Lo facciamo decine di volte al giorno, ormai quasi senza accorgercene. Prendiamo un documento, lo copiamo, lo incolliamo dentro ChatGPT, Claude o Gemini e chiediamo una mano. Una memoria difensiva da sintetizzare. Un bilancio da commentare. Una busta paga su cui sciogliere un dubbio dell’ultimo minuto. Comodo, velocissimo. E qui casca l’asino, perché quel file non è nostro. È del cliente.
Vi siete mai chiesti dove finisce, davvero, ciò che caricate? E, prima ancora: avete il diritto di caricarlo? Due domande diverse. Tutte e due vogliono una risposta prima che premiate invio.
Quei dati non vi appartengono
Quando un cliente ci affida una pratica, ci affida qualcosa di più delicato dei documenti. Ci affida la sua riservatezza. Per l’avvocato il segreto professionale è dovere e diritto primario, scolpito nell’articolo 28 del codice deontologico forense e presidiato penalmente dall’articolo 622 del codice penale. Per il commercialista la riservatezza vive nell’articolo 10 del codice deontologico e poggia sull’articolo 5 del decreto legislativo 139 del 2005. Per il consulente del lavoro c’è l’articolo 25 del codice deontologico, che rimanda all’articolo 6 della legge 12 del 1979.
Tre professioni, tre fonti, una sola sostanza: ciò che il cliente ci confida resta dentro lo studio. Anche a incarico chiuso. Anche quando a noi pare una sciocchezza da nulla.
Poi c’è il GDPR, il regolamento europeo 2016/679, che presidia un altro pezzo della faccenda: i dati personali. Nome, codice fiscale, retribuzione, stato di salute, esposizione debitoria. Caricare un documento che ne è pieno su uno strumento di Intelligenza Artificiale è un trattamento di dati a tutti gli effetti. Va tenuto presente che di quel trattamento il titolare siete voi, non OpenAI, non Google.
La regola del semaforo
Diamoci uno strumento pratico, di quelli che si usano davvero: una regola da applicare domani mattina, un secondo prima di ogni copia-incolla.
Rosso. Dati che identificano una persona: nome del cliente, codice fiscale, una busta paga reale, le parti di un atto, lo stato di salute, i numeri di una dichiarazione. Su uno strumento consumer, qui ci si ferma. Come minimo dovete usare uno strumento con abbonamento business o enterprise (per capirci: non va bene ChatGPT Plus, molto meglio ChatGPT Team).
Giallo. Dati riservati ma non personali, o documenti che possiamo ripulire prima: un bilancio a cui togliamo ragione sociale e partita IVA, una clausola staccata dal contratto, una memoria di cui anonimizziamo le parti. Si procede, ma sempre meglio solo dopo aver tolto ciò che riconduce a qualcuno.
Verde. Tutto ciò che non è riferibile a nessuno: una norma, una massima, un quesito teorico, un modello di lettera vuoto. Qui l’Intelligenza Artificiale lavora benissimo e non rischiate niente.
La regola non è perfetta, lo ammetto. Restano zone grigie, però sposta il ragionamento dal generico “posso?” a una domanda più precisa: questo dato, da solo o incrociato con altri, porta a una persona? Se la risposta è sì, allora non si può su strumento consumer (tantomeno gratuiti).
Anonimizzare davvero, non per finta
Qui la questione si fa interessante. Molti si sentono tranquilli perché hanno cancellato il nome. Non basta. Pensate a una busta paga a cui togliete il nominativo ma lasciate qualifica, sede, livello e retribuzione esatta: in un’azienda di trenta dipendenti quella persona la identificate in due minuti. Si chiama reidentificazione: ricostruire chi è qualcuno incrociando i dettagli che vi siete dimenticati di togliere.
Anonimizzare sul serio vuol dire eliminare tutto ciò che, da solo o combinato, riporta alla persona. I nomi (ovvio), ma anche le date precise, gli importi tondi e fuori scala, i numeri di pratica, i riferimenti a fatti noti. Se la pulizia è fatta a metà, non avete anonimizzato, avete solo girato il cartellino dall’altra parte.
