Dove finiscono i dati che diamo all’AI

La domanda la fa quasi sempre la persona sbagliata, nel momento sbagliato. La persona è qualcuno che nelle riunioni di prima non c’era, e il momento è una riunione di aprile in cui si scopre che mezza azienda usa un assistente da novembre.

A quel punto la risposta onesta è «non lo so», e non è una bella risposta da dare.

La domanda però è buona, e ha risposte precise. Vanno cercate in un posto solo: il contratto con chi vi fornisce lo strumento.

Chi vede cosa, quando scrivete dentro un assistente

Quello che scrivete esce dalla vostra rete e arriva sui computer di qualcun altro. Questo vale sempre, con qualunque fornitore, a meno che il modello non giri su una macchina vostra.

Da lì in poi dipende da tre cose, e sono tre cose diverse che spesso vengono confuse in una:

Se il testo viene conservato, e per quanto. Molti servizi tengono una copia delle conversazioni per un periodo, tipicamente per motivi di sicurezza e assistenza. È una cosa diversa dall’allenamento.

Se qualcuno lo può leggere. Di solito una persona del fornitore può accedere ai contenuti in casi definiti, per esempio se segnalate un problema. Anche questa è una cosa a sé.

Se viene usato per migliorare il modello. È la terza, ed è quella di cui si parla sempre come se fosse l’unica.

Tre interruttori separati. Un fornitore può avere il primo acceso e gli altri due spenti, ed è una configurazione normale.

Account personale e contratto aziendale non sono la stessa cosa

È la differenza che conta di più, ed è anche quella che le aziende scoprono più tardi.

Quando una persona si registra con la propria mail e paga con la propria carta, il rapporto è fra quella persona e il fornitore. Le condizioni sono quelle del servizio al pubblico, e la vostra azienda non ci compare. Se il collega incolla lì dentro un contratto di un cliente, quel contratto è uscito senza che nessuno l’abbia autorizzato e senza che ne resti traccia da nessuna parte.

Con un contratto aziendale cambiano tre cose: le condizioni sono negoziate e scritte, sapete chi ha un accesso, e potete togliere quell’accesso quando una persona se ne va.

La cosa più probabile è che nella vostra azienda ci siano già account personali in uso. Non è un problema di disciplina, è che le persone hanno trovato uno strumento che le aiuta e nessuno aveva dato loro un modo autorizzato di usarlo.

Le domande da mettere per iscritto

Sono quattro, e vanno fatte prima di firmare, per mail, al commerciale che vi segue.

I nostri contenuti vengono usati per addestrare i vostri modelli? Se la risposta è no, fatevi indicare il punto del contratto in cui è scritto. Se la risposta è «dipende dal piano», siete sul piano sbagliato.

Per quanto tempo li conservate, e dove. Il per quanto serve a sapere cosa resta in giro dopo che avete chiuso il rapporto. Il dove serve a chi in azienda si occupa di protezione dei dati, perché la nazione in cui stanno i server cambia le carte da preparare.

Chi, dalla vostra parte, li può leggere e in quali casi. Una risposta seria elenca situazioni precise. Se la risposta resta generica, mettetela agli atti così com’è.

Cosa succede se smettiamo. Come si chiede la cancellazione, in quanto tempo avviene, e cosa vi restituiscono di quello che avete caricato.

Le risposte a queste quattro domande stanno in poche righe di contratto. Se il fornitore ci mette tre settimane a trovarle, tenetene conto: dopo la firma non diventerà più rapido.

Prima di tutto questo, però

C’è un passaggio che viene prima e che spesso salta: decidere quali dati possono uscire.

Non tutti i dati aziendali hanno lo stesso peso. Una bozza di mail commerciale e l’anagrafica dei dipendenti non pongono lo stesso problema, e trattarli allo stesso modo porta a una regola unica che è sempre o troppo stretta o troppo larga. Una lista corta — cosa si può mettere, cosa no, e a chi si chiede nei casi dubbi — vale più di un documento di venti pagine che nessuno legge.

È lo stesso ragionamento che vale per il processo: se non sapete come circolano i dati dentro l’azienda, non potete deciderlo per quelli che escono. Ne abbiamo scritto in L’AI non sistema un processo rotto.

In breve

Quello che scrivete in un assistente esce dalla vostra rete, sempre. Cosa succede dopo dipende da tre impostazioni distinte: se il contenuto viene conservato, se qualcuno del fornitore lo può leggere, e se viene usato per addestrare il modello. Un account personale e un contratto aziendale danno risposte diverse alle tre domande, e con l’account personale la vostra azienda non ha voce. Le quattro domande da fare per iscritto prima di firmare riguardano addestramento, conservazione, accesso interno e uscita. Prima ancora, serve una lista corta di quali dati possono uscire e quali no.

Se vi state chiedendo come si applica alla vostra azienda, scriveteci o mandate due righe a ciao@saturdaycompany.it.