Per què la protecció de dades és el primer que cal mirar
Els assistents d'IA són molt fàcils de fer servir: obres una finestra, hi enganxes un text i en tens un resum en segons. Justament per això és fàcil oblidar que aquell text pot contenir el nom d'un client, una adreça, les condicions d'un contracte o una baixa mèdica d'un treballador.
Quan introdueixes dades personals en una eina d'IA, estàs fent un tractament de dades. Això vol dir que s'hi aplica el Reglament general de protecció de dades (RGPD) i, a l'Estat, la Llei orgànica de protecció de dades i garantia dels drets digitals (LOPDGDD). L'empresa continua sent responsable d'aquelles dades, encara que qui les processi sigui un servei extern.
A això s'hi afegeix el Reglament europeu d'IA (AI Act), que estableix obligacions diferents segons el nivell de risc de cada ús i que també posa l'accent en el fet que les persones que fan servir aquests sistemes tinguin prou coneixements per fer-ho amb criteri. Per a la majoria de pimes, els usos habituals (redactar, resumir, classificar) són de risc baix, però convé saber-ho.
Quines dades no haurien d'entrar en una eina d'IA sense pensar-hi
No totes les dades tenen el mateix pes. Com a regla general, abans d'enganxar res en una eina d'IA, pregunta't si hi apareix alguna d'aquestes informacions:
- Dades de clients: noms, correus, telèfons, adreces, historial de compres o incidències.
- Dades d'empleats: nòmines, avaluacions, baixes, dades de contacte personals o processos de selecció.
- Categories especials: salut, afiliació sindical, creences o qualsevol informació especialment sensible. Aquí la prudència ha de ser màxima.
- Informació confidencial de l'empresa: contractes, pressupostos, estratègia, codi o documentació interna que no voldries veure fora.
Si la tasca no necessita aquestes dades, treu-les. Molts usos funcionen igual de bé amb un text anonimitzat: pots substituir noms per "Client A" o eliminar identificadors abans de demanar un resum o una redacció.
On es processen les dades i què en fa el proveïdor
Aquest és el punt que més sovint es passa per alt. Abans d'adoptar una eina d'IA, llegeix-ne les condicions (o demana a algú que ho faci) i busca resposta a aquestes preguntes:
Les dades s'utilitzen per entrenar el model?
Algunes versions gratuïtes o de consum poden fer servir el que hi escrius per millorar el servei. Les versions pensades per a empreses solen permetre desactivar-ho o ja ho exclouen per defecte. Comprova-ho i, si hi ha opció, desactiva-ho.
On estan els servidors?
Si les dades surten de l'Espai Econòmic Europeu, cal que la transferència internacional tingui garanties adequades segons el RGPD. Molts serveis al núvol ofereixen allotjament a Europa o clàusules específiques; cal confirmar-ho.
Hi ha un contracte d'encàrrec de tractament?
Quan un proveïdor tracta dades personals per compte teu, el RGPD demana un contracte que reguli com ho fa. Els serveis orientats a empreses acostumen a oferir-lo; les eines de consum, sovint no.
Quant de temps es guarden les dades i qui hi té accés?
Mira si pots esborrar l'historial, si hi ha controls d'accés per usuari i si l'eina permet gestionar comptes des de l'empresa en lloc de comptes personals.
Pautes internes: poques, clares i conegudes per tothom
La majoria de problemes no vénen de males intencions, sinó de no saber què es pot fer. Unes pautes breus, d'una o dues pàgines, solen ser suficients per a una pime:
- Quines eines estan autoritzades i amb quin tipus de compte (preferiblement d'empresa, no personal).
- Quines dades no s'hi poden introduir mai i com anonimitzar-les quan calgui.
- Qui revisa els resultats abans que surtin de l'empresa o s'utilitzin per decidir alguna cosa.
- A qui preguntar quan hi ha un dubte o una situació nova.
- Com informar de qualsevol incidència, com haver enganxat per error dades que no tocava.
Les pautes només funcionen si l'equip les entén. Per això té sentit acompanyar-les d'una formació en IA per a empreses pràctica, on es treballin exemples reals de la feina de cada àrea: què es pot compartir, què no i com revisar el que proposa l'eina.
Supervisió humana: la IA proposa, una persona decideix
Les eines d'IA generativa produeixen textos que semblen correctes però que poden contenir errors, dades inventades o conclusions esbiaixades. Això és un problema de qualitat, però també de protecció de dades: una informació incorrecta sobre un client o un empleat és una dada inexacta, i el RGPD demana que les dades siguin exactes.
A més, el RGPD dóna a les persones drets quan una decisió que els afecta de manera significativa es pren de forma exclusivament automatitzada. A la pràctica, això vol dir que no és bona idea deixar que una eina d'IA decideixi tota sola qui passa a la següent fase d'un procés de selecció, quines condicions s'ofereixen a un client o com es resol una reclamació.
Un exemple hipotètic: una empresa fa servir un assistent per resumir currículums. Pot ser útil per estalviar temps de lectura, però la valoració final l'ha de fer una persona, que pugui explicar per què ha pres cada decisió.
Confidencialitat més enllà de les dades personals
No tot és RGPD. Moltes empreses tenen informació que no és personal però que és igualment delicada: ofertes a clients, marges, documentació tècnica, projectes en curs o acords de confidencialitat signats amb tercers. Si un contracte t'obliga a no compartir certa informació, enganxar-la en un servei extern pot ser un incompliment, encara que no hi hagi cap dada personal.
La mateixa lògica val aquí: fes servir eines amb condicions d'empresa, limita el que hi entra i, si cal, valora solucions on les dades no surtin del teu entorn. Quan la IA s'integra en els processos de l'empresa, aquestes decisions es poden prendre des del disseny, com expliquem a la pàgina d'intel·ligència artificial per a empreses.
Una llista de revisió ràpida
Abans de posar en marxa un ús d'IA amb dades de l'empresa, repassa aquests punts:
- Saps quines dades hi entraran i si realment calen.
- Has comprovat on es processen i si el proveïdor les reutilitza.
- Tens un contracte d'encàrrec de tractament quan hi ha dades personals.
- L'equip té pautes clares i sap a qui preguntar.
- Hi ha una persona que revisa els resultats abans d'actuar.
- Si el tractament és sensible o a gran escala, has valorat si cal una avaluació d'impacte i n'has parlat amb un professional de protecció de dades.
Si algun d'aquests punts no el tens clar, no vol dir que no puguis fer servir IA, sinó que val la pena aturar-se un moment i resoldre'l abans.
Com ho treballem des d'Osona
A 2click acompanyem pimes de Vic, Osona i la resta de Catalunya que volen fer servir la IA amb sentit comú: primer revisem quines tasques volen millorar i quines dades hi intervenen, després ajudem a triar eines i configuracions adequades, i quan cal ho integrem amb els sistemes que ja fan servir. No som un despatx d'advocats, i quan un cas ho requereix recomanem comptar amb un professional de protecció de dades. Pots veure alguns exemples de feina al nostre apartat de projectes, i si vols comentar el teu cas, escriu-nos a través de la pàgina de contacte.