Sapete di chi parlo. Non state facendo nulla di insolito. È esattamente questo il problema.
Lunedì mattina. Scadenza serrata. Un contratto cliente di 90 pagine giace sulla vostra scrivania, e il vostro socio vuole una sintesi strategica per giovedì. Aprite ChatGPT. Incollate il documento. Ventiquattro ore dopo, una sintesi impeccabile atterra nella casella di posta — argomentazione strutturata, rigore da dottorato, sezioni che gli stessi legali del cliente non avevano pensato di incrociare. Il socio alza lo sguardo: «Come hai fatto a chiudere così in fretta?»
Alla seconda domanda non rispondete.
Questa scena si ripete ogni giorno negli studi legali, nelle società di consulenza, negli ospedali, negli studi di commercialisti e nelle amministrazioni pubbliche. In silenzio. Su larga scala.
Cosa avete davvero caricato
Quel contratto non erano solo 90 pagine di prosa giuridica. Conteneva la denominazione sociale completa del cliente, la sede legale, le coordinate bancarie, l'identità della controparte, i termini dell'operazione, le clausole penali, e l'intento strategico dietro una transazione che forse non ha ancora nemmeno presentato al proprio consiglio di amministrazione.
Ogni dato che un regolatore definisce personalmente identificabile — e ben di più.
Ha viaggiato, su Internet, fino all'infrastruttura cloud commerciale gestita da un'azienda statunitense, elaborato su server di cui non avete alcuna visibilità, secondo condizioni d'uso che la maggior parte delle persone ha letto l'ultima volta mai.
Perché questa pratica si diffonde
Il guadagno di produttività è reale. Non fingiamo il contrario. Gli strumenti di IA comprimono davvero ore di sintesi in minuti, e la qualità del risultato è spesso notevole. Non serve alcuna competenza tecnica — incollare testo in una finestra di chat è semplice quanto può esserlo. E soprattutto: nessuno vi vede farlo. Sembra senza vittime.
Ci sono anche forze più sottili. L'IA «si limita a elaborare testo» — sembra astratto, effimero, niente a che vedere con il consegnare una chiavetta USB a uno sconosciuto. L'interfaccia è progettata per dare un'impressione di intimità. E la pressione è reale: il socio vuole un lavoro da dottorato per martedì mattina, e l'IA consegna la merce.
Non sono scuse. Sono la descrizione del perché il problema si aggrava in silenzio anziché ad alta voce — e del perché i sondaggi rilevano costantemente che una maggioranza dei professionisti lo fa regolarmente, mentre la maggior parte delle loro organizzazioni non ha alcuna regola che lo disciplini.
Cosa ha visto davvero l'IA — e cosa ne è stato
I fornitori di IA non applicano tutti la stessa politica di trattamento dei dati, e le sfumature pesano enormemente:
- La maggior parte degli account gratuiti o consumer consente al fornitore di usare le conversazioni per migliorare i propri modelli. Questo include il contratto che avete incollato.
- Gli account enterprise offrono in genere impegni più solidi — nessun uso per l'addestramento, trattamento più rigoroso dei dati — ma la maggior parte dei professionisti non ha un piano enterprise, e persino le condizioni enterprise non soddisfano i requisiti di localizzazione dei dati del GDPR in ogni giurisdizione.
- Revisori umani possono vedere conversazioni segnalate o campionate nell'ambito dei programmi di sicurezza della maggior parte dei grandi fornitori.
- Sub-responsabili: i vostri dati possono transitare attraverso infrastrutture cloud distribuite in più paesi, ciascuno sotto un regime giuridico diverso.
L'informativa sulla privacy non è uno scudo. È un contratto tra voi e il fornitore di IA. Non dice nulla del contratto tra voi e il vostro cliente — e non vi affranca dai vostri obblighi ai sensi del diritto della protezione dei dati.
Le conseguenze che nessuno vuole dire ad alta voce
Ci sono diversi punti di esposizione distinti, e i loro effetti si sommano:
Violazione dell'accordo di riservatezza e del contratto
Quasi ogni incarico di servizi professionali include una clausola di riservatezza che vieta di condividere i dati del cliente con terzi. «Terzi» include i fornitori di IA. Non è una zona grigia — è il testo letterale della maggior parte degli accordi di riservatezza. Se un cliente scopre che i suoi dati sono stati trattati da uno strumento di IA commerciale senza il suo consenso, ha i presupposti per agire a prescindere dal fatto che si sia concretizzato un danno.
GDPR e diritto della protezione dei dati
Ai sensi del GDPR, siete il titolare del trattamento dei dati personali del vostro cliente. Il fornitore di IA diventa un responsabile del trattamento. Perché quel trasferimento sia lecito, vi serve un accordo sul trattamento dei dati in essere — e una base giuridica per il trasferimento transfrontaliero. Usare uno strumento di IA commerciale senza questi non è una violazione tecnica delle buone pratiche. È una potenziale violazione degli articoli 28 e 46, con sanzioni fino a 20 milioni di euro o al 4% del fatturato annuo globale, a seconda di quale sia il valore più alto. Per uno studio di medie dimensioni, non è una cosa teorica.
Dovere deontologico professionale
Avvocati, commercialisti, medici e professionisti delle HR operano sotto doveri di riservatezza specifici del settore che esistono interamente al di fuori del diritto dei contratti. L'avvocato che divulga i dati di un cliente a un fornitore di IA senza il consenso informato di quest'ultimo può andare incontro a un procedimento disciplinare davanti al proprio ordine. L'esito non dipende dall'intenzione. Dipende dai fatti.
Perdita della fiducia del cliente
I regolatori prendono tempo. I clienti agiscono immediatamente. Ma contro cosa, esattamente? Raramente contro l'uso dell'IA in quanto tale: sanno che uno studio moderno si regge su strumenti automatizzati, e pochi ne sono turbati — anzi, se lo aspettano. Ciò che danno per scontato, invece, è che le loro informazioni riservate siano state rimosse prima che un qualsiasi servizio esterno le sfiorasse.
È proprio lì che la fiducia si vince o si perde. Il cliente a cui si spiega che i suoi dati sensibili sono stati ripuliti a monte, con tecniche comprovate, non ha alcun motivo di lagnarsi: ciò che è stato elaborato era un documento anonimizzato, non i suoi segreti. Ma fategli scoprire che le sue informazioni grezze — nomi, cifre, clausole — sono state consegnate intatte a un servizio di terze parti, e la relazione si interrompe sul posto. Il modo in cui lo scopre conta poco: una richiesta di accesso ai propri dati, una notifica di violazione, un ex collega rancoroso, o semplicemente una domanda posta senza giri di parole. E nei servizi professionali, la relazione è il business.
Il danno reputazionale non si limita al singolo incidente. I clienti si parlano tra loro.
La difesa del «ma la loro informativa sulla privacy dice…»
È la prima cosa a cui ci si appiglia. «OpenAI dice di non usare i dati enterprise per l'addestramento.» «Anthropic ha preso un impegno di riservatezza.» Queste affermazioni possono essere vere — per quel tipo di account specifico, in quella giurisdizione specifica, secondo le condizioni specifiche in vigore al momento del trattamento.
Non soddisfano i requisiti del GDPR per la liceità del trattamento. Non annullano il vostro accordo di riservatezza. Non costituiscono una difesa contro un reclamo deontologico. E non vi servono a nulla se la politica del fornitore di IA cambia, se avete frainteso su quale livello vi trovate, o se un regolatore adotta una lettura del «trattamento» più stretta della vostra.
Affidarsi all'informativa sulla privacy di un fornitore per giustificare il trattamento dei dati di un cliente è come affidarsi alla polizza assicurativa di un fornitore per coprire la propria responsabilità. Le polizze sono reali. Semplicemente non fanno ciò di cui avete bisogno.
La soluzione è più semplice di quanto la conformità faccia sembrare
All'IA non serve sapere che la controparte è «Acme GmbH, con sede in Friedrichstraße 123, Berlino» per aiutarvi ad analizzare la struttura contrattuale. Le serve la struttura, la lingua, la logica delle clausole. Rimuovete le identità, tenete il contenuto.
Anonimizzate il documento prima di incollarlo. Sostituite i nomi con [PERSON_1], gli indirizzi con [ADDRESS_1], i numeri di conto con [IBAN_1]. L'IA produce un'analisi di pari qualità. Potrete ricondurre i token agli originali dopo. Il rischio scende a un livello quasi nullo.
Non è una postura di conformità astratta. È un passo di due minuti che separa il metodo di lavoro che avete già da quello che potete realmente difendere.
Il report da dottorato resta del tutto possibile. I dati del cliente, invece, restano dove devono stare.
