Assistenti IA e privacy: cosa verificare prima di condividere dati

La privacy degli assistenti IA è un tema importante, ma questo non trasforma ogni spiegazione delle loro politiche in una notizia. Per sostenere un articolo di attualità occorre individuare un cambiamento concreto — per esempio, una modifica a una funzione o a una politica — e verificare quando è avvenuto, chi riguarda e quale documentazione lo conferma. Le informazioni raccolte per questo articolo non forniscono prove sufficienti di un cambiamento recente di questo tipo. L’approccio responsabile è quindi una guida alla verifica, non un annuncio di novità.

La distinzione è importante perché una politica generale, una pagina di assistenza e un post della community non hanno lo stesso valore probatorio. Le pagine di OpenAI sulla privacy e sui controlli di ChatGPT documentano le condizioni e le opzioni che l’azienda attribuisce ai propri servizi; la pagina del Comitato europeo per la protezione dei dati (EDPB) raccoglie informazioni sul suo lavoro in materia di intelligenza artificiale e protezione dei dati. Nessuno di questi riferimenti, da solo, dimostra che un fornitore abbia modificato di recente le proprie pratiche. Non presentare come novità ciò che le fonti non datano né descrivono come un cambiamento fa parte della verifica, non è mancanza di analisi.

Inizia dalla politica sulla privacy applicabile al servizio e al luogo in cui viene utilizzato. Verifica la data o la versione, il fornitore che la pubblica e se riguarda un’app per i consumatori, un account di lavoro o un altro prodotto. Una pagina generale dell’azienda potrebbe non rispondere a tutte le domande su una funzione specifica. È utile anche confrontarla con l’assistenza ufficiale del prodotto, perché può descrivere controlli non illustrati in una pagina istituzionale sintetica.

Cerca risposte specifiche, anziché affidarti soltanto ad affermazioni generiche come «proteggiamo la tua privacy». Per ogni dato che pensi di inserire, cerca di capire quali informazioni il servizio tratta, per quale finalità, chi può accedervi, per quanto tempo vengono conservate e quali opzioni esistono per eliminarle o limitarne l’uso. Se la documentazione non è chiara, annota la questione come irrisolta: non dedurre una risposta da una descrizione commerciale. La conservazione può riferirsi a tipi di dati e periodi diversi; non presumere che una sola opzione di cancellazione li riguardi tutti.

Un’impostazione sulla privacy può consentire all’utente di modificare un aspetto dell’uso dei propri dati, ma la sua esistenza non spiega da sola tutti i trattamenti. Verifica esattamente che cosa controlla, se riguarda le conversazioni future o anche quelle già salvate e se la modifica si applica a tutte le funzioni del servizio. Prima di affermare che un’opzione «disattiva l’addestramento» o «cancella i dati», verifica che la documentazione le attribuisca questa portata e specifichi le condizioni pertinenti. Se la descrizione è solo parziale, formula la conclusione indicando tale limite.

Le pagine ufficiali di OpenAI distinguono tra informazioni sulla privacy per i consumatori, politica sulla privacy e privacy aziendale. Questa varietà mostra perché non è prudente trasferire una regola da una modalità a un’altra senza verificare a quale si riferisca. In pratica, gli utenti dovrebbero individuare la documentazione pertinente al proprio account e alla funzione utilizzata, e conservare il link o la data consultata se in seguito vorranno confrontare eventuali cambiamenti. Un controllo visibile sullo schermo non va confuso con una garanzia universale su tutti i dati, le finalità o i periodi.

La documentazione del fornitore è la fonte primaria per sapere che cosa dichiara sul proprio servizio. Non equivale, tuttavia, a una valutazione indipendente di come tale dichiarazione venga applicata in ogni caso. L’EDPB spiega che l’intelligenza artificiale può sollevare questioni di protezione dei dati e presenta il lavoro e le risorse delle autorità europee in questo ambito. Questo riferimento offre un contesto normativo, ma non conferma automaticamente una violazione né convalida un’affermazione specifica su un determinato assistente.

Per una verifica editoriale solida, distingui tre livelli: ciò che il fornitore documenta, ciò che un’autorità o un’indagine indipendente ha accertato e ciò che resta da verificare. Una domanda in un forum di utenti o una risposta informale può indicare un problema da approfondire, ma non sostituisce una politica ufficiale né una decisione di un’autorità. Allo stesso modo, una guida commerciale o un articolo comparativo può fornire contesto, ma non va trattato come prova definitiva delle pratiche di un servizio. Verificare significa controllare la portata e la data di ogni fonte, non presumere che due testi si riferiscano alla stessa versione.

La documentazione può essere lunga, ma una verifica rapida può concentrarsi su decisioni concrete. Prima di usare un assistente per un’attività delicata, controlla:

• Quale servizio e modalità utilizzi: account personale, prodotto aziendale o funzione integrata; non presumere che abbiano le stesse condizioni.
• Quali dati vuoi inserire: rimuovi identificativi, credenziali, informazioni mediche o dati di terzi non necessari.
• Che cosa dicono le fonti ufficiali: cerca informazioni su trattamento, finalità, conservazione, cancellazione e controlli, e verifica la data della pagina.
• Che cosa resta senza risposta: se la durata o la portata di un controllo è ambigua, non colmare il vuoto con un’ipotesi.
• Quale alternativa hai: se non puoi verificare come verrà trattato un dato sensibile, evita di condividerlo oppure consulta il canale appropriato della tua organizzazione.

Queste indicazioni non sostituiscono una consulenza legale né una verifica di sicurezza per un’azienda. Sono un metodo per ridurre il rischio di interpretare eccessivamente un’interfaccia o un testo generico. Se la risposta dell’assistente sarebbe utile ma dipende da informazioni riservate, valuta se puoi riformulare la richiesta usando dati fittizi o ridotti al minimo; la decisione dipende dal contesto e dalle regole applicabili. La privacy non si valuta soltanto in base a ciò che l’utente vede in una conversazione: contano anche le condizioni del servizio e il tipo di account.

Le prove esaminate sostengono una raccomandazione generale: consultare la documentazione ufficiale del servizio, distinguere le politiche per i consumatori da quelle aziendali e cercare indicazioni delle autorità competenti. Non sostengono l’affermazione che un fornitore abbia appena annunciato una modifica specifica alla conservazione o ai controlli. Titolo e impostazione devono quindi presentare una guida utile, non una notizia dell’ultima ora.

Se in seguito verrà individuato un cambiamento datato e verificabile, sarà possibile preparare una notizia specifica confrontando il testo precedente e quello nuovo, la data di entrata in vigore, gli account interessati e una fonte indipendente, se disponibile. Fino ad allora, la conclusione deve restare circoscritta: la documentazione disponibile non permette di stabilire il trattamento di ogni dato né di confrontare rigorosamente tutti gli assistenti. Questa cautela non rende inutile la guida; aiuta i lettori a capire che cosa controllare e che cosa non considerare confermato.