Sostituire il nome di un cliente con «Cliente A» prima di chiedere all'IA di riassumere un documento riduce parte dell'esposizione. Non rende automaticamente anonimo il documento. Una professione insolita, un indirizzo, una data precisa o la descrizione di una situazione possono ancora permettere di identificare la persona.
La CNIL distingue l'anonimizzazione, che mira a impedire l'identificazione in modo irreversibile, dalla pseudonimizzazione, che sostituisce gli identificativi consentendo di attribuire nuovamente le informazioni tramite dati aggiuntivi. I dati pseudonimizzati restano dati personali. Questa distinzione dovrebbe guidare il linguaggio usato in un'interfaccia, un contratto o una politica interna.
Partire dal compito, non dall'intero documento
Immagina uno studio professionale che vuole riformulare una lettera. Per migliorarne tono o struttura, il modello ha bisogno del nome del cliente, della data di nascita e dell'intero fascicolo? Spesso è possibile rimuovere parte del testo prima ancora di considerare un meccanismo di sostituzione.
Questo esempio descrive un metodo di preparazione, non una garanzia applicabile a ogni caso. Il segreto professionale, le categorie di dati e le regole specifiche della professione devono essere valutati con gli specialisti competenti dell'organizzazione.
Cercare anche gli indizi indiretti
Una preparazione accurata esamina nomi, recapiti, riferimenti dei fascicoli, luoghi precisi, importi caratteristici, date e combinazioni di informazioni. Considera anche allegati, nomi dei file e metadati quando questi elementi vengono trasmessi al servizio.
Uno strumento automatico può aiutare a rilevare e sostituire le informazioni. La sua qualità dipende però da formato, lingua e contesto. Una scansione riconosciuta male o un identificativo scritto in modo insolito possono sfuggire al controllo. Prima dell'invio resta necessaria una revisione proporzionata alla sensibilità del materiale.
Proteggere la tabella di corrispondenza
Se «Cliente A» può essere collegato a un nome reale tramite una tabella, quella tabella richiede un accesso separato e limitato. Inviarla insieme al testo sostituito annullerebbe il vantaggio pratico della separazione.
Considera anche copie temporanee e registri. Un'interfaccia può mostrare il testo preparato mentre una traccia tecnica conserva il documento originale. Descrivere l'intero percorso dei dati aiuta a individuare le differenze tra ciò che l'utente vede e ciò che il sistema elabora davvero.
Scegliere il servizio e gli usi consentiti
Preparare i documenti non sostituisce la valutazione del fornitore. Condizioni di riutilizzo, conservazione, subfornitori, luoghi di trattamento e procedure di eliminazione rimangono questioni distinte. La CNIL invita le organizzazioni a definire gli usi consentiti e a formare gli utenti sui limiti dei sistemi generativi.
Per il tuo team, una regola esplicita è più utile di un invito generico alla prudenza. Specifica le categorie di documenti ammesse, le informazioni da rimuovere, la procedura di revisione e la persona da contattare in caso di dubbio. Prevedi anche l'eventualità di una divulgazione accidentale.
Testare prima di ampliare l'utilizzo
Prepara documenti fittizi rappresentativi dei formati abituali: lettere, tabelle, verbali e scansioni. Inserisci deliberatamente identificativi diretti e indiretti, poi osserva cosa viene rilevato, cosa sfugge e cosa viene rimosso erroneamente.
Questo test aiuta a definire il ruolo dello strumento e i controlli affidati alle persone. Da solo, non costituisce un accertamento giuridico dell'avvenuta anonimizzazione. Il nostro approccio alla sicurezza e al controllo dei dati parte da questo tipo di ambito concreto, prima di scegliere l'integrazione e le protezioni adatte.
