Gli assistenti di intelligenza artificiale stanno diventando sempre più integrati nei sistemi aziendali, offrendo un supporto prezioso nella gestione dei dati. Questi strumenti avanzati possono leggere, elaborare e analizzare documenti di vario tipo, dai contratti alle buste paga, passando per i ticket dei clienti. Tuttavia, l’uso di tali assistenti solleva importanti questioni relative alla privacy e alla sicurezza dei dati.
Un assistente AI, una volta collegato ai sistemi aziendali, diventa un nuovo utente virtuale con accesso a una vasta gamma di informazioni. La portata dei suoi permessi dipende dagli accessi concessi dall’utente umano che lo utilizza. Questo significa che, se un dipendente ha accesso a dati sensibili, anche l’assistente AI potrà accedervi, potenzialmente violando i principi di minimizzazione e di necessità previsti dal GDPR.
I rischi legati all’accesso ai dati
Il principio di minimizzazione, che stabilisce che ciascun dipendente dovrebbe accedere solo ai dati necessari per svolgere il proprio lavoro, è spesso trascurato. Finora, questo non ha creato problemi significativi perché i dipendenti non aprono tutte le cartelle a cui potrebbero accedere. Tuttavia, con l’introduzione degli assistenti AI, la situazione cambia radicalmente. Questi strumenti possono analizzare grandi quantità di dati in pochi secondi, esplorando archivi che un essere umano non aprirebbe mai in un anno.
Un assistente AI che elabora dati personali per finalità diverse da quelle per cui erano stati raccolti viola il principio di limitazione della finalità. Inoltre, se accede a dati senza una necessità concreta, viola il principio di minimizzazione e il principio del need to know. Questo solleva serie preoccupazioni riguardo alla sicurezza dei dati e alla conformità alle normative.
La necessità di una valutazione d’impatto
L’uso di assistenti AI per analizzare sistematicamente grandi quantità di documenti aziendali richiede una valutazione d’impatto sulla protezione dei dati (DPIA) come previsto dall’articolo 35 del GDPR. Questa valutazione deve essere condotta prima di avviare il progetto per determinare quali dati l’assistente può leggere e quali no. Inoltre, se i dati vengono elaborati da un servizio esterno, l’azienda deve considerare le implicazioni contrattuali e i possibili trasferimenti di dati fuori dall’Unione Europea.
In molte aziende, la gestione degli accessi ai dati è spesso lasciata al dipartimento IT, ma la responsabilità del trattamento dei dati rimane in capo al titolare del trattamento, ovvero l’azienda stessa. È fondamentale che il management, il CIO e il Data Protection Officer (DPO) collaborino per garantire che gli assistenti AI siano utilizzati in modo sicuro e conforme alle normative.
L’importanza di una mappatura degli accessi
Prima di adottare un assistente AI, è essenziale mettere ordine negli accessi umani ai dati. Questo significa identificare quali password sono in circolazione, chi accede a cosa e per quale motivo. È importante verificare se i motivi per cui certi accessi sono stati concessi sono ancora validi. Una volta effettuata questa mappatura, i dati possono essere classificati per sensibilità e i ruoli possono essere ridisegnati in base al principio del privilegio minimo.
Gli assistenti AI richiedono una mappatura costante degli accessi ai dati, il che può essere visto come un’opportunità per migliorare la gestione della sicurezza informatica all’interno dell’azienda. Conviene affrontare questo lavoro di igiene degli accessi prima di collegare l’assistente AI, perché rimediare dopo un incidente può costare molto di più in termini di denaro e perdita di dati.
