Compliance e uso accettabile

Cosa vediamo oggi

• Le regole scritte che ci riguardano davvero — poche, e in italiano
• Cosa l'azienda registra dello strumento interno, e perché ve lo diciamo prima
• La linea: cosa si può fare, cosa richiede cautela, cosa non si fa mai
• Un laboratorio: portate un caso vero del vostro reparto e lo passiamo insieme

Nel modulo scorso: dove ci mettiamo la faccia. Oggi: dove passa il confine, per iscritto.

Due leggi, non venti

Di normativa sull'IA se ne parla tantissimo. Per il vostro lavoro quotidiano contano due cose, e sono meno spaventose di come le raccontano.

• Il GDPR — che conoscete già: vale anche quando i dati personali passano da uno strumento di IA
• Il Regolamento europeo sull'intelligenza artificiale (AI Act) — che classifica gli usi per rischio e chiede che chi usa questi strumenti sappia cosa sta usando

Nessuna delle due dice «non si può usare». Dicono a quali condizioni.

Il GDPR, ridotto all'osso

Tre principi che bastano a coprire il novanta per cento dei casi che incontrate:

• Serve un motivo legittimo per trattare un dato personale. «Mi era comodo» non è un motivo
• Il minimo indispensabile: si usa solo il dato che serve a quello scopo, non tutto il fascicolo
• Si deve poter ricostruire chi ha fatto cosa, con quali dati. Per questo lo strumento tiene traccia

C'è poi una regola specifica sulle decisioni automatiche che incidono su una persona: non possono essere solo automatiche. Ci torniamo tra poco.

L'AI Act: cosa cambia per voi

Il regolamento europeo divide gli usi per livello di rischio: alcuni sono vietati, altri sono «ad alto rischio» e hanno obblighi pesanti, la gran parte è a rischio limitato.

• L'uso che facciamo qui — scrivere, riassumere, cercare, farsi aiutare sul codice — sta nella fascia leggera
• Si entra nell'alto rischio quando lo strumento incide su selezione, valutazione o gestione del personale
• Il regolamento chiede inoltre che chi lavora con questi strumenti abbia una formazione adeguata

Quest'ultimo punto ha un effetto pratico immediato: questo corso è anche un adempimento, non solo un investimento.

Il punto che tocca il nostro lavoro

Se una decisione riguarda una persona — assumerla, valutarla, assegnarle un turno, negarle qualcosa — non può essere presa dallo strumento da solo.

• Deve esserci una persona che decide e che può motivare la decisione
• Non basta un timbro formale: chi decide deve poter discostarsi dal suggerimento
• Vale anche quando lo strumento «ha solo fatto una scrematura»: la scrematura è già una decisione

È lo stesso principio visto nel modulo sull'etica, e qui è scritto in una legge.

Trasparenza, non sorveglianza

Lo strumento interno tiene traccia di alcune cose. Non è un dettaglio tecnico da nascondere in fondo a un regolamento: se dobbiamo fidarci, dovete sapere prima cosa viene registrato.

• Serve a proteggere l'azienda in caso di contestazione, e a proteggere voi
• Serve a rispondere alla domanda «da dove viene questo risultato», che prima o poi arriva
• Non serve a misurare quanto lavorate

Tre piani di controllo

Sul terzo piano la revisione umana è a campione e sulle segnalazioni, non una lettura sistematica di quello che scrivete.

Cosa vuol dire in pratica

• Le conversazioni non restano per sempre: c'è un tempo di conservazione, ed è verificabile
• Se incollate una credenziale, il sistema può segnalarlo: è una rete di protezione, non una trappola
• Nessuno legge le vostre conversazioni per curiosità, e chi ha accesso agli strumenti di controllo è un elenco chiuso
• I dati restano dentro l'infrastruttura aziendale: è il motivo per cui esiste lo strumento interno

Se qualcosa di tutto questo vi sembra sbagliato o sproporzionato, questo è il momento di dirlo.

Si fa, senza pensarci troppo

Questa è la stragrande maggioranza di quello che farete. Non serve chiedere il permesso ogni volta.

Si può, ma con cautela

Zona grigia vuol dire: non decidete da soli. Un minuto per chiedere costa meno di una segnalazione al Garante.

Non si fa. Mai

L'ultima riga della lista è quella che nella pratica salta più spesso, ed è anche la più costosa.

Lo strumento personale

La regola che genera più discussioni: perché non posso usare il servizio pubblico che uso a casa, che magari è pure più bravo?

• Perché quello che ci scrivete esce dal perimetro aziendale e non torna indietro
• Perché in caso di contestazione l'azienda deve poter dimostrare dove sono finiti i dati, e lì non può
• Perché il contratto con alcuni clienti lo vieta esplicitamente

Per uso personale fate quello che volete. Con roba di lavoro si usa quello aziendale, anche quando è meno comodo.

Provatelo voi

Sui portatili, quindici minuti: uno strumento in cui incollate un testo e vi mostra cosa non dovrebbe uscire dall'azienda, e da che parte della linea cade il caso.

• Provate con un testo vostro — una mail, una nota, un pezzo di documentazione
• Guardate cosa viene evidenziato e chiedetevi se eravate d'accordo prima di vederlo

Lo strumento resta online anche dopo il corso: quando avete un dubbio su un testo, passatelo di lì prima di incollarlo altrove.

Proviamolo insieme → talk.giobi.com/artifact/cosa-esce

Quando il dubbio resta

Nessuna lista copre tutti i casi. Quando siete nel mezzo e non sapete:

• Chiedete prima: a chi coordina il vostro reparto, o a chi presidia lo strumento
• Se è successo qualcosa che non doveva succedere, ditelo subito. Un errore segnalato in giornata si sistema; scoperto a mesi di distanza, no
• Non esiste una sanzione per chi chiede. Esiste un problema serio per chi nasconde

Cosa portiamo via da qui

Quello che uscirà dal laboratorio non resta negli appunti di qualcuno:

• I casi discussi diventano esempi concreti nel documento di uso accettabile dell'azienda
• Le regole si aggiornano quando cambia il lavoro: questa è la prima versione, non l'ultima
• Chi trova un caso nuovo lo segnala, e la lista cresce

Una policy scritta da chi non fa il lavoro invecchia in tre mesi. Questa la state scrivendo voi.

Tre cose da portare a casa

• La legge non vieta: pone condizioni. Le due che contano sono un motivo legittimo e il minimo indispensabile
• Il controllo esiste, ve l'abbiamo detto prima e serve a ricostruire, non a sorvegliare
• Tre livelli: la gran parte del lavoro è verde; nella zona grigia si chiede; il rosso è corto e non si negozia

Con questo modulo il corso Foundation è chiuso. Per chi coordina, per chi sviluppa e per i reparti amministrativo e networking ci sono i percorsi dedicati.

Il corso in quattro frasi

• 1.1 — È una macchina che prevede la parola successiva. Non sa, non capisce, e a volte inventa
• 1.2 — Serve a togliere attrito da cose che già fate. Il caso d'uso lo trovate voi
• 1.3 — Il pregiudizio siamo noi riflessi. La firma resta vostra
• 1.4 — La linea è scritta, la parte verde è larga, e la si aggiorna insieme