La risposta breve: si può usare l'intelligenza artificiale anche sui dati che non devono uscire dall'azienda, perché oggi un modello linguistico può girare su un server vostro, su una macchina in ufficio o in un cloud europeo con garanzie contrattuali serie. La domanda vera quindi cambia: quali dei vostri dati hanno davvero bisogno di questo trattamento, e quanto siete disposti a pagare in qualità e manutenzione per averlo.
Lavoriamo ogni giorno con dati che la legge protegge in modo severo: cartelle sanitarie nella sorveglianza dei lavoratori, dati di assistenza domiciliare in Svizzera, documenti del personale. Questa guida viene da lì, dalle scelte fatte su sistemi in produzione, con i loro compromessi.
Prima domanda: quali dati stiamo parlando di proteggere
La reazione istintiva di molti imprenditori è dire che nessun dato deve uscire. Presa alla lettera, questa scelta costa cara e quasi mai serve per intero. Conviene separare tre categorie.
- Dati che per legge o per contratto richiedono cautele forti: dati sanitari, dati giudiziari, segreti industriali coperti da accordi di riservatezza con i clienti. Qui il vincolo va preso sul serio.
- Dati personali ordinari: anagrafiche, email, ordini. Il GDPR li copre, e un fornitore cloud con le garanzie giuste (sede dei server, contratto di trattamento dati, sub-fornitori dichiarati) di norma basta.
- Dati che sembrano sensibili e in realtà sono pubblici o banali: listini già sul sito, testi di marketing, manuali dei macchinari. Trattarli come segreti di stato è il modo più rapido per raddoppiare i costi di un progetto.
L'errore più comune che vediamo è applicare alla terza categoria le cautele della prima. Il progetto rallenta, il preventivo cresce, e la protezione in più non protegge niente che avesse bisogno di protezione.
I tre modi di tenere l'AI vicino ai dati
Il cloud europeo con le garanzie giuste
La prima opzione tiene i dati in un data center europeo, con un contratto che vieta al fornitore di usarli per addestrare i propri modelli. I principali fornitori di modelli offrono ormai questa possibilità, e per la maggior parte dei casi d'uso aziendali è il punto di equilibrio migliore: modelli di prima fascia, nessun hardware da comprare, costi proporzionali all'uso.
Il punto da verificare, contratto alla mano: dove stanno fisicamente i server, chi sono i sub-fornitori, cosa succede ai dati dopo l'elaborazione. Sono tre righe da cercare, e chi vende ha il dovere di mostrarvele.
Il modello su hardware vostro
La seconda opzione fa girare un modello open source su una macchina che controllate voi: un server in azienda o una workstation con una buona scheda grafica. I dati non lasciano mai la vostra rete.
Il compromesso va detto senza giri di parole: un modello che gira su una macchina da qualche migliaio di euro è più limitato dei migliori modelli cloud. Per compiti circoscritti (leggere documenti e estrarne campi, classificare richieste, cercare dentro un archivio interno) la differenza spesso non si sente. Per ragionamenti lunghi e compiti aperti, si sente. La scelta onesta è per caso d'uso, con una prova su documenti veri prima di decidere.
La via mista, che è quella che costruiamo più spesso
La terza opzione separa i compiti: i dati riservati li tratta il modello in casa, il resto va al modello cloud più capace. Un sistema ben disegnato fa questa scelta da solo, documento per documento. Nei progetti in settori regolamentati finiamo quasi sempre qui, perché rispetta i vincoli dove esistono senza pagarne il prezzo dove non esistono.
Le domande da fare a chi ve lo propone
- Quali dati escono dall'azienda, esattamente, e verso quali server?
- Il fornitore del modello può usare i nostri dati per addestrare i suoi sistemi? Dove lo esclude il contratto?
- Cosa succede se il fornitore del modello cambia condizioni o prezzi? Quanto costa cambiare?
- Chi aggiorna il modello in casa, e ogni quanto? Un sistema locale abbandonato invecchia in silenzio.
- La soluzione regge una verifica del titolare del trattamento o di un cliente che fa audit?
Se chi propone non sa rispondere alla prima domanda con un elenco preciso, il problema non è tecnico.
Il quadro normativo, in breve
Il GDPR resta la base: serve una ragione giuridica per il trattamento, un contratto con chi tratta i dati per voi, e la capacità di dimostrare le scelte fatte. Sull'uso dell'AI si aggiungono gli obblighi del regolamento europeo, che abbiamo messo in fila per scadenze in AI Act: cosa deve fare la tua azienda: il primo, già in vigore, riguarda la formazione delle persone che usano questi strumenti, e vale qualunque sia l'architettura scelta. Su questo lavoriamo con percorsi dedicati, descritti in Forma il tuo team.
Da dove cominciare
Fate l'inventario prima di scegliere la tecnologia: quali processi volete affidare all'AI, quali dati toccano, in quale delle tre categorie cadono. È mezza giornata di lavoro e decide tutto il resto. Poi provate il caso d'uso più delicato su un modello in casa, con documenti veri: se la qualità basta lì, basta ovunque.
Se volete un parere su un caso concreto, scriveteci a info@fodisrl.it: la prima cosa che guardiamo sono i dati che avete e i vincoli veri che li accompagnano, prima di qualunque discorso sul modello.