Si può usare l'AI con i dati dei clienti? Cosa dice il GDPR

Questa guida è informativa e non sostituisce il parere di un consulente privacy o di un avvocato.

È un trattamento come gli altri

Il GDPR, il regolamento europeo sulla protezione dei dati, non ha regole speciali per l’intelligenza artificiale. Ha regole per chiunque tratti dati personali: nomi, email, numeri di telefono, informazioni su clienti e dipendenti. Se incollate questi dati in uno strumento di AI, li state trattando. E valgono le stesse regole di quando li mettete in un gestionale o li mandate a un fornitore.

La buona notizia: se la vostra azienda è già in regola con il GDPR, sapete già quasi tutto quello che serve.

Le cinque domande da farsi

1. Quali dati servono davvero?

Il GDPR chiede di usare il minimo indispensabile. Per scrivere una risposta a un reclamo spesso non serve il nome del cliente, né il suo indirizzo. Togliere o sostituire i dati personali prima di usare l’AI è la protezione più semplice ed efficace.

2. Su quale base giuridica?

Ogni trattamento deve avere una base: l’esecuzione di un contratto, un obbligo di legge, il legittimo interesse, il consenso. Usare l’AI per gestire un ordine di un cliente rientra spesso nella stessa base del trattamento originale. Usarla per scopi nuovi, per esempio profilare i clienti, potrebbe richiedere una valutazione a parte.

3. Il fornitore è adatto?

Questo è il punto più delicato. Il fornitore dello strumento di AI tratta i dati per vostro conto, quindi serve:

• un contratto sul trattamento dei dati con il fornitore, previsto dall’articolo 28 del GDPR;
• sapere dove vengono trattati i dati e, se escono dall’Unione europea, con quali garanzie;
• sapere se il fornitore usa i dati per addestrare i suoi modelli.

Le versioni personali dei chatbot, anche a pagamento, di solito non sono pensate per questo. Le versioni aziendali e gli accessi tramite API spesso sì, ma va verificato caso per caso.

4. Le persone sono informate?

L’informativa privacy deve dire chi tratta i dati e come. Se usate fornitori di AI per trattare dati dei clienti o dei dipendenti, è probabile che vada aggiornata.

5. Ci sono rischi elevati?

Per trattamenti che possono avere un impatto importante sulle persone, il GDPR chiede una valutazione d’impatto prima di iniziare. Pensate all’uso dell’AI per selezionare il personale o per valutare l’affidabilità dei clienti.

Le decisioni prese da una macchina

Il GDPR dà alle persone il diritto di non essere sottoposte a decisioni prese solo da un sistema automatico, quando queste hanno effetti importanti su di loro. Per esempio, rifiutare un finanziamento o scartare un candidato senza che nessuno guardi la pratica. Regola pratica: per le decisioni che contano, l’ultima parola deve restare a una persona.

Le buone pratiche

• Anonimizzate prima di incollare: segnaposto al posto di nomi e numeri.
• Scegliete strumenti aziendali con un contratto sui dati, invece degli account personali.
• Scrivete una regola interna: quali strumenti, per cosa, quali dati mai.
• Formate le persone: la maggior parte dei problemi nasce da un copia-incolla fatto senza pensarci.
• Aggiornate il registro dei trattamenti, se la vostra azienda lo tiene.

Per i casi concreti di tutti i giorni, leggi la guida su cosa non dare mai all’AI. Per il regolamento europeo specifico sull’intelligenza artificiale, quella sull’AI Act.