IBAN, numero AVS & co.: cosa non va mai inserito negli strumenti di IA

1. Password, chiavi API e token

Le credenziali si nascondono spesso in messaggi di errore, configurazioni o script che si vuole far controllare «solo un attimo». Chi le inserisce in un servizio di terzi perde il controllo su chi le vede. Regola pratica: una password o una chiave incollata in una chat di IA va considerata compromessa e va cambiata.

2. Numero AVS e numeri di sicurezza sociale

Il numero AVS è un identificativo personale univoco che accompagna una persona per tutta la vita. La legge sull'AVS ne disciplina espressamente l'utilizzazione sistematica (art. 153b segg. LAVS): al di fuori delle assicurazioni sociali possono utilizzarlo sistematicamente solo i servizi autorizzati da una legge, che devono proteggerlo con misure tecniche e organizzative. In una chat di IA non ha posto. Lo stesso vale per i numeri di sicurezza sociale di altri Paesi, come il codice fiscale italiano.

3. Coordinate bancarie e dati delle carte

IBAN e dati di conto dei clienti sono dati personali ai sensi della legge sulla protezione dei dati e vanno inseriti solo nei sistemi previsti a tale scopo. Per le carte di pagamento valgono inoltre le regole dello standard PCI DSS: i numeri di carta possono essere conservati solo in forma protetta, il codice di verifica della carta dopo l'autorizzazione non può essere conservato affatto.

4. Dati sanitari e altri dati degni di particolare protezione

Le informazioni sulla salute, sulle opinioni religiose o politiche, sull'assistenza sociale o su procedimenti penali sono considerate dati personali degni di particolare protezione (art. 5 lett. c LPD). Per questi dati valgono regole più severe, ad esempio per il consenso.

5. Dati dei clienti, documenti d'identità, contratti

Elenchi di clienti, numeri di documenti d'identità, numeri d'impresa e partite IVA di partner commerciali, contratti non pubblicati: tutto ciò che un cliente o un partner Le ha affidato. Perché questi dati non vanno inseriti in ChatGPT senza una verifica preliminare lo spiega la guida I collaboratori possono inserire dati dei clienti in ChatGPT?

Come l'IA resta comunque utile

• Lavorare con segnaposto: «Cliente A», «[IBAN]», «[Importo]» invece dei valori reali. La risposta dell'IA è di solito altrettanto buona.
• Account aziendale, non privato: usare i servizi autorizzati, con un contratto.
• Oscurare automaticamente: AImori riconosce 242 tipi di dati in 60 pacchetti, verifica i formati con la cifra di controllo quando esiste e, su richiesta, sostituisce i risultati con segnaposto come [IBAN_1] – localmente nel browser, prima che qualcosa venga inviato. Nomi e indirizzi vengono riconosciuti anche da un modello di IA locale; gli screenshot vengono letti con il riconoscimento del testo. Vedere tutti i tipi di dati
• Verificare prima: il test gratuito «Questo testo è sicuro per ChatGPT?» evidenzia questi dati nel Suo testo senza inviarlo.