Leggere la pagina sicurezza di un fornitore: che cosa significano davvero le parole
Ogni fornitore di IA ha ormai una pagina sulla sicurezza. Quasi tutto è vero e dice meno di quanto sembri. Ecco come leggerne una in cinque minuti.
Ogni prodotto di IA ha una pagina intitolata Sicurezza, Fiducia o Riservatezza. È scritta per rassicurare ed è di solito esatta. L’abilità sta nel notare ciò che non dice — e si riduce a quattro formule.
Quattro formule e il loro significato
« Cifrato in transito e a riposo. » Vero praticamente per ogni software professionale dal 2015 circa. Non dice nulla su chi, presso il fornitore, possa leggere i vostri dati — che è la domanda che avete davvero. Cifrato a riposo non significa cifrato rispetto al fornitore.
« Non addestriamo sui vostri dati. » Bene — e verificate chi sia « noi ». Se il prodotto chiama il modello di un’altra società, l’impegno che vi serve viene da quella società, per la vostra fascia. Chiedete quale fornitore stia dietro la funzione — la domanda di marzo.
« Ospitato in Europa. » Spesso indica l’applicazione e i documenti archiviati. Frequentemente non indica l’elaborazione del modello, che può girare altrove. Sono due frasi, e raramente ci sono entrambe. L’articolo del 13 gennaio sul « GPT privato » ne è la versione lunga.
« SOC 2 / ISO 27001. » Reale e non privo di valore: il fornitore ha processi documentati e qualcuno li ha verificati. Non è un’affermazione su dove vadano i vostri dati né su che cosa ne faccia il modello. Un’azienda certificata può comunque mandare il vostro testo in tre Paesi.
Le tre domande a cui la pagina non risponderà
- Attraverso quali Paesi passa il testo della mia domanda?
- Per quanto viene conservato, e da chi a ogni tappa?
- Che ne è se chiudo l’account?
Mandate queste tre per e-mail. Un fornitore che ha ragionato sulla propria architettura risponde in un giorno, con dettagli. Chi risponde rimandandovi alla pagina sulla sicurezza vi ha detto che quella pagina è tutto il suo ragionamento.
Che aspetto ha il buono
Il segnale più forte è un elenco dei subfornitori: una tabella con i nomi delle aziende che toccano i vostri dati e per che cosa. Pochi fornitori rivolti alle PMI ne pubblicano uno. Quelli che lo fanno sono di solito quelli con cui vale la pena parlare, perché pubblicarlo significa conoscere la risposta.