ChatGPT con i dati aziendali

Lunedì mattina. Un commerciale incolla in ChatGPT l'elenco dei clienti con i fatturati dell'anno, per farsi scrivere un'email di follow-up. Ci mette due minuti. L'email è buona. In azienda nessuno sa che è successo.

Il problema non è ChatGPT. È che nessuno ha detto cosa ci si può mettere dentro e cosa no. Qui proviamo a dirlo, senza allarmismi e senza minimizzare.

Il rischio è reale, ma non è quello che pensi

Il rischio non è che "ChatGPT ruba i dati". I rischi concreti sono tre, e sono più banali.

1. L'addestramento

Nei piani personali, gratuito e Plus, le conversazioni possono essere usate per addestrare i modelli. Si può disattivare dalle impostazioni, alla voce sui controlli dei dati. Ma è attivo per impostazione predefinita, e quasi nessuno lo cambia.

2. L'account personale

Anche con l'addestramento disattivato, i dati finiscono su un account che l'azienda non controlla. Non lo vede, non può cancellarne il contenuto, e quando il dipendente se ne va la cronologia resta a lui.

3. Il GDPR

Se nel testo incollato ci sono persone, clienti o dipendenti, stai trasferendo dati personali a un fornitore senza un contratto per il trattamento. È questo il punto che interessa davvero al tuo consulente privacy.

Non è un rischio teorico. Nel 2023 alcuni ingegneri di Samsung hanno incollato codice sorgente riservato in ChatGPT per farselo correggere. L'azienda ha reagito vietando gli strumenti di AI esterni. Un divieto è la risposta più semplice. Di solito non è la migliore: le persone continuano a usarli dal telefono.

Cosa si può fare, e cosa no

Con un account personale, una regola pratica: se non lo manderesti per email a uno sconosciuto, non incollarlo.

Va bene:

• riscrivere un testo dopo aver tolto nomi e cifre;
• riassumere documenti pubblici, normative, articoli;
• preparare la struttura di un'email o di una presentazione;
• farsi spiegare una formula Excel o un concetto tecnico.

Non va bene:

• elenchi clienti, fatturati, offerte con i prezzi;
• dati dei dipendenti, buste paga, valutazioni;
• contratti, documenti legali, codice sorgente proprietario;
• password, chiavi di accesso, credenziali di qualsiasi tipo.

Il piano business protegge i dati. Non li conosce

Ci sono due alternative serie all'account personale. Risolvono problemi diversi.

I piani aziendali

ChatGPT Business ed Enterprise, come i piani equivalenti di altri fornitori, per impostazione predefinita non usano i dati per l'addestramento. C'è un contratto per il trattamento dei dati. Un amministratore gestisce gli account, vede le conversazioni dell'area di lavoro e decide per quanto tempo conservarle. Il costo è di qualche decina di euro per utente al mese.

Il problema privacy è risolto. Un altro resta: l'AI non conosce la tua azienda. Ogni volta qualcuno deve copiare e incollare i dati giusti, e sperare che siano aggiornati.

L'AI collegata ai tuoi sistemi

La seconda strada è un'AI che interroga direttamente gestionale, CRM e documenti. Ogni persona vede solo i dati che il suo ruolo le permette di vedere. Le risposte arrivano con le fonti citate, quindi si possono verificare. È quello che facciamo con l'AI Company Brain, e lo abbiamo raccontato in le risposte, non solo i dati.

Detto con onestà: non sempre serve. Se l'uso è scrivere email e riassumere documenti, un piano business basta, e costa molto meno. Se invece serve chiedere "quali clienti hanno ordinato meno quest'anno rispetto allo scorso", copiare e incollare non regge.

Una policy interna in 5 punti

Non serve un regolamento di 20 pagine. Serve una pagina che tutti hanno letto.

1. Per lavoro, solo account aziendali. Gli account personali restano per gli usi personali.
2. Tre categorie di dati. Liberi: tutto ciò che è già pubblico. Solo su strumenti approvati: dati di clienti, offerte, documenti interni. Mai: credenziali, dati sanitari, dati sensibili dei dipendenti.
3. Nessuna credenziale in un prompt. Password, chiavi e token non si incollano da nessuna parte, nemmeno sui piani aziendali.
4. Chi usa la risposta ne risponde. Il testo generato si rilegge. Numeri, nomi e riferimenti normativi si verificano prima di mandarli a un cliente.
5. Un referente e una revisione ogni 6 mesi. Strumenti, piani e condizioni cambiano spesso. Le regole vanno ricontrollate allo stesso ritmo.

Una nota: dal 2 febbraio 2025 l'AI Act chiede alle aziende che usano sistemi di intelligenza artificiale di garantire al personale un livello sufficiente di alfabetizzazione sull'AI (articolo 4). Una policy spiegata in una riunione di 30 minuti è un buon inizio anche per questo.

Prima le regole, poi gli strumenti

Se in azienda ChatGPT si usa già, e quasi sempre è così, il primo passo non è comprare qualcosa. È capire come lo state usando oggi.

In una call di 30 minuti guardiamo insieme gli usi reali e ti diciamo se basta un piano business con una policy chiara, o se ha senso collegare l'AI ai tuoi sistemi. Senza impegno. Trovi il nostro approccio nella pagina di consulenza e strategia AI, oppure puoi fissare la call dalla pagina contatti.