Guide
AI e GDPR: dove finiscono i dati quando automatizzi i documenti
3 min di lettura
La domanda che ogni studio professionale e ogni azienda fa, giustamente, prima di parlare di automazione: dove vanno a finire i nostri documenti? La risposta dipende da scelte progettuali che vanno prese all'inizio, non scoperte dopo.
La domanda giusta prima di partire
Il trattamento dei dati va definito durante l'analisi iniziale, prima che venga scritta una riga di codice: che cosa entra nel flusso, dove viene elaborato, per quanto tempo viene conservato e chi può vederlo. Un fornitore che non sa rispondere a queste domande in fase di offerta non le saprà rispondere dopo.
Per un professionista soggetto a segreto professionale o per chi tratta dati di terzi, questa non è burocrazia: è il perimetro entro cui l'automazione può esistere.
Cloud, area privata o locale: tre scenari
I grandi modelli cloud (Gemini di Google, anche tramite Vertex AI, Mistral, OpenAI) offrono la qualità più alta con il minimo sforzo infrastrutturale. I dati transitano dai server del fornitore secondo i suoi termini contrattuali, che vanno letti e valutati: regione di elaborazione, uso per l'addestramento, tempi di conservazione.
Una via di mezzo è l'uso del modello dentro un'area cloud dedicata, con regione europea e garanzie contrattuali di non addestramento, come consentono alcune piattaforme enterprise.
La terza opzione è far girare il modello in locale, sui vostri server o su un server dedicato, per esempio con Ollama. I documenti non lasciano mai la vostra infrastruttura.
Modelli locali: quando hanno senso
Un modello locale è più piccolo di quelli cloud e in generale meno capace su compiti aperti. Ma su un compito ben definito, come estrarre una decina di campi da un tipo noto di documento, un modello più piccolo spesso raggiunge la qualità di uno più grande a una frazione del costo.
Per questo in ogni progetto confrontiamo i modelli candidati sui documenti reali del cliente, misurando qualità e costo, e scegliamo il compromesso migliore. Quando i documenti non possono uscire dai vostri sistemi, il confronto si fa tra modelli locali.
Minimizzazione e conservazione
Il GDPR chiede di trattare solo i dati necessari e di conservarli solo per il tempo necessario. Applicato all'automazione documentale significa: mandare al modello soltanto le parti del documento che servono all'estrazione, non archiviare copie intermedie senza motivo, definire una durata di conservazione dei log e rispettarla.
Il punteggio di affidabilità e la revisione umana rientrano in questo quadro: le decisioni con effetti rilevanti sulle persone non vengono prese dal modello da solo.
Cosa chiedere a un fornitore
Cinque domande bastano a distinguere un progetto serio: quali modelli usate e dove girano; i miei dati vengono usati per l'addestramento; in che regione avviene l'elaborazione; per quanto tempo restano log e copie; chi è il responsabile del trattamento e con quale contratto.
Le nostre risposte le definiamo con voi nell'analisi iniziale. Il trattamento dei dati raccolti da questo sito è invece descritto nella nostra Privacy Policy.