Il percorso, in chiaro
Un testo mandato a un assistente attraversa quattro passaggi. Vale la pena conoscerli perché le domande giuste nascono da lì.
- Trasmissione. Il testo viaggia cifrato. È il passaggio meno problematico e quello di cui si parla di più.
- Elaborazione. Il testo viene processato sui sistemi del fornitore, in un paese che può non essere il vostro. Dove avvenga è una domanda contrattuale con conseguenze legali, non un dettaglio tecnico.
- Conservazione. Quasi tutti i servizi tengono una copia per un certo periodo, per ragioni di sicurezza e abuso. Quanto a lungo, e chi può accedervi, varia e sta scritto.
- Riutilizzo. La domanda che conta: quel testo viene usato per addestrare versioni future del modello? Nei piani aziendali la risposta è di norma no, ed è scritta. Nei piani personali e gratuiti la risposta è spesso sì, o è un'impostazione che l'utente può cambiare e non ha cambiato.
La differenza che nessuno spiega
Lo stesso prodotto, con la stessa interfaccia, ha condizioni diverse a seconda del piano. Questa è la cosa che manda in confusione le aziende, perché l'esperienza d'uso è identica.
Un piano personale è fatto per una persona che usa lo strumento per sé. Un piano aziendale è un contratto fra due aziende, con impegni sul trattamento dei dati, sui tempi di conservazione, sul non riutilizzo, e con la possibilità di firmare gli accordi che la normativa europea richiede a chi affida a terzi il trattamento di dati personali.
Se in azienda si usa l'AI con abbonamenti personali pagati dai singoli o rimborsati a nota spese, non avete un fornitore. Avete venti persone che hanno accettato venti volte le condizioni d'uso di un servizio al consumatore, per conto vostro, con i vostri dati.
Le sei domande da fare a un fornitore
Sono le stesse per qualunque servizio, dal più noto al più piccolo.
- I nostri contenuti vengono usati per addestrare i vostri modelli? La risposta accettabile è no, per iscritto.
- Dove vengono elaborati e dove vengono conservati?
- Per quanto tempo restano, e possiamo chiederne la cancellazione?
- Chi, dalla vostra parte, può leggerli, e in quali circostanze?
- Usate a vostra volta sub fornitori? Quali, e sono elencati?
- Siete disponibili a firmare un accordo sul trattamento dei dati?
Il rischio che si sottovaluta: gli intermediari
L'attenzione va tutta ai grandi nomi, e i grandi nomi hanno documentazione leggibile e impegni contrattuali chiari. Il rischio maggiore, nella nostra esperienza, sta altrove: negli strumenti piccoli che si appoggiano a quei modelli.
Un'applicazione che riassume riunioni, un componente aggiuntivo del browser che riscrive le email, un servizio che analizza fogli di calcolo. Ognuno di questi manda i vostri dati a un modello, ma in mezzo c'è un'azienda in più, con le sue politiche, i suoi archivi e la sua sicurezza. La catena è lunga quanto il suo anello più debole, e l'anello debole di solito non è il modello.
La regola pratica da dare al team
Le politiche lunghe non le legge nessuno. Una regola in due righe, invece, regge.
Distinguete tre categorie e scrivete quali strumenti sono ammessi per ciascuna. Dati pubblici o già destinati a uscire: nessun problema, qualunque strumento. Dati interni non riservati: solo strumenti aziendali con contratto. Dati personali di terzi, dati sensibili, segreti industriali: solo su sistemi approvati, e per alcune categorie solo su modelli che girano dentro la vostra rete.
Poi date alle persone uno strumento aziendale che funzioni bene. È la parte che le politiche dimenticano sempre: se lo strumento ufficiale è peggiore di quello che si trovano da soli, useranno quello che si trovano da soli, e voi non lo saprete.
Perché non è solo una questione di conformità
C'è un aspetto che riguarda il valore, non solo il rischio. I documenti, le correzioni, le domande e le risposte che la vostra azienda produce lavorando con questi strumenti sono un patrimonio: raccontano come lavorate, cosa sapete, dove sbagliate. Se quel patrimonio si accumula dentro il servizio di qualcun altro, in un formato che non potete esportare, avete regalato la parte più difficile da ricostruire.
La domanda giusta non è solo se i vostri dati sono al sicuro. È se, il giorno in cui cambiate fornitore, ve li portate dietro.
