere documenti, scrivere email, analizzare dati. Spesso però viene usata senza regole, inserendo nei sistemi informazioni aziendali o dati personali senza sapere dove finiscono.
In questa guida vediamo i principali rischi per privacy e riservatezza, una checklist di 10 controlli da fare prima di adottare un'AI aziendale, un modello di indice per la policy interna e come ThorIA affronta questi punti.
I rischi dell'AI generativa con dati aziendali
Dati inviati a un fornitore terzo
Quando un dipendente incolla un testo in uno strumento di AI online, quei dati escono dall'azienda e vengono elaborati dai sistemi del fornitore. Se contengono dati personali di clienti o dipendenti, o informazioni riservate, l'azienda sta di fatto affidando un trattamento a un soggetto esterno.
Condizioni contrattuali
Ciò che il fornitore può fare con i dati dipende dalle condizioni del servizio e dal contratto. Le versioni gratuite o personali e quelle aziendali possono avere regole molto diverse. Senza un contratto adeguato è difficile sapere quali garanzie si hanno.
Uso per l'addestramento
Alcuni servizi possono usare i dati inseriti per migliorare o addestrare i propri modelli. Per un'azienda è un punto essenziale da chiarire: informazioni riservate usate per l'addestramento sfuggono al suo controllo.
Localizzazione
Sapere dove sono conservati e trattati i dati è importante sia per la sicurezza sia per gli adempimenti privacy, in particolare quando i dati potrebbero essere trasferiti fuori dall'Unione europea.
A questi rischi si aggiunge quello dell'uso "ombra": strumenti adottati dai singoli dipendenti senza che l'azienda ne sia a conoscenza. Il primo passo per gestire il rischio è quindi sapere quali strumenti vengono usati e per cosa.
Qualità e verifica dei risultati
Esiste infine un rischio meno legato alla privacy ma altrettanto concreto: i contenuti generati dall'AI possono contenere errori. Usarli senza controllo in documenti, comunicazioni ai clienti o decisioni interne può creare problemi. Per questo ogni risultato dovrebbe essere verificato da una persona prima dell'uso.
Checklist: 10 controlli prima di adottare un'AI
Usa questa tabella per valutare qualsiasi strumento di AI prima di introdurlo in azienda.
| # | Controllo | Domanda da porsi |
|---|---|---|
| 1 | Contratto e DPA | Esiste un contratto chiaro e un accordo sul trattamento dei dati (DPA)? |
| 2 | Dove sono i dati | In quale Paese sono conservati e trattati i dati? |
| 3 | Uso per il training | I dati inseriti vengono usati per addestrare modelli? |
| 4 | Retention | Per quanto tempo vengono conservati i dati e come si cancellano? |
| 5 | Accessi e ruoli | Chi può usare lo strumento e a quali informazioni accede? |
| 6 | Policy interna | Esistono regole scritte su cosa si può e non si può fare? |
| 7 | Log | Le attività vengono registrate e sono consultabili? |
| 8 | Formazione dei dipendenti | Chi usa l'AI sa come farlo in modo corretto? |
| 9 | Supporto | Che assistenza offre il fornitore, in avvio e nel tempo? |
| 10 | Certificazioni | Il fornitore ha certificazioni di sicurezza verificabili? |
Nessun controllo da solo è sufficiente: è l'insieme delle risposte a dire se uno strumento è adatto all'uso che ne vuoi fare. Uno strumento accettabile per scrivere testi pubblici potrebbe non esserlo per elaborare dati del personale. Se l'AI viene usata per gestire il personale, tieni conto anche degli obblighi informativi previsti dalla Legge 132/2025 sull'AI.
È utile documentare l'esito dei controlli per ogni strumento: in questo modo, se un collega chiede se può usare un certo servizio, la risposta è già disponibile, e in caso di verifica è possibile mostrare le valutazioni fatte.
La policy d'uso interna: modello di indice
Una policy scritta trasforma le scelte dell'azienda in regole comprensibili per tutti. Ecco un possibile indice da adattare alla tua organizzazione:
- Scopo e ambito: a chi si applica la policy e per quali strumenti.
- Strumenti autorizzati: elenco degli strumenti di AI ammessi e procedura per richiederne di nuovi.
- Dati utilizzabili: quali informazioni si possono inserire e quali sono escluse, ad esempio dati personali o riservati.
- Usi consentiti e vietati: esempi concreti per i diversi reparti.
- Verifica dei risultati: i contenuti generati vanno sempre controllati da una persona prima dell'uso.
- Trasparenza: quando e come informare clienti, utenti e lavoratori dell'uso dell'AI.
- Ruoli e responsabilità: chi approva gli strumenti, chi controlla, a chi rivolgersi per dubbi.
- Sicurezza: credenziali, accessi, segnalazione di incidenti.
- Formazione: percorsi per chi usa l'AI.
- Revisione: ogni quanto la policy viene aggiornata.
La policy è anche il punto di partenza per adeguarsi all'AI Act: per le scadenze aggiornate leggi il nostro articolo su AI Act e Digital Omnibus. Per i termini tecnici consulta il nostro glossario.
Una policy efficace è breve e concreta. Meglio poche regole chiare, accompagnate da esempi pratici per i diversi reparti, che un documento lungo che nessuno legge. Va comunicata a tutti i dipendenti, inserita nei percorsi di formazione e aggiornata quando cambiano gli strumenti in uso.
Come ThorIA affronta questi punti
ThorIA, l'AI aziendale di Thorsoft, risponde a diversi controlli della checklist:
- Dove sono i dati: i dati sono ospitati in Italia.
- Uso per il training: i dati non vengono mai usati per addestrare modelli.
- Accessi: utenti illimitati, con accessi per tutte le persone autorizzate.
- Personalizzazione: il team Thorsoft configura ThorIA sui processi aziendali.
- DPIA: disponibile su richiesta.
- Certificazioni: ISO 27001, ISO 27017 e ISO 27018.
Thorsoft dichiara ThorIA nella categoria a rischio limitato dell'AI Act. Restano in capo all'azienda la policy interna, la formazione delle persone e la valutazione dei propri trattamenti.
Adottare l'AI in sicurezza non significa rinunciare ai suoi vantaggi, ma usarla con regole chiare: sapere quali dati si inseriscono, dove finiscono e chi può accedervi è la condizione per farla lavorare a favore dell'azienda.
Domande frequenti
Posso usare ChatGPT in azienda?
Dipende dai dati trattati, dal contratto e dalle impostazioni del servizio: valuta DPA, localizzazione dei dati e uso dei dati per l'addestramento prima di inserire informazioni aziendali.
Quali sono i rischi principali?
Dati inviati a un fornitore terzo, condizioni contrattuali poco chiare, possibile uso dei dati per l'addestramento e localizzazione dei dati fuori dal controllo dell'azienda.
Cosa verificare prima di adottare un'AI aziendale?
Contratto e DPA, dove sono i dati, uso per il training, retention, accessi e ruoli, policy interna, log, formazione dei dipendenti, supporto e certificazioni.
Serve una policy interna sull'AI?
È fortemente consigliata: stabilisce quali strumenti sono ammessi, quali dati si possono usare, come verificare i risultati e chi ne è responsabile.
ThorIA usa i miei dati per l'addestramento?
No. Con ThorIA i dati sono ospitati in Italia e non vengono mai usati per addestrare modelli.
Richiedi una demo
Scopri come usare l'AI in azienda con i dati in Italia e mai usati per l'addestramento.
Informazioni di carattere generale, non costituiscono consulenza legale: verifica sempre la normativa aggiornata.