Compliance · scheda tecnica
Come trattiamo le parole delle persone.
Le persone ci raccontano come lavorano davvero. Lo fanno solo se sanno dove finiscono le loro parole. Qui c’è tutto, dalla prima schermata alla cancellazione.
ruoli:
titolare: la tua azienda
responsabile: sharazad # art. 28 GDPR
dati:
proprietà: la tua azienda
dove: unione europea # eccezioni rare
cifratura: [in transito, a riposo]
riuso: solo aggregato # mai addestramento
conservazione: standard per categoria
alla_fine: cancellati | anonimi
risultati:
dettaglio: aggregato | individuale # si decide prima
soglia_gruppo: 10
dichiarato_a_chi_parla: sì
ai:
si_dichiara: sì
riconosce_emozioni: no
decide_sulle_persone: no
alto_rischio: segnalato prima # all. III
fermi_umani: 3§1
Anatomia di una risposta.
Una frase detta in un’intervista, dal microfono al report. Avanza con i passi o con le frecce.
Esempio · dati di fantasia«Sono Giulia Ferri, lavoro al magazzino di Padova. Quando Marco è in ferie gli ordini urgenti li gestisco io, ma non c’è scritto da nessuna parte.»
In 3 sedi su 5 una persona copre gli ordini urgenti quando manca il responsabile. Non è scritto in nessuna procedura.
Giulia Ferri · Magazzino di Padova. Copre gli ordini urgenti quando manca il responsabile. Competenza non scritta.
14 persone · 5 sedi · nessun nome
Dichiarato prima a chi parla · se va all’azienda è alto rischio AI Act
- 01
- voce → testo · cifrato in transito · archivio nell’UE, cifrato
- 02
- agente pseudonimi · 3 identificativi sostituiti prima dell’analisi
- 03
- codifica in due passaggi · una persona controlla prima di andare avanti
- 04
- report al livello di dettaglio concordato prima di partire
§2
Il perimetro.
Dove passano le interviste, dove restano e dove una persona controlla. Tutto nell’Unione Europea, cifrato in ogni passaggio. Fuori dall’UE solo in casi eccezionali di assistenza tecnica, con le garanzie del GDPR.
- cifrato
- controllo di una persona
- confine Unione Europea
§3
Requisiti.
Cosa chiede la norma e come lo rispettiamo. Filtra per norma.
- Chi parla sa che parla con un’AI.
- Prima di iniziare vede una schermata che glielo dice. Nelle interviste a voce la voce sintetica è dichiarata e marcata come tale.AI Act art. 50
- Un’informativa per ogni progetto.
- Prima della prima domanda chi parla legge chi tratta i dati, perché, chi vede cosa, per quanto tempo e quali diritti ha. La componiamo con testi approvati dal nostro legale. La approva una persona della tua azienda, con nome, data e versione. Senza il contatto del tuo referente le interviste non partono. Se hai già un’informativa tua la verifichiamo e ti segnaliamo cosa correggere.GDPR
- Base giuridica.
- Con i dipendenti è il legittimo interesse della tua azienda. Le caselle prima dell’intervista restano come presa d’atto. Con persone esterne, come clienti e fornitori, serve il consenso. Partecipare è libero e chi non partecipa non subisce conseguenze.GDPR art. 6
- Dettaglio dichiarato prima.
- Aggregato o individuale si decide con chi commissiona e si dichiara a chi parla, prima di partire. Nei risultati aggregati un gruppo con meno di 10 persone di norma non si mostra da solo.GDPR
- Quando il sistema è ad alto rischio.
- Decide l’uso dell’output individuale. Se serve all’azienda per valutare la persona il sistema è ad alto rischio (Allegato III, punto 4). Lo segnaliamo prima di partire e lo scriviamo nell’informativa. Gli obblighi per questi sistemi si applicano dal 2 dicembre 2027.AI Act
- Solo risultati aggregati al managementFuori dall’Allegato III
- Output individuale solo alla persona intervistataProbabilmente fuori
- Output individuale al responsabile o all’HRAlto rischio
- Niente riconoscimento delle emozioni.
- Il sistema lavora su quello che le persone dicono. L’audio serve solo a trascrivere, non a dedurre emozioni o stati d’animo.AI Act
- Nessuna decisione automatica sulle persone.
- L’AI conduce l’intervista. Prima dell’uso una persona controlla i risultati. Interpretazione e decisioni restano alle persone.AI ActGDPR art. 22
- Niente dati sensibili.
- Le domande riguardano il lavoro o il tema dell’intervista. Non chiediamo informazioni su salute, opinioni politiche o religiose, sindacato o vita privata.GDPR
- Ruoli scritti.
- Firmiamo l’accordo sul trattamento dei dati previsto dall’articolo 28. La tua azienda è titolare, Sharazad è responsabile del trattamento. Se lavori con un consulente partner, di norma lui è responsabile e Sharazad sub-responsabile.GDPR art. 28
- Dati usati per il tuo progetto.
- Le interviste servono alla finalità dichiarata nell’informativa. In più Sharazad usa i contenuti in forma aggregata per migliorare il servizio e a fini statistici. Mai per addestrare modelli di AI. Chi parla può opporsi.GDPR
- Dati in Europa, cifrati.
- Cifrati durante la trasmissione e l’archiviazione, conservati e trattati su infrastrutture nell’Unione Europea. Fuori dall’UE solo in casi eccezionali di assistenza tecnica o moderazione dei contenuti, con le garanzie del Capo V del GDPR.GDPR
- Fornitori dichiarati.
- La voce passa da ElevenLabs Enterprise, con residenza dei dati nell’UE. I report si generano con Claude di Anthropic o Gemini di Google tramite Google Cloud, con elaborazione nell’UE. Sono sub-responsabili e li nomina l’informativa.GDPR
- Tempi di conservazione.
- Uno standard per categoria. Se ti servono tempi diversi li fissiamo prima di partire. Alla scadenza i dati si cancellano o si rendono anonimi. Su richiesta l’audio si cancella subito dopo la trascrizione.GDPR
- Audio dell’intervista90 giorni
- Trascrizione nominativa6 mesi dalla fine del progetto
- Analisi e profili derivati6 mesi, fino a 12 su tua richiesta
- Risultati riferiti alla singola persona12 mesi dalla consegna
- Risultati aggregati24 mesi
- Registri tecnici24 mesi dalla fine del progetto
- Interviste ai dipendenti.
- Per l’orientamento prevalente un’intervista non è uno strumento di sorveglianza e l’accordo dell’articolo 4 non serve. Quando il sistema è ad alto rischio, dal 2 dicembre 2027 l’azienda informa prima lavoratori e rappresentanze.Statuto art. 4AI Act art. 26
§4
La cartella per il tuo DPO.
Te la consegniamo prima di partire, da girare al DPO o all’ufficio legale.
- GDPRAccordo sul trattamento dei datiArticolo 28. Ruoli, istruzioni, misure di sicurezza.
- SistemaIstruzioni d’usoCome funziona Quisquilia, come va usata e a quali condizioni resta fuori dall’alto rischio.
- PersoneInformativa del progettoPer chi parla, prima della prima domanda. Testi approvati dal nostro legale, approvazione tua.
- VerificaControllo della tua informativaSe usi un testo tuo, ti segnaliamo cosa non torna e perché.
- DPIASupporto alla valutazione d’impattoServe di norma quando il sistema è ad alto rischio.
Il tuo DPO ha altre domande?Mandacele, rispondiamo per iscritto
Prima vuoi leggere le domande che ci fanno più spesso? Vai alle FAQ