Un dipendente ha incollato un documento riservato in un chatbot: che cosa fare nelle prime 48 ore
5 min di lettura
Se avete appena scoperto che un collega ha incollato in un chatbot pubblico un documento che non doveva uscire, per esempio un contratto con i dati di un cliente, un’offerta o il disegno di una macchina, nelle prossime 48 ore conta più l’ordine che la colpa. Se nel documento ci sono dati personali, il GDPR vi chiede di decidere in fretta se avvisare il Garante. Se ci sono segreti dell’azienda o di un cliente, quello che fate adesso potrà diventare parte della prova di come li proteggete.
La prima ora: annotare, poi cancellare
Prima di cancellare la conversazione, fatevi raccontare e annotate:
- quale servizio, con quale account (personale, gratuito o a pagamento, oppure aziendale), in quale giorno e a che ora;
- che cosa è stato incollato o caricato, per intero o in parte, e che cosa è stato chiesto;
- se la conversazione è stata condivisa con un link o esportata.
Una schermata o un’esportazione della conversazione vale più di un ricordo. Poi la conversazione si cancella e, se l’account è personale, si controlla l’impostazione sull’uso dei contenuti per addestrare i modelli: la differenza fra account personali e aziendali è spiegata in Posso usare ChatGPT con i contratti dei clienti?. Cancellare non vuol dire che il fornitore elimini subito ogni copia: quanto conserva lo dicono le sue condizioni, e vanno lette.
Chi ha incollato il documento è la vostra fonte migliore. Se teme una punizione, racconterà meno.
Entro la giornata: che cosa c’era dentro
Tre domande decidono il resto.
C’erano dati personali? Nomi, indirizzi email, telefoni, dati di dipendenti o di pazienti. Per il GDPR è una violazione dei dati personali anche una violazione di sicurezza che porta, per errore o in modo illecito, alla «divulgazione non autorizzata» di dati personali (art. 4, punto 12). Un documento con i dati dei clienti incollato in un servizio che l’azienda non ha autorizzato può rientrarci.
Erano dati che trattate per conto di un cliente? Se siete il suo responsabile del trattamento, dovete informarlo «senza ingiustificato ritardo dopo essere venuto a conoscenza della violazione» (art. 33, paragrafo 2). Le linee guida del Comitato europeo per la protezione dei dati precisano che non serve valutare prima il rischio: quella valutazione spetta al cliente, che è il titolare del trattamento. Rileggete anche gli accordi di riservatezza: possono prevedere un avviso con tempi propri.
C’erano segreti? Prezzi, disegni, formule, codice sorgente. Il Codice della proprietà industriale protegge queste informazioni come segreti commerciali solo se sono sottoposte a «misure da ritenersi ragionevolmente adeguate a mantenerle segrete» (art. 98, comma 1, lettera c). Se un giorno doveste difenderli in causa, conterà poter mostrare le misure che avevate e quello che avete fatto quando un segreto è uscito.
Entro 48 ore: decidere e mettere per iscritto
Con i dati personali, il titolare notifica la violazione al Garante «senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà delle persone fisiche» (art. 33, paragrafo 1).
Le 72 ore non partono dal primo sospetto. Per il Comitato siete «aware», a conoscenza, quando avete «a reasonable degree of certainty that a security incident has occurred that has led to personal data being compromised», una ragionevole certezza che un incidente abbia compromesso dati personali. È ammesso «a short period of investigation», un breve periodo di verifica, che però va cominciato subito. E se il collega vi ha già detto che cosa ha incollato e dove, quella certezza può esserci da subito: le linee guida ricordano che a volte la violazione è «relatively clear from the outset», abbastanza chiara fin dall’inizio. Per questo conviene contare le 72 ore dalla scoperta: due giorni per le verifiche, il terzo per scrivere.
Per pesare il rischio contano che cosa è uscito, di quante persone, in quale servizio e con quale contratto. Le linee guida parlano del caso di dati mandati per errore a un destinatario «trusted», di fiducia, con cui c’è un rapporto stabile: il rischio può scendere, ma questo «does not mean that a breach has not occurred», non vuol dire che la violazione non ci sia stata. Non parlano di chatbot; un servizio aziendale con un contratto sui dati, però, si avvicina a quel caso più di un account personale gratuito.
In ogni caso si scrive: «Il titolare del trattamento documenta qualsiasi violazione dei dati personali, comprese le circostanze a essa relative, le sue conseguenze e i provvedimenti adottati per porvi rimedio» (art. 33, paragrafo 5), anche quando decide di non notificarla. Le persone a cui i dati si riferiscono vanno avvisate direttamente solo se il rischio per loro è elevato (art. 34).
Dopo: la regola che mancava
Dopo un incidente così conviene farsi due domande: la regola c’era, e la conoscevano tutti? E le persone avevano uno strumento autorizzato per fare lo stesso lavoro? Vietare non basta. Serve scrivere quali documenti possono andare in quale servizio, e dare un’alternativa. Per i documenti che non devono uscire, l’alternativa è un modello che gira su una macchina che controllate voi, come i modelli a pesi aperti.
Come lo facciamo noi
Da noi la regola è scritta, ed è stretta: i manuali tecnici che i clienti ci affidano li legge solo l’AI che gira sulle nostre macchine, mai un modello in cloud. I nostri agenti che lavorano con un modello in cloud non li aprono, non li convertono e non ne leggono i risultati. La regola, in vigore al 20 ottobre 2026, riguarda i manuali tecnici dei clienti: per quei documenti la domanda posso incollarlo? non si pone.
Se volete che i colleghi abbiano un’AI da usare anche sui documenti che non possono uscire, il passo è uno: scriveteci quali documenti sono e chi li usa.
Scritto con l’aiuto dell’AI e verificato da CSIDIA.