Usare l'IA in sicurezza al lavoro

Gratuito o aziendale: il piano fa la differenza

Se uno strumento è adatto ai dati aziendali dipende spesso meno dal modello di IA che dal piano. Lo stesso strumento può avere regole diverse nel piano gratuito e in quello aziendale. È la nostra osservazione dai dati dei fornitori che abbiamo verificato, non una legge.

Frequente nei piani gratuiti e personali

• Nessun accordo sul trattamento dei dati
• Gli input possono essere usati per l'addestramento, spesso con un interruttore per disattivarlo
• Accesso con un account personale
• Nessuna scelta sul luogo di conservazione

Frequente nei piani aziendali, team e API

• Accordo sul trattamento dei dati disponibile
• Nessun addestramento sugli input, secondo il fornitore
• L'azienda gestisce gli account, non la singola persona
• Luogo di conservazione a volte selezionabile, per esempio l'UE

«Frequente» non vuol dire «sempre»: legga i dati proprio del suo piano. Le autorità tedesche per la protezione dei dati raccomandano inoltre account e dispositivi aziendali invece di account personali. Fonte: Conferenza tedesca per la protezione dei dati: orientamento su IA e protezione dei dati (PDF, in tedesco)

Tre esempi di tutti i giorni

Preventivo di un'impresa di imbiancatura

Un'impresa di imbiancatura si fa scrivere da un'IA il testo di un preventivo per tinteggiare una facciata, senza nome del cliente, indirizzo o foto della casa. Attenzione: anche senza nome spesso si può riconoscere una persona dal contesto, per esempio da via e data. Per questo, secondo le autorità per la protezione dei dati, cancellare il nome spesso non basta. Fonte: Conferenza tedesca per la protezione dei dati: orientamento su IA e protezione dei dati (PDF, in tedesco)

Preselezionare le candidature

Un'azienda fa riassumere le candidature a un'IA. Chi invitare o scartare lo decide una persona che esamina davvero la proposta. Le persone hanno, in linea di principio, il diritto di non essere sottoposte a una decisione presa solo in modo automatico che le riguarda in modo significativo (art. 22 GDPR). Secondo le autorità per la protezione dei dati, non basta una persona che approva solo per formalità. Fonte: Regolamento generale sulla protezione dei dati (EUR-Lex), Conferenza tedesca per la protezione dei dati: orientamento su IA e protezione dei dati (PDF, in tedesco)

Registratore di riunioni con i clienti

Un'agenzia vuole che un registratore con IA prenda appunti delle videochiamate. Prima avvisa tutti i partecipanti e chiede il loro consenso. In Germania registrare senza autorizzazione le parole dette in privato da un'altra persona è reato (§ 201 StGB). Altri Paesi hanno regole proprie. Fonte: § 201 Codice penale tedesco (in tedesco)

Gli obblighi in breve

Alfabetizzazione in materia di IA nel team

Dal 2 febbraio 2025 le aziende che usano l'IA in ambito professionale devono fare in modo che il loro personale sappia usarla (art. 4 AI Act). Secondo la Commissione europea non sono richiesti un livello fisso né un certificato; è possibile tenere un registro interno di formazioni e istruzioni. Secondo la Commissione vale anche se il team scrive solo testi con una chat, per esempio con un avviso sui fatti inventati. Le autorità vigilano su questo dal 2 agosto 2026. Fonte: Commissione europea: domande e risposte sull'alfabetizzazione in materia di IA (in inglese), Commissione europea: l'AI Omnibus entra in vigore (27.07.2026, in inglese)

Etichettare deepfake e testi di IA

Dal 2 agosto 2026 i deepfake pubblicati in ambito professionale devono essere etichettati chiaramente. Sono immagini, video o audio di IA dall'aspetto reale che somigliano a persone, luoghi o eventi reali. Anche i testi di IA che informano il pubblico su questioni di interesse pubblico richiedono un avviso, a meno che una persona ne abbia rivisto il contenuto e ne abbia la responsabilità editoriale (art. 50, par. 4, AI Act). Il 2 dicembre 2026 riguarda soprattutto i fornitori: gli strumenti già sul mercato prima del 2 agosto 2026 devono marcare i loro contenuti in modo leggibile dalle macchine entro quella data. Dallo stesso giorno sono vietati i sistemi di IA che generano immagini intime senza consenso. Fonte: Commissione europea: domande frequenti sull'art. 50 (in inglese), AI Act Service Desk: cosa vale da quando? (in inglese)

Violazione dei dati: 72 ore

Se dati su persone finiscono a soggetti non autorizzati, per esempio tramite un account di IA violato, l'azienda deve notificarlo all'autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore, a meno che sia improbabile un rischio per le persone interessate. Ogni violazione viene documentata internamente. Un fornitore che tratta dati per l'azienda deve informarla di una violazione senza ingiustificato ritardo (art. 33 GDPR). Fonte: Regolamento generale sulla protezione dei dati (EUR-Lex)

Responsabile della protezione dei dati

In Germania un'azienda ha bisogno di un responsabile della protezione dei dati se, di regola, almeno 20 persone si occupano stabilmente del trattamento automatizzato di dati personali. Indipendentemente dal numero è obbligatorio, tra l'altro, se serve una valutazione d'impatto (§ 38 BDSG). Secondo le autorità per la protezione dei dati, con l'uso dell'IA questo sarà «spesso» il caso. In tutta l'UE si applica inoltre l'art. 37 GDPR. Fonte: § 38 Legge federale tedesca sulla protezione dei dati (in tedesco), Conferenza tedesca per la protezione dei dati: orientamento su IA e protezione dei dati (PDF, in tedesco), Regolamento generale sulla protezione dei dati (EUR-Lex)