Dati del cliente e intelligenza artificiale: cosa è legalmente consentito inserire in un modello e come dimostrarlo

Inizia con uno scopo

I dati dei clienti vengono raccolti per un motivo: adempiere un ordine, fornire assistenza o inviare una fattura. La legge consente generalmente di utilizzarli per tale scopo e per finalità compatibili. L'uso dei ticket di assistenza per aiutare il team di supporto a rispondere più velocemente è solitamente compatibile. Utilizzare gli stessi ticket per addestrare un modello che si intende vendere ad altre aziende, invece, non lo è.

Quindi, prima che chiunque carichi qualcosa, scrivi una frase: stiamo utilizzando questi dati per fare X, per il beneficio di Y. Se non riesci a scriverla o suona male, fermati. Questa frase diventerà il punto fermo per tutto il resto.

Conosci la tua base legale

Ogni utilizzo dei dati personali richiede una base legittima. Per i progetti di intelligenza artificiale, le opzioni più realistiche sono solitamente il contratto (il trattamento è necessario per servire il cliente), l'interesse legittimo (hai un reale bisogno aziendale che non sovrasta i diritti del cliente) o il consenso.

L'interesse legittimo è la base più comune e spesso rivendicata senza il lavoro dietro. Richiede un test di bilanciamento scritto: ciò che ottieni, ciò che il cliente rischia e perché si aspetterebbe ragionevolmente questo utilizzo. Questo documento richiede circa un pomeriggio per essere scritto ed è la prima cosa che un auditore ti chiederà di vedere.

Alcuni dati non vanno inclusi

Informazioni sanitarie, dati biometrici, credenze religiose o politiche, orientamento sessuale, iscrizione a sindacati: queste sono categorie speciali e la soglia per il loro trattamento è molto più alta. La stessa cautela si applica ai dati dei bambini e agli identificatori finanziari come i numeri di carta.

La regola pratica è semplice. A meno che l'intero progetto non esista per gestire questo tipo di dati e tu abbia ricevuto consulenza in merito, filtrali prima che raggiungano qualsiasi modello. Esistono strumenti di redazione per questo scopo. Testali contro i tuoi veri dati, perché un filtro che blocca il 95% dei numeri di carta lascia ancora passare il 5%.

Dove va il dato è importante quanto cosa è

Inviare i dati dei clienti a un fornitore di intelligenza artificiale lo rende il vostro elaboratore. Avete bisogno di un accordo di elaborazione dati con loro e dovete leggere attentamente tre clausole:

Formazione: il fornitore utilizza le tue entrate per migliorare i propri modelli? I livelli aziendali solitamente dicono di no. Ottienilo per iscritto.
Conservazione: quanto tempo tengono le tue richieste e gli output, e puoi abbreviarlo?
Localizzazione: dove viene elaborato il dato? I trasferimenti al di fuori dell'UE richiedono un meccanismo legale, come una decisione di adeguatezza o clausole contrattuali standard.

L'esecuzione dei modelli sulla propria infrastruttura elimina la maggior parte di queste domande. Non elimina però la necessità di documentare ciò che hai fatto.

Recuperare è più facile da difendere che formare

Ci sono due modi generali per dare al modello i tuoi dati. Puoi formarlo o raffinarlo, in modo che i dati diventino parte del modello. Oppure puoi mantenere i dati nei tuoi sistemi e far sì che il modello li recuperi al momento della risposta, solitamente chiamato recupero.

Per i dati dei clienti, il recupero è quasi sempre la scelta più sicura. Quando un cliente ti chiede di cancellare i suoi dati, elimini la registrazione e scompare da ogni risposta futura. Estrarre i dati da un modello addestrato è, in pratica, quasi impossibile. Ciò rende molto difficile onorare il diritto all'oblio e i regolatori lo sanno.

Come dimostrare di averlo fatto bene

La conformità che non può essere dimostrata conta poco. Conserva questi registri e tienili aggiornati:

Un registro di elaborazione che elenca il sistema di intelligenza artificiale, i dati che utilizza, lo scopo e la base legale.
Una valutazione dell'impatto sulla protezione dei dati. Nuove tecnologie combinate con grandi volumi di dati personali quasi sempre ne richiedono una. È il documento più persuasivo che puoi consegnare a un audit.
Accordi di elaborazione firmati con ogni fornitore che tocca i dati.
Registri che mostrano cosa è entrato nel sistema, quando e sotto quale autorità, insieme alla prova che la tua redazione ha funzionato.
Un proprietario nominato che esamina tutto ciò che sopra menzionato ogni volta che il sistema cambia.

La Legge sull'Intelligenza Artificiale dell'UE aggiunge i propri doveri di documentazione, specialmente quando un sistema viene utilizzato in aree ad alto rischio come l'assunzione o il credito. Se i tuoi registri coprono già questi cinque punti, sei gran parte del percorso.

Porta il peso fin dall'inizio

Le aziende entrano in difficoltà quando la nave pilota parte prima e la documentazione viene ricostruita più tardi. Fai il contrario. Scrivi lo scopo, scegli la base, filtra i dati, firma i contratti, accendi i registri e poi costruisci. Aggiunge al massimo alcune settimane e significa che la risposta a "puoi dimostrarlo?" è una cartella, non una corsa contro il tempo.

Quo ante è una parte importante di ciò che facciamo presso Hercules A. Che tu lavori con noi o meno, fallo prima che il primo record venga inserito.