Agenti AI e dati dei clienti: le domande da fare al fornitore

Quando un assistente AI risponde ai tuoi clienti, raccoglie nomi, numeri di telefono, email e a volte dettagli molto personali. Per questo la domanda «è sicuro?» non è un dettaglio da lasciare all’informatico: riguarda la fiducia di chi ti scrive e la tua responsabilità come titolare dell’attività. La buona notizia è che per valutare un fornitore non servono competenze tecniche, servono le domande giuste.

Quali dati passano davvero da un agente AI

Pensa a una conversazione tipica su WhatsApp o sul sito. Il cliente scrive il suo nome, chiede un appuntamento, lascia un numero, magari racconta un problema con un ordine. Sono dati personali a tutti gli effetti, anche quando sembrano banali. Vanno quindi trattati come tratteresti un modulo cartaceo con gli stessi campi: sapendo dove finiscono, chi li può leggere e per quanto tempo restano.

Le basi del GDPR, tradotte in pratica

Il regolamento europeo sulla protezione dei dati (GDPR) non vieta di usare l’AI, chiede ordine. Nella pratica, per un agente AI significa soprattutto questo:

• Ruoli chiari. Di norma tu sei il titolare del trattamento e il fornitore ti assiste come responsabile del trattamento, con un accordo scritto che lo dica.
• Informativa. Chi scrive all’assistente deve poter sapere come vengono usati i suoi dati, con una informativa privacy facile da trovare.
• Solo i dati necessari. Se per prenotare un tavolo bastano nome e orario, l’agente non deve chiedere anche altro.
• Conservazione limitata. Le conversazioni non restano per sempre: serve una regola chiara su quanto si conservano e su come si cancellano.
• Violazioni dei dati. Se succede un incidente, il titolare deve in genere avvisare il Garante entro 72 ore da quando ne ha conoscenza. Per questo il fornitore deve impegnarsi ad avvisarti subito.

Dove sono i dati e chi altro li tocca

Un agente AI quasi sempre si appoggia a servizi di terzi, per esempio i modelli linguistici che generano le risposte o i sistemi che gestiscono la voce. Un fornitore serio sa dirti quali sono, dove trattano i dati e a quali condizioni. Chiedi anche se le conversazioni dei tuoi clienti vengono usate per addestrare i modelli: è un punto da chiarire per iscritto, non da dare per scontato.

Il rischio meno visibile: risposte inventate

La sicurezza non è solo protezione dei dati. Un assistente che risponde a caso su prezzi, orari o condizioni di garanzia può crearti un problema più concreto di un attacco informatico. Per questo conta il modo in cui l’agente è costruito: dovrebbe rispondere solo con le informazioni che hai approvato e, quando non è sicuro, passare la conversazione a una persona invece di improvvisare. È il principio con cui lavoriamo anche noi con ADI, l’assistente digitale per sito e messaggi.

Tracce, accessi e certificazioni

Se qualcosa va storto, devi poter ricostruire cosa è successo. Verifica quindi che ci sia lo storico delle conversazioni, che l’accesso ai dati sia riservato a persone autorizzate e che le modifiche all’assistente siano tracciate.

Sulle certificazioni, come la ISO 27001, un consiglio pratico: certificano il modo in cui un’organizzazione gestisce la sicurezza, non il singolo prodotto. Chiedi a quale parte dell’attività si applicano e quando sono state rilasciate. Un logo sul sito non basta, un documento che puoi leggere sì.

Sette domande da portare al prossimo incontro

1. Chi è responsabile del trattamento e c’è un accordo scritto?
2. Dove vengono conservati i dati delle conversazioni?
3. Quali fornitori esterni vengono coinvolti?
4. Le nostre conversazioni servono ad addestrare modelli?
5. Per quanto tempo si conservano i dati e come si cancellano su richiesta?
6. Come vengo avvisato in caso di incidente e in quanto tempo?
7. L’agente risponde solo con le informazioni approvate e passa la mano a una persona quando non è sicuro?

Da dove partire

Scrivi le sette domande, mandale ai fornitori che stai valutando e confronta le risposte: la chiarezza vale quanto il contenuto. Poi coinvolgi chi si occupa di privacy nella tua azienda, o un consulente, per rivedere informativa e contratto. Questo articolo spiega principi generali e non è consulenza legale: per il tuo caso specifico e per le regole aggiornate fai riferimento a un professionista e alle fonti ufficiali, come il sito del Garante per la protezione dei dati personali.