ChatGPT, Claude e Gemini in azienda: come usarli senza esporre i dati

Usare ChatGPT, Claude o Gemini in azienda è sicuro se si rispettano tre condizioni: account aziendali con contratto e impostazioni verificate, regole chiare su quali dati si possono usare e integrazioni controllate per i dati sensibili. Il rischio più frequente non è il modello in sé, ma il copia e incolla di informazioni riservate in strumenti personali, fuori da ogni controllo.

Il problema reale: la “shadow AI”

Molte persone usano già l’AI generativa per scrivere email, riassumere documenti o analizzare dati, spesso con il proprio account personale. Il risultato è che contratti, dati di clienti, offerte e codice finiscono in servizi che l’azienda non ha scelto, con condizioni che nessuno ha letto. Vietare tutto raramente funziona: l’uso si sposta semplicemente dove non si vede.

Account personali, piani business e API

	Account personale	Piano business o enterprise	API o integrazione dedicata
Uso dei dati per l’addestramento	Dipende dal fornitore e dalle impostazioni	Escluso per impostazione predefinita nei principali fornitori	Escluso per impostazione predefinita nei principali fornitori
Controllo dell’azienda	Nessuno	Amministrazione centralizzata, accessi e uscite gestiti	Completo: decidi tu dati, flussi e permessi
Contratto sul trattamento dei dati	Condizioni d’uso standard	Accordo per il trattamento dei dati disponibile	Accordo per il trattamento dei dati disponibile
Conservazione dei dati	Secondo le condizioni del servizio	Configurabile in base al piano	Configurabile, fino alla conservazione zero dove prevista
Adatto per	Uso personale, dati pubblici	Lavoro quotidiano dei team	Processi aziendali e dati sensibili

Le condizioni cambiano nel tempo: prima di scegliere, leggi l’accordo sul trattamento dei dati del fornitore e controlla le impostazioni dell’account.

Cosa non incollare mai in uno strumento non approvato

• Dati personali di clienti, pazienti, dipendenti e candidati.
• Dati sanitari e altre categorie particolari di dati.
• Credenziali: password, chiavi API, token, certificati.
• Codice sorgente proprietario e configurazioni di produzione.
• Contratti, offerte e prezzi riservati.
• Dati finanziari non pubblici e informazioni su operazioni in corso.

Una policy in una pagina

Una regola interna efficace sta in una pagina e risponde a cinque domande:

1. Quali strumenti si possono usare? Un elenco breve di servizi approvati, con account aziendali.
2. Con quali dati? Una classificazione semplice: pubblici, interni, riservati. Gli strumenti di chat solo per i primi due; i dati riservati solo nelle integrazioni approvate.
3. Chi controlla i risultati? L’output dell’AI va verificato da una persona prima di essere inviato a un cliente o usato per una decisione.
4. Cosa fare in caso di errore? A chi segnalare un dato inserito per sbaglio o un risultato dannoso.
5. Come si impara? Una formazione breve e periodica sui limiti dell’AI, che è anche il modo più semplice di rispondere all’obbligo di alfabetizzazione previsto dall’AI Act.

GDPR: i punti da controllare

• Base giuridica del trattamento per ogni uso che coinvolge dati personali.
• Accordo sul trattamento dei dati con il fornitore, che lo nomina responsabile del trattamento.
• Trasferimenti fuori dall’UE: verifica le garanzie previste, come il quadro UE-USA sulla protezione dei dati o le clausole contrattuali standard, oppure scegli una regione di trattamento in Europa.
• Valutazione d’impatto quando il trattamento può presentare rischi elevati per le persone.
• Informativa aggiornata per clienti e dipendenti, se i loro dati vengono trattati con sistemi di AI.

Integrare l’AI senza copia e incolla

Quando l’AI deve lavorare su dati aziendali sensibili, la soluzione è un’integrazione progettata, non una chat. Nei sistemi che costruiamo applichiamo alcune regole costanti:

• Accessi per ruolo: l’AI vede solo i dati che l’utente può vedere, con il controllo ripetuto a ogni richiesta.
• Minimizzazione: al modello arriva solo ciò che serve al compito; dove possibile i dati vengono pseudonimizzati.
• Dati in Europa e fornitori che non conservano i contenuti quando il caso lo richiede.
• Registro di ogni richiesta e azione, senza scrivere nei log i testi sensibili passati all’AI.
• Nessuna credenziale nei prompt: le chiavi restano nei sistemi che l’AI chiama.

Nel gestionale condominiale con agenti AI, ad esempio, ogni query è filtrata per studio e i permessi vengono verificati a ogni chiamata dell’AI.

Checklist

• Esiste un elenco di strumenti AI approvati, con account aziendali?
• Hai letto e firmato l’accordo sul trattamento dei dati dei fornitori?
• È chiaro quali dati si possono usare in chat e quali no?
• Le persone sanno che l’output va verificato prima dell’uso?
• C’è un modo semplice per segnalare un errore o un dato inserito per sbaglio?
• I dati sensibili passano solo da integrazioni con accessi per ruolo?
• Hai previsto una formazione breve e periodica?

Se vuoi portare l’AI generativa sui dati della tua azienda senza perderne il controllo, possiamo progettare l’integrazione con te.