Il governo svedese ha vietato ai propri dipendenti di utilizzare ChatGPT di OpenAI e Claude di Anthropic per le attività di lavoro, per timori legati alla sicurezza delle informazioni. Al centro della decisione c’è il rischio che dati sensibili vengano inseriti in servizi privi delle autorizzazioni e delle garanzie contrattuali richieste dall’amministrazione. L’accesso agli strumenti di intelligenza artificiale resta consentito attraverso soluzioni approvate, con alcune eccezioni circoscritte anche per i due assistenti.
Una verifica sugli strumenti AI utilizzati dai lavoratori dell’amministrazione svedese dei trasporti aveva rilevato impieghi problematici nelle attività istituzionali. Mikael Wettercrantz, responsabile informatico e direttore della digitalizzazione, ha spiegato che le piattaforme non regolamentate utilizzate dai dipendenti possono avere conseguenze sulla sicurezza informativa della Svezia. È il fenomeno dello Shadow IT: servizi impiegati per lavorare senza passare attraverso i canali di approvazione e controllo dell’organizzazione.
Il problema riguarda anzitutto le condizioni con cui le informazioni vengono affidate ai fornitori. L’utilizzo di servizi AI per finalità ufficiali senza un adeguato contratto enterprise e le relative tutele può comportare che i dati sensibili inseriti in un chatbot vengano trasmessi allo sviluppatore, conservati e successivamente utilizzati per l’addestramento. La scelta del servizio si intreccia quindi con la gestione di ciò che i dipendenti scrivono nelle conversazioni e con le condizioni applicate al trattamento di quei contenuti.
L’assenza di un accordo aziendale può inoltre creare difficoltà nelle attività di audit sull’utilizzo degli strumenti AI all’interno di un’organizzazione. Accanto alla destinazione delle informazioni emerge così un problema di verificabilità: l’amministrazione deve poter controllare l’impiego dei servizi nel lavoro quotidiano. Per le imprese, la vicenda mette in evidenza lo stesso intreccio tra disponibilità degli assistenti, accordi con i fornitori e possibilità di verificare come vengono utilizzati.
Un ulteriore nodo riguarda il trasferimento dei dati fuori dall’Europa. Le informazioni soggette alle tutele europee possono oltrepassarne i confini digitali quando vengono elaborate, per esempio, in un data center negli Stati Uniti. La localizzazione dell’elaborazione entra così tra gli aspetti da considerare nella protezione delle informazioni. La mancanza delle garanzie contrattuali appropriate può accompagnarsi a problemi di tutela dei dati anche lungo questo passaggio geografico.
I dipendenti pubblici potranno continuare a utilizzare Microsoft Copilot per le attività ufficiali. Il governo lo include tra le piattaforme regolamentate e approvate, ma una revisione interna ha portato a prevedere controlli di sicurezza più stringenti anche per questo strumento. L’intervento riguarda quindi anche le condizioni di utilizzo della soluzione che rimane a disposizione del personale per il lavoro ordinario.
Per un numero limitato di dipendenti rimarrà inoltre possibile accedere a ChatGPT e Claude attraverso una piattaforma dedicata agli assistenti AI, ha precisato il governo. L’eccezione introduce un percorso specifico per continuare a impiegare i due prodotti nell’attività istituzionale. Per gli utenti coinvolti, l’accesso passa quindi dall’ambiente predisposto a questo scopo, all’interno delle condizioni ammesse dall’amministrazione.
La Svezia aveva già limitato l’utilizzo di DeepSeek per il lavoro governativo, per timori di violazioni della privacy connessi al GDPR. Negli Stati Uniti, il divieto sui prodotti e servizi collegati a DeepSeek è stato motivato dal timore che le leggi cinesi sui dati consentano alle autorità di accedere ai server dell’azienda. Il Dipartimento della Sicurezza interna statunitense ha inoltre avvertito della possibile presenza di malware e altre vulnerabilità nella piattaforma: rischi tecnici che si aggiungono a quelli relativi all’accesso alle informazioni.