Dove vanno i dati della tua azienda quando usi AI: una risposta chiara per il consiglio

Quando il tuo team utilizza AI, i tuoi dati arrivano ovunque venga eseguito il modello. Con un servizio pubblico ospitato (la versione consumer di un chatbot), i prompt e tutti i file incollati viaggiano verso i server del fornitore e, sui livelli consumer, possono essere conservati e utilizzati per addestrare modelli futuri a meno che non venga disattivato. Con una distribuzione aziendale o privata, i dati rimangono all'interno di un limite contrattato. Viene elaborato per rispondere alla tua richiesta, non conservato per la formazione e può essere bloccato nei data center dell'UE per la residenza. L'unica domanda che decide la tua esposizione è se il contratto afferma che i nostri input e output non verranno mai utilizzati per addestrare i modelli del fornitore e dove vengono archiviati fisicamente. Richiedetelo per iscritto e la maggior parte delle preoccupazioni a livello di consiglio di amministrazione sulla privacy dei dati di AI si risolverà in appalti ordinari.

Dove vanno effettivamente i nostri dati quando utilizziamo AI?

Dipende da quale dei tre modelli stai utilizzando.

Un servizio pubblico per i consumatori invia la richiesta tramite Internet al fornitore, genera una risposta e la restituisce. Nei livelli gratuito e personale, tali contenuti possono essere registrati, esaminati da persone per verificarne la qualità e inseriti in corsi di formazione futuri, a meno che tu non decida di disattivarli.

Un livello aziendale o aziendale dello stesso servizio invia dati allo stesso tipo di infrastruttura, ma in base a un contratto che in genere vieta la formazione sui dati, limita la conservazione e offre una regione per l'archiviazione.

Una distribuzione privata o ospitata autonomamente esegue il modello all'interno del tuo account cloud o di un tenant dedicato. I dati non escono affatto da quel confine. Questa è l'opzione più controllata e solitamente la più costosa da gestire.

La tecnologia è simile in tutti e tre. Il contratto e l'implementazione, non il modello, decidono dove risiedono i tuoi dati.

Cosa significa formazione sui tuoi dati e il consiglio dovrebbe preoccuparsi?

La formazione sui tuoi dati significa che il fornitore conserva le tue richieste e i tuoi caricamenti e li utilizza come esempi per migliorare il modello utilizzato anche dal resto del mondo. La preoccupazione è duplice. Una versione futura del modello potrebbe far emergere frammenti di input sensibili e il tuo materiale riservato ha lasciato il tuo controllo per uno scopo non previsto.

Per una singola email redatta la posta in gioco è bassa. Per contratti, cartelle cliniche, buste paga, codice sorgente o qualsiasi cosa coperta da GDPR o da una clausola di riservatezza, è un vero problema, perché il consenso e la limitazione dello scopo sono obblighi legali, non preferenze.

La risposta non è vietare AI. Significa instradare il lavoro sensibile a un livello che esclude contrattualmente la formazione e la revisione umana. I livelli aziendali affidabili lo fanno per impostazione predefinita. Confermatelo invece di darlo per scontato.

I nostri dati possono rimanere nell'UE e la residenza equivale a conformità?

Sì, la residenza è disponibile, ma è necessaria anziché sufficiente.

La maggior parte dei principali fornitori ora offre la residenza dei dati nell’UE, il che significa che i dati vengono elaborati e archiviati nelle regioni europee. Per un'azienda che tratta dati personali europei, ciò rimuove una delle domande GDPR più difficili, la base legale per il trasferimento internazionale, e si affianca naturalmente agli obblighi che la legge AI dell'UE impone alle aziende che spediscono AI.

La sola residenza non ti rende conforme. Sono comunque necessari un accordo sul trattamento dei dati, una base giuridica chiara, limiti di conservazione e un registro di quali sistemi toccano i dati personali. La residenza risponde dove, non se ti è stato permesso di farlo. Trattalo come un controllo tra tanti, non come l'intera risposta.

Cosa dovremmo chiedere a un fornitore AI prima di firmare?

Un breve elenco, per iscritto, ne risolve la maggior parte.

Domanda	Che risposta sicura sembra
Addestri i tuoi modelli sui nostri input o output?	No, non sui dati di livello aziendale, per impostazione predefinita e nel contratto.
Per quanto tempo vengono conservati i nostri dati?	Una finestra breve e dichiarata (spesso da zero a 30 giorni per il monitoraggio degli abusi), poi cancellata.
Dove vengono elaborati e archiviati i nostri dati?	Una regione denominata, con residenza nell'UE disponibile.
Le persone esaminano i nostri suggerimenti?	Solo con il consenso o mai a livello aziendale.
Firmerai un DPA e fungerai da responsabile del trattamento?	Sì, con i sub-responsabili elencati.
Cosa succede ai nostri dati se partiamo?	Eliminato in una sequenza temporale definita, con conferma.

Se un venditore non può rispondere chiaramente a queste domande, questa è di per sé la risposta. La stessa disciplina che tiene le allucinazioni lontane dalla pipeline di documenti, sapendo esattamente cosa fa il sistema e dimostrandolo, si applica alla destinazione dei dati. Stabilire quale livello si adatta a quale attività, e contrattualizzare la residenza UE e le clausole di non formazione di cui hai bisogno, fa parte del nostro lavoro di consulenza AI.

Il pratico takeaway per la tavola

Non è necessario un briefing tecnico approfondito per governare bene tutto ciò. Devi sapere quale livello utilizza ciascuno strumento AI, se il suo contratto esclude la formazione sui tuoi dati, dove vengono archiviati tali dati e chi possiede il contratto di elaborazione dei dati. Il lavoro sensibile appartiene a un'impresa o a un'impresa privata con residenza nell'UE e una clausola di non formazione. I lavori a bassa posta in gioco possono collocarsi su livelli più semplici. Annota l'inventario, assegna un proprietario e rivisitalo quando viene visualizzato un nuovo strumento. La maggior parte del rischio relativo ai dati AI non è un problema tecnologico. È un problema di approvvigionamento e governance che sai già come gestire.