L'IA cambia la protezione dei dati personali perché sposta il rischio. I controlli classici proteggono il luogo in cui i dati sono conservati. Con gli assistenti di IA il dato esce nel momento dell'uso, per mano di chi ha il diritto di consultarlo. Il controllo deve quindi avvenire prima del modello, sulla macchina dove il documento si trova già.
Il registro e la fotocopia
Molti studi con un archivio cartaceo tengono un registro dei prelievi: chi ha preso il fascicolo, quando, quando lo ha riportato. Nessuno vi annota la fotocopia. La faceva, nella stanza accanto, chi aveva il diritto di consultare il fascicolo.
La lacuna era tollerabile, perché una fotocopia costava fatica e restava nello studio. Oggi la fotocopia è un copia e incolla, che non costa nulla e finisce spesso in un assistente di IA, su server di cui lo studio sa poco.
Un impianto che funziona ancora
Chi ha costruito un impianto privacy negli ultimi anni ha poco da rimproverarsi. Il registro dei trattamenti è aggiornato e i fornitori sono nominati responsabili con un contratto ai sensi dell'art. 28 GDPR. Il Codice Privacy (d.lgs. 196/2003, modificato dal d.lgs. 101/2018) è rispettato, gli accessi sono profilati, il backup è cifrato. Quell'impianto supererebbe probabilmente un'ispezione.
Ciascuno di quei controlli riguarda però il dato conservato, o in transito fra sistemi scelti dallo studio. La profilazione decide chi apre la cartella del cliente, e non vede che cosa fa dopo. La cifratura protegge un disco rubato, mentre un paragrafo copiato le sfugge. Gli strumenti contro la perdita di dati riconoscono un allegato inviato all'esterno, quasi mai il testo incollato in una pagina web.
Un collaboratore deve riassumere una perizia di quaranta pagine in venti minuti. Apre il file a cui ha accesso, ne copia il testo e lo incolla in un assistente. Codice fiscale, IBAN dei rimborsi e numero di tessera sanitaria escono con un solo gesto, e nessun registro lo conserva. Il titolare non saprebbe dire quante volte sia successo.
Un controllo più severo non basta
Nessuna credenziale è stata rubata e nessuna regola tecnica violata. Il dato prende una strada che i controlli non sorvegliano, perché quando sono stati progettati quella strada non esisteva. Rendere più severo lo stesso controllo serve quindi a poco, perché funziona già.
Si può vietare l'uso dei chatbot con una circolare interna. L'esito più probabile è che il lavoro passi sul telefono personale, dove la circolare non arriva e non resta traccia. Serve un controllo nuovo, nel punto in cui il dato passa davvero.
Nel marzo 2023 il Garante per la protezione dei dati personali ha bloccato ChatGPT in Italia, prima autorità occidentale a farlo. In quei giorni uno studio non avrebbe potuto sapere quanti fascicoli erano già passati da quella chat. Il suo impianto privacy non era costruito per vederlo.
Perché il fornitore non può farlo al posto dello studio
Si può scegliere un fornitore di IA con impegni solidi, nominarlo responsabile e farsi garantire che i dati non saranno usati per addestrare i modelli. Sono cautele utili, ma non spostano il punto in cui il trattamento avviene. L'art. 28 GDPR regola che cosa il responsabile fa con i dati ricevuti. Qualunque suo filtro lavora dopo che il testo è arrivato.
Per avvocati, commercialisti e notai c'è un secondo livello. Il segreto professionale (art. 622 c.p., art. 200 c.p.p.) riguarda la rivelazione, che avviene al momento della trasmissione. Un buon contratto ne limita le conseguenze, senza cancellarla. Se un certo uso sia ammissibile lo valutano lo studio e i suoi consulenti.
La responsabilità resta in capo al titolare. Secondo l'art. 5, par. 2 GDPR, è lo studio che deve dimostrare quali dati ha trattato e come. Un filtro sui server di un terzo, con regole che lo studio non vede, produce al massimo una dichiarazione di quel terzo.
Il controllo va quindi fatto fra il documento e il modello, sulla macchina. Una ricognizione degli strumenti porta alla stessa conclusione, e l'abbiamo raccolta in una mappa delle strategie di protezione dei dati personali e del posto che vi occupa promptShield. Qui sotto descriviamo come abbiamo messo in pratica questo ragionamento nel prodotto, con i suoi limiti.
Che cosa succede prima che il testo arrivi al modello
La funzione Rileva lavora per passaggi. Gli Schemi riconoscono i valori dalla forma prevedibile, come codice fiscale, IBAN e numero di tessera sanitaria. Un modello configurabile di riconoscimento delle entità trova nomi, società e indirizzi. Le Espressioni aggiungono il lessico della singola pratica.
L'Analisi approfondita con un modello linguistico locale è facoltativa e disattivata per impostazione predefinita. I risultati vengono uniti, ripuliti dai doppioni e propagati fra le pagine, così che un nome trovato a pagina 1 venga segnalato anche a pagina 4. Infine si filtrano i falsi positivi.
Una pagina scansionata è un'immagine. L'applicazione la elabora a 300 dpi e la legge con Tesseract nella lingua del documento più l'inglese. Poi copre i pixel dei dati personali e ricostruisce sotto uno strato di testo ricercabile. I pacchetti linguistici sono otto (italiano, inglese, francese, tedesco, spagnolo, olandese, portoghese, polacco), e una scansione letta con il pacchetto sbagliato dà risultati scadenti senza avviso.
Nessun modello locale individua ogni identificativo. Per impostazione predefinita un file protetto non si scarica finché una persona non ha verificato le rilevazioni nella Revisione. Poi si sceglie: Rimuovi elimina il valore in modo irreversibile, Codifica lo sostituisce con un codice breve su cui il modello può ragionare.
I codici valgono per cartella. I codici di una cartella non compaiono nelle altre, e solo un codice fissato a mano vale per l'intero archivio. All'esportazione di un PDF anche le parti nascoste ricevono il codice o, se il valore è stato rimosso, un segnaposto neutro.
La corrispondenza fra codici e valori sta nel Registro codici, sulla macchina. La Decodifica avviene in locale, attraverso il componente incluso nell'applicazione. La Protezione degli appunti controlla infine il copia e incolla.
L'applicazione gratuita nel browser genera codici della stessa forma, con una chiave propria del browser. Il documento resta sulla macchina, ma l'applicazione invia all'avvio un segnale anonimo. Per questo la dicitura "100% offline" vale solo per l'applicazione desktop. La modalità completamente isolata, senza verifica della licenza né segnalazione degli errori, è riservata al piano Pro.
La modalità remota
Nella configurazione predefinita la rilevazione non fa richieste a modelli esterni al dispositivo. Esiste però una modalità remota dell'Analisi approfondita, che invia il testo delle pagine a un indirizzo scelto dall'utente: un modello sulla rete dello studio o un servizio esterno. È disattivata per impostazione predefinita e disponibile solo nel piano Pro.
Per usarla servono tre scelte: attivare l'Analisi approfondita, sceglierne la modalità remota e indicare dove inviare il testo. Il regolamento interno dovrebbe dire chi può farle. Su questo abbiamo sbagliato anche noi: una pagina del nostro sito sulla sicurezza negava questo percorso, mentre la pagina delle funzioni lo descriveva. Una verifica interna l'ha scoperto e la pagina è stata corretta.
Domande frequenti
Perché il mio impianto privacy non copre l'uso dell'IA?
Perché protegge il luogo in cui i dati sono conservati, e lì funziona ancora. L'IA ha spostato il rischio al momento dell'uso, con un gesto che nessun controllo di accesso registra.
Non può essere il fornitore cloud a filtrare i dati personali?
Può farlo sui propri sistemi, quindi dopo averli ricevuti. Per chi è vincolato al segreto professionale la rivelazione avviene già con la trasmissione, e la responsabilità resta comunque al titolare.
In quale punto va fatto il controllo?
Fra il documento e il modello, sulla macchina dove il documento si trova già. Lì lo studio decide che cosa esce: codificato, rimosso o nulla.
I documenti scansionati vengono protetti allo stesso modo?
Sì, con una lettura in più fatta con Tesseract. Conviene controllare che la lingua impostata sia quella del documento, perché il pacchetto sbagliato dà risultati scadenti senza avviso.