Dati nei servizi di IA cloud: cosa verificare prima di usarli

Inviare una domanda a un assistente, usare un’API di modelli o attivare una funzione di IA all’interno di un’altra piattaforma può comportare trattamenti dei dati diversi. Per questo, un’affermazione generale come «il fornitore non usa i miei dati» non basta per decidere se sia sicuro caricare un documento, codice o informazioni sui clienti. La risposta dipende dal servizio specifico, dal tipo di account e dalle condizioni applicabili a quella funzione.

La documentazione va letta come un insieme di regole, non come una promessa riassunta in una pagina commerciale. È opportuno individuare quali dati vengono trattati, per quale finalità, per quanto tempo sono conservati e quali opzioni sono disponibili per l’account in questione. La regola pratica è verificare separatamente ogni prodotto e impostazione, invece di trasferire la policy di un servizio a un altro.

La conservazione riguarda per quanto tempo le informazioni possono essere mantenute e per quali operazioni. Possono esserci differenze tra contenuti inviati, cronologia visibile all’utente, registri di sicurezza e dati associati a una richiesta. Il fatto che una conversazione non appaia più in un’interfaccia non dimostra, da solo, che tutte le copie o i registri siano stati eliminati; per arrivare a questa conclusione serve una documentazione specifica del servizio.

L’uso dei dati per migliorare o addestrare i modelli è un’altra questione. OpenAI indica che i controlli di ChatGPT consentono di scegliere se le conversazioni contribuiscano all’addestramento e che la disponibilità delle opzioni dipende, tra gli altri fattori, dal piano e dalle impostazioni dell’area di lavoro. La stessa documentazione spiega che disattivare «Improve the model for everyone» impedisce di usare le nuove conversazioni per addestrare i modelli, ma queste possono continuare a comparire nella cronologia. Disattivare l’addestramento non equivale a cancellare la cronologia né a stabilire un periodo di conservazione.

Occorre anche distinguere l’addestramento dalla revisione dei contenuti per finalità di sicurezza o prevenzione degli abusi. Si tratta di finalità diverse, che possono essere soggette a regole diverse. La documentazione generale sui dati aziendali non sostituisce le indicazioni specifiche per un’API, una funzione o un piano. Prima di fare affidamento su un’esclusione, verifica se si applica allo strumento che userai, quali condizioni richiede e se deve essere richiesta o attivata esplicitamente.

I controlli possono variare in base al prodotto, al tipo di account, alla regione o alla configurazione amministrata. Per ChatGPT, OpenAI segnala che le opzioni disponibili dipendono dal fatto che l’utente abbia effettuato l’accesso, dal piano e dalle impostazioni dell’area di lavoro. Non applicare automaticamente questa avvertenza ad altri fornitori: è un esempio del motivo per cui il nome di un’opzione non basta; occorre verificarne ambito ed eccezioni nella documentazione aggiornata del servizio preciso.

Prima di usare un servizio di IA con informazioni proprie, individua la policy sui dati e le istruzioni specifiche del prodotto. Cerca risposte concrete alle seguenti domande:

• Che cosa viene inviato: input, allegati, risultati, metadati e dati di utilizzo.
• Per quale scopo viene trattato: erogazione del servizio, sicurezza, assistenza o miglioramento dei modelli.
• Per quanto tempo viene conservato: periodi per tipo di dato ed eventuali eccezioni, come i registri di sicurezza.
• Chi può accedervi: personale del fornitore, amministratori dell’area di lavoro o sub-responsabili, a seconda dei casi.
• Che cosa può controllare il cliente: esclusione dall’addestramento, cancellazione, esportazione, conservazione configurabile e autorizzazioni.
• A quale account si applica: personale, aziendale, API o altra modalità, e se condizioni contrattuali modificano la regola generale.

Se la pagina non chiarisce una risposta importante, non colmare la lacuna facendo un’inferenza basata su un altro servizio. Consulta la documentazione contrattuale, le impostazioni di amministrazione o il canale di assistenza del fornitore. Per le organizzazioni, la verifica dovrebbe includere anche chi è autorizzato ad attivare i controlli e come vengono gestiti i dati in conformità agli obblighi interni e legali applicabili.

Il Comitato europeo per la protezione dei dati raccoglie informazioni e attività di indirizzo sull’intelligenza artificiale e sulla protezione dei dati personali. Questo quadro è utile per valutare responsabilità e rischi, ma non stabilisce da solo per quanto tempo un determinato servizio conservi una richiesta né quale impostazione sia attiva per un account. Per rispondere a queste domande servono le condizioni e le indicazioni specifiche del fornitore, oltre alla configurazione effettiva.

La documentazione dell’AEPD su innovazione e tecnologia può fungere da punto di partenza istituzionale per reperire risorse sulle tecnologie emergenti. Tuttavia, una pagina tematica non sostituisce una valutazione giuridica del caso né conferma che uno strumento specifico soddisfi tutti i requisiti applicabili. Le indicazioni normative contestualizzano; la documentazione del servizio e la configurazione determinano le condizioni dichiarate dal fornitore per quell’uso.

Le fonti disponibili consentono di sostenere una conclusione circoscritta: nei servizi di IA, addestramento, conservazione e controlli dell’account vanno verificati separatamente. La guida ufficiale di ChatGPT mostra che una preferenza sull’addestramento può riguardare le nuove conversazioni senza necessariamente rimuovere la cronologia, e che le opzioni dipendono dal piano e dall’area di lavoro. Questo dimostra perché un’opzione di privacy non dovrebbe essere interpretata come una garanzia universale.

Qui non è presente un confronto completo e aggiornato tra fornitori, né vi sono prove sufficienti per stabilire i periodi di conservazione di servizi specifici o affermare che una determinata opzione elimini la revisione umana. Non viene neppure presentato un cambiamento recente che giustifichi una notizia dell’ultima ora. La conclusione utile è metodologica: non inviare informazioni sensibili finché non hai individuato la policy applicabile al tuo servizio, account e configurazione, e annota ogni punto che la documentazione lascia irrisolto.