Il calcolo dell'esposizione quotidiana di PII
La ricerca di Cyberhaven ha rilevato che i dipendenti aziendali eseguono in media 3,8 incollature di dati sensibili in ChatGPT per utente al giorno. Per un team di supporto di 100 persone, ciò equivale a 380 istanze di record clienti che entrano in ChatGPT ogni giorno.
Ciascuna istanza può costituire una violazione del principio di minimizzazione dei dati ai sensi dell'articolo 5(1)(c) del GDPR. Quell'articolo richiede che le informazioni personali siano «adeguate, pertinenti e limitate a quanto necessario».
Non si tratta di dipendenti che ignorano deliberatamente le policy. Il dato di 3,8 riflette il lavoro ordinario. Gli operatori copiano le email dei clienti per redigere risposte. Incollano il testo dei reclami per ottenere suggerimenti empatici. Includono i dettagli dell'account per ricevere risposte contestualizzate. Ogni incollatura è un passo legittimo di produttività che porta con sé PII per via accessoria.
La formazione comportamentale non risolve il problema
Un audit UE del 2024 ha rilevato che il 63% dei dati utente di ChatGPT conteneva informazioni personali identificabili. Solo il 22% degli utenti sapeva di poter disattivare questa funzione attraverso le impostazioni dello strumento. La maggior parte dei contenuti incollati in un assistente AI contiene PII. La maggior parte degli utenti non è consapevole dei controlli disponibili. Il risultato è un'esposizione quotidiana su larga scala.
La formazione sulle policy si scontra con un problema di fondo. L'abitudine di copiare e incollare ha decenni di storia. Gli utenti copiano e incollano testo dal primo giorno di lavoro al computer. Inserire uno strumento AI come destinazione di incollatura aggiunge una nuova destinazione, ma non cambia l'abitudine.
Una policy del tipo «non incollare PII dei clienti nell'assistente AI» chiede agli operatori di inserire un passaggio di classificazione — «questo testo contiene PII?» — all'interno di un'azione abituale che non prevede pause naturali. Gli effetti della formazione si esauriscono nel tempo. Il risultato cumulativo di 380 decisioni di incollatura quotidiane è un rischio di conformità che le sole policy non riescono a contenere.
Dove i controlli tecnici funzionano
La soluzione interviene sull'azione di incollatura stessa. Un'estensione del browser intercetta il contenuto degli appunti nel momento in cui l'operatore preme incolla, prima che il testo raggiunga il campo di input. L'operatore visualizza una finestra di anteprima che mostra cosa è stato rilevato e cosa verrà anonimizzato prima dell'invio.
Non si tratta di un controllo bloccante. Gli operatori possono procedere, modificare o interrompere. È un passaggio di trasparenza. Aggiunge un momento di visibilità a un'azione che altrimenti sarebbe automatica.
Pensiamo a un responsabile del supporto di un e-commerce tedesco che redige risposte ai reclami dei clienti. Il flusso di lavoro rimane invariato: copia il reclamo, incolla in ChatGPT, genera una risposta. L'estensione aggiunge un controllo di due secondi. L'operatore vede che sono stati rilevati nomi, indirizzi e numeri d'ordine. L'operatore clicca su «procedi». Lo strumento riceve la versione anonimizzata. La violazione della conformità non si verifica.
La nostra guida alla conformità GDPR illustra la base giuridica di questi controlli. Vedere anche il confronto tra policy AI e controlli tecnici e la guida al browser DLP per ChatGPT per i dettagli implementativi.