Documenti e caricamenti
Il tuo rischio maggiore per l'addestramento dell'IA spesso non è il tuo sito web. È il PDF, il foglio di calcolo, la scansione del passaporto, la lettera medica, l'e-mail di un cliente o la presentazione interna che qualcuno carica su un account IA consumer senza controllarne le regole.
Checklist dei file
Curriculum o CV: rimuovi telefono, indirizzo, data di nascita, firma e referenze, a meno che non siano davvero necessari.
Ambito medico, legale o finanziario: trattalo come ad alto rischio. Riassumi manualmente o oscura in modo consistente prima di usare un'IA.
Documenti scolastici e di famiglia: verifica se il file contiene dati su bambini, genitori, insegnanti o altre persone.
File di clienti o del datore di lavoro: ottieni il permesso e usa strumenti approvati. Nomi dei clienti, prezzi, contratti e strategia interna non sono materiale da prompt occasionale.
Strumenti multi-modello: strumenti come MultipleChat AI possono aiutare a separare i progetti e a confrontare i modelli, ma valgono comunque le stesse regole sulla privacy.
Il rischio reale
Per la maggior parte dei piccoli team, l'esposizione più grande non è un crawler che raggiunge il sito web. È un dipendente che incolla un contratto, un elenco di clienti o una presentazione interna in un account IA consumer gratuito per risparmiare tempo. Di solito è fatto in buona fede, ed è proprio per questo che una policy chiara conta più delle colpe.
Gli strumenti di IA consumer sono veloci, familiari e gratuiti, così le persone vi ricorrono sotto la pressione delle scadenze. Potrebbero non sapere che alcuni livelli consumer possono usare gli input per migliorare i modelli, o che i dati dei clienti e dei dipendenti possono essere coperti da contratti e norme sulla protezione dei dati.
Prezzi riservati, codice sorgente, dati personali su clienti o colleghi e strategie non ancora rese pubbliche possono sfuggire al tuo controllo. Anche quando un fornitore non addestra i modelli sui dati, inviarli a uno strumento non approvato può violare i contratti con i clienti, la policy aziendale o gli obblighi sulla protezione dei dati.
Queste sono informazioni a scopo didattico, non una consulenza legale. Gli obblighi sulla protezione dei dati dipendono dalla tua giurisdizione, dai tuoi contratti e dai dati specifici coinvolti, quindi verifica la tua situazione con un professionista qualificato.
Policy e livelli
Una policy utilizzabile è abbastanza breve da essere letta dalle persone. Indica quali strumenti sono approvati, quali dati non devono mai essere incollati in nessuna IA, quando sono richiesti l'oscuramento o i segnaposto e a chi rivolgersi in caso di dubbi. Fornisci una risposta predefinita sicura per le zone grigie, invece di dare per scontato che le persone indovinino correttamente.
Quando il personale ha davvero bisogno dell'IA per i dati di lavoro, un livello enterprise, business o API con condizioni scritte di no-training e di conservazione è di solito più sicuro di un login consumer gratuito. Conferma l'impegno nel contratto e nelle condizioni, invece di dedurlo dal marketing, e verifica se si applica per impostazione predefinita o se deve essere attivato.
Contratti e regioni
Quando un fornitore tratta dati personali per tuo conto, un accordo sul trattamento dei dati (DPA) stabilisce tipicamente cosa può farne, per quanto tempo vengono conservati, se vengono utilizzati sub-responsabili e dove sono archiviati i dati. Le regioni contano perché giurisdizioni diverse hanno regole diverse, e i trasferimenti transfrontalieri possono richiedere garanzie aggiuntive. I punti seguenti sono un orientamento, non una consulenza legale.
Verifica se il fornitore addestra i modelli sui tuoi dati, il periodo di conservazione, i diritti di cancellazione e come vengono divulgati i sub-responsabili. Questi aspetti vanno inseriti nel contratto e nel DPA, non in una finestra di chat.
Il luogo in cui i dati vengono archiviati e trattati può influire su quali regole si applicano. Alcuni fornitori offrono hosting regionale o garanzie per i trasferimenti; conferma cosa è effettivamente disponibile per il tuo piano.
Gli obblighi previsti da leggi come il GDPR e altri regimi regionali dipendono dalle tue specificità. Per qualsiasi aspetto rilevante, verifica con un professionista qualificato in materia di protezione dei dati o legale, invece di affidarti a una pagina generica.
Checklist per piccoli team
Indica gli strumenti approvati: elenca gli strumenti di IA e i livelli che le persone possono usare per i dati di lavoro, e specifica cosa è vietato.
Definisci i dati da non superare: dati personali dei clienti, credenziali, codice sorgente, contratti e piani non ancora resi pubblici non devono mai finire in strumenti non approvati.
Preferisci i livelli no-training: instrada i dati di lavoro reali attraverso piani enterprise o API con condizioni scritte di no-training e di conservazione.
Oscura per impostazione predefinita: richiedi segnaposto per nomi, documenti d'identità e cifre ogni volta che il valore completo non è necessario per l'attività.
Controlla la documentazione: conferma DPA, conservazione, sub-responsabili e regione per qualsiasi strumento che tratti dati personali o dei clienti.
Forma e rivedi: illustra la policy ai dipendenti, dai loro una persona a cui rivolgersi e rivedi l'elenco quando cambiano strumenti e impostazioni.
Confronto dei livelli
Il trattamento dei dati spesso varia in base al livello, ma le impostazioni predefinite cambiano e le pagine di marketing non sono contratti. Considera la tabella seguente come un orientamento sulle domande da porre, poi conferma i dettagli specifici per il prodotto e il piano esatti nelle loro condizioni attuali.
| Considerazione | Consumer / gratuito | Team o Enterprise | API |
|---|---|---|---|
| Addestramento sugli input per impostazione predefinita | Più propenso a usare gli input per migliorare i modelli, a meno che non si modifichi un'impostazione; varia in base al fornitore | Spesso pubblicizza impostazioni predefinite di no-training per i dati aziendali; conferma nel contratto | Spesso descritto come non usato per l'addestramento per impostazione predefinita; verifica le condizioni attuali |
| Controlli sui dati disponibili | Di solito limitati alle impostazioni a livello di account e ai controlli della cronologia | Tipicamente aggiunge controlli di amministrazione, impostazioni di conservazione e opzioni di policy | Controllati tramite le impostazioni per sviluppatori e l'accordo, anziché tramite un'interfaccia di chat |
| Contratto e DPA | Condizioni consumer standard; un accordo sul trattamento dei dati è raro | Condizioni business e un DPA sono disponibili più di frequente | Condizioni commerciali e un DPA sono di solito disponibili per la revisione |
| Conservazione e cancellazione | Definite dalla policy consumer; le opzioni possono essere limitate | Spesso configurabili, con finestre di conservazione definite da confermare | Spesso configurabili tramite l'accordo e le impostazioni |
| Adatto soprattutto a | Attività a basso rischio e non sensibili con oscuramento | Dati di team e aziendali per cui servono impegni scritti | Creazione di prodotti o flussi di lavoro su dati reali con condizioni definite |
Questo confronto ha scopo didattico, non è una consulenza legale, e le impostazioni predefinite differiscono tra i fornitori e cambiano nel tempo. Conferma i dettagli su addestramento, conservazione, sub-responsabili e regione nelle condizioni ufficiali attuali per il piano esatto prima di affidartici.
Checklist per gli acquisti
Prima di instradare dati di lavoro reali attraverso qualsiasi strumento di IA, ottieni risposte chiare e scritte invece di dedurle da una pagina di marketing. Le domande seguenti sono un punto di partenza; adattale ai tuoi dati, ai tuoi contratti e alla tua giurisdizione.
Chiedi se il fornitore addestra i modelli sui tuoi input e output, se questo è l'impostazione predefinita o deve essere disattivato, e se si applicano eccezioni. Conferma che la risposta compaia nel contratto o nelle condizioni, non solo in un articolo di supporto che può cambiare.
Chiedi per quanto tempo vengono conservati i dati, se la conservazione è configurabile, come funzionano le richieste di cancellazione e con quanta rapidità diventano effettive, e se la cancellazione copre i backup e qualsiasi dato derivato. Nota che opt-out e cancellazione sono di solito processi separati.
Chiedi dove vengono archiviati e trattati i dati, se è disponibile l'hosting regionale per il tuo piano, quali sub-responsabili vengono utilizzati e come vengono divulgati i cambiamenti. I trasferimenti transfrontalieri possono richiedere garanzie aggiuntive a seconda della tua giurisdizione.
Condizioni scritte di no-training: conferma che qualsiasi impegno di no-training sia nel contratto o nelle condizioni per il tuo piano specifico, non solo nei testi di marketing.
DPA e sicurezza: richiedi l'accordo sul trattamento dei dati, la documentazione di sicurezza ed eventuali certificazioni pertinenti, e falli esaminare dalla persona giusta.
Controlli di amministrazione e audit: verifica la gestione degli amministratori, i controlli di accesso, la registrazione dei log e la possibilità di imporre le impostazioni a tutto il team.
Condizioni su incidenti e supporto: conferma gli impegni di notifica delle violazioni, i canali di supporto e come il fornitore comunica le modifiche sostanziali alle condizioni.
Uscita e portabilità: chiedi come esportare o cancellare i dati se te ne vai, e cosa succede ai dati archiviati al termine del contratto.
Questi spunti hanno scopo didattico e non costituiscono una consulenza legale. Gli obblighi sulla protezione dei dati dipendono dalla tua giurisdizione, dai tuoi contratti e dai dati specifici coinvolti, quindi verifica qualsiasi aspetto rilevante con un professionista qualificato e controlla la documentazione ufficiale del fornitore.
Letture correlate
Confronta i modelli di IA prima di scegliere un flusso di lavoro.
ChatGPT Alternatives chatgpt-alternatives.comTrova alternative neutrali quando un solo fornitore di IA non basta.
AI Subscription Guide aisubscriptionguide.comScopri quale abbonamento IA si adatta al tuo lavoro reale.
Documentazione crawler di OpenAI platform.openai.com/docs/gptbotControlla le indicazioni attuali su crawler e user-agent di OpenAI.
Documentazione crawler di Google developers.google.com/search/docs/crawling-indexing/overview-google-crawlersVerifica i nomi dei crawler di Google, il comportamento di indicizzazione e i controlli relativi all'IA.
Supporto Anthropic support.anthropic.com/Controlla le indicazioni attuali su account Claude, dati e crawler.
FAQ
Puoi ridurre l'esposizione, ma non puoi garantire il pieno controllo una volta che le foto sono pubbliche. Mantieni private le foto sensibili, rivedi le impostazioni della piattaforma, evita i caricamenti pubblici ad alta risoluzione e usa i controlli sui crawler per il tuo sito web.
Solo dopo aver rimosso i dettagli che non ti servono per l'attività. Nomi, indirizzi, numeri di telefono, date di nascita, firme, segreti del datore di lavoro e referenze possono spesso essere sostituiti con segnaposto.
Fai attenzione. Lettere mediche, passaporti, documenti scolastici, atti legali, file bancari e documenti di famiglia possono contenere dati sensibili su altre persone. Usa impostazioni di privacy approvate oppure non caricarli.
Dipende dal prodotto, dal tipo di account e dalle impostazioni. Alcuni fornitori offrono controlli, piani per team o condizioni API che trattano i dati in modo diverso. Controlla le impostazioni attuali prima di digitare informazioni sensibili.
Non con un solo interruttore tecnico. robots.txt può chiedere ai crawler conformi di stare alla larga, ma è volontario e non rimuove le copie che esistono già altrove.
robots.txt è una convenzione tecnica, non un contratto di per sé. Può sostenere la tua posizione di policy, ma le questioni legali dipendono da giurisdizione, condizioni, diritto d'autore, contratti e applicazione.