Quali dati personali nascono con Copilot?
Con ogni utilizzo nascono dati che prima non esistevano:
- Prompt e risposte, spesso con nomi, casi e dettagli interni.
- Cronologie delle chat con l'assistente.
- Registrazioni di riunioni, trascrizioni e riassunti.
- Bozze e documenti creati da Copilot.
- Riferimenti ai contenuti su cui Copilot basa le sue risposte.
Che cosa può vedere Copilot?
Copilot accede ai contenuti per i quali la persona in questione è autorizzata. È giusto così – ma rende visibile ciò che prima era nascosto: documenti condivisi «con tutti nell'organizzazione» o «con chiunque abbia il link», vecchi archivi con dati del personale o sanitari, esportazioni dimenticate. Ciò che prima nessuno trovava, Copilot lo trova in pochi secondi.
Prima dell'introduzione conviene quindi esaminare le cartelle alla ricerca di dati personali e ripulire i contenuti condivisi troppo ampiamente.
Che cosa richiede il diritto della protezione dei dati?
Nel 2023 l'IFPDT ha affermato che la legge sulla protezione dei dati in vigore è direttamente applicabile alle applicazioni di IA. Valgono i principi noti: limitazione della finalità, proporzionalità e trasparenza. Ne derivano compiti concreti:
- Inserire Copilot nel registro come trattamento.
- Tenere conto di prompt e trascrizioni nelle richieste di accesso.
- Stabilire e applicare termini di conservazione per i dati di IA.
- In caso di rischio elevato, effettuare una valutazione d'impatto sulla protezione dei dati (art. 22 LPD, art. 35 GDPR).
- Disciplinare contrattualmente il trattamento su incarico da parte del fornitore (art. 9 LPD, art. 28 GDPR).
Per quanto tempo si possono conservare prompt e trascrizioni?
Non esiste un termine legale unico. Determinante è lo scopo: una trascrizione di riunione che serve solo come promemoria viene cancellata prima di una che vale come verbale. Microsoft 365 offre a tal fine impostazioni di conservazione. Decisivo è stabilire il termine, attuarlo – e verificare regolarmente che venga rispettato.
Introdurre Copilot: cinque passi
- 1Esaminare le cartelle in SharePoint, OneDrive e nelle caselle di posta alla ricerca di dati personali.
- 2Ripulire i contenuti condivisi troppo ampiamente.
- 3Registrare e classificare Copilot come sistema di IA.
- 4Stabilire termini per prompt e trascrizioni.
- 5Verificare regolarmente che termini e impegni vengano rispettati.