Log dell’assistente AI: per quanto conservarli e chi può leggerli

Uno scenario tipico, non il caso di un’azienda reale. Un assistente AI aziendale è in servizio da sei mesi e nel suo registro ci sono quarantamila conversazioni: bozze di offerta, tolleranze di lavorazione, listini, la formula che nessun fornitore deve vedere. Accanto a ogni riga, chi ha chiesto cosa e a che ora. Poi arrivano due richieste, lo stesso mese. Il legale vuole conservare tutto, perché quel registro prova che il know-how è stato custodito. Il controllo di gestione vuole un cruscotto per reparto, perché quel registro dice chi lavora e come.

Una sola delle due si può soddisfare senza passare da una procedura. Nei progetti il registro compare in fondo alla checklist, alla voce «logging: sì»: quel «sì» crea due oggetti giuridici in una volta, un archivio di segreti commerciali e uno strumento dal quale può derivare il controllo a distanza dei lavoratori. Regimi opposti, stesso file.

La norma che decide, con gli estremi

Art. 4 della legge 20 maggio 1970, n. 300, come sostituito dall’art. 23 del D.lgs. 14 settembre 2015, n. 151 (testo vigente dall’8 ottobre 2016). Comma 1: «Gli impianti audiovisivi e gli altri strumenti dai quali derivi anche la possibilità di controllo a distanza dell’attività dei lavoratori possono essere impiegati esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale e possono essere installati previo accordo collettivo stipulato dalla rappresentanza sindacale unitaria o dalle rappresentanze sindacali aziendali». In mancanza di accordo serve l’autorizzazione della sede territoriale dell’Ispettorato nazionale del lavoro, e i relativi provvedimenti «sono definitivi».

Due parole reggono il peso. «Anche»: non serve volere il controllo, basta che la possibilità derivi dallo strumento. «Esclusivamente»: le finalità ammesse sono tre e formano un elenco chiuso, in cui «capire come viene usata l’AI in azienda» non rientra.

Comma 2: «La disposizione di cui al comma 1 non si applica agli strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa e agli strumenti di registrazione degli accessi e delle presenze». Qui si rifugia chi ha già acceso il logging: l’assistente serve a lavorare, dunque è escluso.

Comma 3, la trappola: «Le informazioni raccolte ai sensi dei commi 1 e 2 sono utilizzabili a tutti i fini connessi al rapporto di lavoro a condizione che sia data al lavoratore adeguata informazione delle modalità d’uso degli strumenti e di effettuazione dei controlli». Anche nel caso più favorevole, quelle informazioni si usano solo se l’informativa è arrivata prima. Un log raccolto in silenzio non regge un procedimento disciplinare.

Chiude il cerchio l’art. 114 del D.lgs. 196/2003, «Garanzie in materia di controllo a distanza», che ha un comma solo: «Resta fermo quanto disposto dall’articolo 4 della legge 20 maggio 1970, n. 300». L’art. 4 diventa così condizione di liceità del trattamento, non un adempimento separato — sullo stesso asse dell’art. 88 del GDPR sul «monitoraggio sul posto di lavoro».

L’eccezione del comma 2 copre lo strumento, non la sua memoria

Il precedente più utile non riguarda l’AI: è il documento di indirizzo del Garante del 6 giugno 2024 (provvedimento n. 364, doc-web 10026277) sui metadati della posta elettronica nel contesto lavorativo. La posta è pacificamente uno strumento per rendere la prestazione. Eppure il Garante scrive che, «affinché sia ritenuto applicabile il comma 2 dell’art. 4 della L. n. 300/1970», la conservazione «dei soli metadati/log necessari ad assicurare il funzionamento delle infrastrutture del sistema della posta elettronica» può avvenire «di norma, per un periodo limitato a pochi giorni; a titolo orientativo, tale conservazione non dovrebbe comunque superare i 21 giorni». Diversamente, la conservazione «per un lasso di tempo più esteso, potendo comportare un indiretto controllo a distanza dell’attività dei lavoratori, richiede l’esperimento delle garanzie previste dall’art. 4, comma 1».

Il documento parla di posta, non di assistenti AI, ed è un atto di indirizzo con una soglia dichiarata «a titolo orientativo»: non si applica per analogia automatica. Ma il ragionamento è quello che un’autorità applicherà — a far scattare il comma 1 non è la natura dello strumento, è la generalità e la durata della conservazione.

Un dettaglio sposta poi il baricentro. Quelle indicazioni, precisa il Garante, «non riguardano i contenuti dei messaggi di posta elettronica… che rimangono nella disponibilità dell’utente/lavoratore»; i metadati sono le voci scritte dai server di smistamento, «indirizzi email del mittente e del destinatario, gli indirizzi IP dei server o dei client coinvolti nell’instradamento del messaggio, gli orari…». Un prompt non è un metadato: è contenuto. E il contenuto, che nella posta resta nella casella del lavoratore, in un assistente aziendale sta di regola sul lato server, con nominativo e orario. Chi ragiona «se per la posta sono 21 giorni, per l’AI facciamo lo stesso» applica un tetto pensato per un archivio molto più povero.

I 21 giorni e i sei mesi rispondono a domande diverse

Il secondo numero circola sempre a sproposito. Il provvedimento generale del Garante del 27 novembre 2008 (doc-web 1577499, in G.U. n. 300 del 24 dicembre 2008), modificato il 25 giugno 2009, prescrive la registrazione degli accessi logici ai sistemi e agli archivi elettronici da parte degli amministratori di sistema: registrazioni complete, inalterabili, con integrità verificabile, conservate per un «congruo periodo, non inferiore a sei mesi». È anteriore al GDPR e non risulta revocato.

Quei sei mesi riguardano chi amministra il sistema, non chi lo usa per lavorare. Confondere i due elenchi produce l’errore più diffuso: tenere il registro dei prompt di tutti per sei mesi «perché lo dice il Garante». Non lo dice. Dice, per un oggetto diverso, che gli accessi privilegiati vanno tracciati a lungo — il che semmai rafforza l’altro corno del problema: chi ha i privilegi sull’ambiente può leggere le conversazioni, e quella lettura va tracciata a sua volta.

Lo stesso file è anche la prova del segreto

L’art. 98 del Codice della Proprietà Industriale, nel testo dato dal D.lgs. 11 maggio 2018, n. 63 (attuativo della direttiva (UE) 2016/943), protegge le informazioni aziendali segrete solo se sottoposte a «misure da ritenersi ragionevolmente adeguate a mantenerle segrete»: l’onere di provarle è di chi rivendica il segreto, e il tracciamento degli accessi è una di quelle prove. Cancellare tutto ogni tre settimane semplifica un fronte e indebolisce l’altro. Il conflitto si scioglie separando due archivi che oggi quasi sempre coincidono.

Registro delle misure, conservazione lunga: quali restrizioni erano attive a una certa data, quali classi di documenti erano ammesse, chi aveva accettato la policy, quali accessi privilegiati sono stati esercitati. Prova l’art. 98, lett. c), senza il testo dei prompt e senza collegarlo alla singola persona.
Registro operativo, conservazione breve e dichiarata: prompt, risposte, documenti richiamati. Serve al funzionamento e alla sicurezza, con durata scritta, motivo scritto e cancellazione automatica che qualcuno verifica.

Il primo è un archivio di conformità, il secondo è potenzialmente uno strumento di controllo. Non devono stare nello stesso posto con la stessa chiave.

Cosa fare adesso

Quattro indicatori dicono che siete già fuori dall’eccezione del comma 2, e allora l’accordo con RSU o RSA — o, in mancanza, l’autorizzazione dell’Ispettorato — va cercato prima dell’attivazione: il registro è interrogabile per nominativo e non solo per incidente; esiste reportistica per utente o per team; la conservazione eccede quanto serve al funzionamento e alla sicurezza, e nessuno sa dire perché; il cruscotto è leggibile dai responsabili di linea, non dal solo amministratore. L’ultimo è quello che sfugge: la finalità dichiarata resta tecnica, ma la platea dei lettori la trasforma.

Poi cinque cose da mettere per iscritto. La durata di conservazione del registro operativo e la ragione tecnica che la giustifica, con data. La verifica che la cancellazione avvenga davvero: una retention configurata e mai controllata non è una misura. La separazione fra registro delle misure e registro dei contenuti. Chi può leggere cosa, con tracciamento delle letture privilegiate. L’informativa del comma 3, consegnata prima e non dopo.

Se poi il registro comincia a essere usato per valutare le persone si cambia mestiere: punto 4 dell’Allegato III dell’AI Act, alto rischio, con l’obbligo dell’art. 26, par. 7 di informare rappresentanti e lavoratori, applicabile dal 2 dicembre 2027 dopo il rinvio disposto dal regolamento (UE) 2026/1744. Vale già oggi, invece, l’obbligo informativo dell’art. 1-bis del D.lgs. 152/1997, e resta il perimetro tracciato dal Garante quando un fornitore legge il linguaggio dei dipendenti.

Come lo risolviamo noi

Nulla di tutto questo è governabile se il registro sta nell’infrastruttura di un fornitore che decide da sé cosa conservare e per quanto: il punto non è la fiducia, è la verificabilità — la stessa ragione per cui, su hardware e modelli a pesi aperti, la domanda giusta non è quanto è bravo il sistema ma di chi è l’ambiente in cui gira. Per questo costruiamo AI dedicate e chiuse, sganciate dal web aperto, in due modalità: on-premise nell’ambiente del cliente, oppure sul nostro cloud dedicato — riservato al singolo cliente, accesso via VPN dedicata, data center residente in Italia, locali che presidiamo direttamente. In entrambe, registro delle conversazioni e registro delle misure restano archivi distinti, con durate e permessi distinti; le letture privilegiate lasciano traccia; la cancellazione è una funzione, non una promessa. È il modo in cui teniamo insieme protezione del know-how e tutela delle persone: una scelta di architettura, non un argomento commerciale.

Sapreste dire oggi per quanto tempo l’azienda conserva i prompt dei suoi dipendenti, e chi li può rileggere? Mezz’ora con un nostro esperto basta per rispondere e per capire quale delle due procedure vi serve.