Assistenti vocali in ambito aziendale: rischi sulla privacy, e non solo…
Per sapere quali precauzioni adottare con un assistente vocale, l’ho chiesto al dispositivo Alexa in casa di un amico, ma Alexa non mi ha dato alcuna soddisfazione. Se chiedevo: “Alexa, cos’è un assistente vocale?” mi dava la definizione di “vocale”, se chiedevo: “Alexa, tu cosa sei? sei un assistente vocale?” Alexa si chiudeva in un ostentato mutismo e spegneva tutte le lucette. Alla fine ho rinunciato: gli assistenti vocali non sanno (o non vogliono sapere?) cosa sono gli “assistenti vocali”.
(Nella foto: l'Ing. Monica Perego, membro del Comitato Scientifico di Federprivacy)
Cosa sono gli assistenti vocali? - Torniamo allora alle vie tradizionali e cominciamo col fare ordine con la terminologia, facendoci aiutare dalla Treccani, dove Marta Ricchiardi, in un recente articolo dell’ottobre 2021, ci aiuta a fare chiarezza.
L’assistente vocale è una applicazione, installata su un dispositivo, che interagisce con gli umani attraverso la voce/suoni senza alcuna necessità di un contatto fisico. Gli assistenti vocali sono indicati anche come agenti conversazionali. I più diffusi sono: Alexa, Siri, Cortana, Google Home/Nest, ma in commercio ve ne sono anche altri di altri produttori.
I chatbot sono agenti conversazionali che funzionano via chat - I sistemi di dialogo sono sistemi alla base degli assistenti vocali e dei chatbot; essi si distinguono in quelli goal-oriented, utilizzati per uno scopo predefinito (funzione sveglia, rispondere ad un quesito, inviare un messaggio in una altra stanza) e quelli chit-chat, quando lo scopo dell’agente è conversare (si tratta prevalentemente di una forma di intrattenimento).
Gli assistenti vocali, che appartengono all’insieme più ampio degli assistenti digitali, dopo essersi imposti nell’ambito domestico, stanno ora anche entrando in quello lavorativo.
L’uso in ambito lavorativo degli assistenti vocali - Sebbene l’uso di tali strumenti sia assolutamente prevalente nel contesto domestico, questo articolo mira ad approfondire le misure da porre in atto da parte degli utenti in ambito aziendale, dove l’utilizzo di tali strumenti si va configurando come una nuova frontiera i cui confini sono ancora, per la maggior parte, da esplorare. Non va peraltro dimenticato che ci può essere anche un uso misto, dovuto alla presenza di tali dispositivi in ambienti domestici in cui siano praticate attività in smartworking.
Una delle caratteristiche di questi strumenti è la possibilità di interagire con loro esclusivamente attraverso comandi vocali e non tramite il touch, quindi con una modalità particolarmente accessibile agli umani; ciò apre la strada ad un utilizzo sempre più ampio e ad oggi ancora impensabile.
In ambito lavorativo, che è quello che ci interessa, l’utilizzo degli assistenti vocali è prevalente per:
- domotica - ad esempio all’allestimento di un’aula multimediale comandando: intensità e direzione delle luci, videocamera, accensione dello schermo usato per la proiezione, condizionatore, ionizzatore e purificatore d’aria, ecc;
- interrogazione per la ricerca di informazioni sia dal web che dai gestionali aziendali – ad esempio al magazziniere che chiede all’assistente vocale se per un determinato cliente, per il quale sta imballando la merce, sono previste istruzioni particolari diverse da quelle standard;
- invio di un messaggio – ad esempio l’invio delle proiezioni di vendita agli agenti di commercio direttamente durante una riunione in videoconferenza.
Quali sono i rischi nell’utilizzo di tali dispositivi? - L’utilizzo degli assistenti vocali implica sicuramente una serie di rischi, alcuni peraltro solo ipotizzabili, ma il solo fatto che nel mese di marzo 2021 sono state pubblicate, da parte dell’EDPB le “Guidelines 02/2021 on Virtual Voice Assistants” è indicativo della rilevanza del problema; anche la direttiva Direttiva (UE) 2019/771 del 20 maggio 2019 relativa a determinati aspetti dei contratti di vendita di beni fa riferimento, sia pure indiretto a tali dispositivi.
I rischi derivano principalmente dalla possibilità che gli assistenti vocali raccolgano e trasmettano informazioni relative alle abitudini dei consumatori, fornendo una gigantesca base dati per azioni mirate di marketing. Tale azione, in ambito aziendale, potrebbe riguardare non solo e non tanto le informazioni in merito alle abitudini di consumo dei dipendenti e collaboratori, ma potenzialmente anche un uso improprio di dati aziendali, relativi a brevetti, risultati di ricerche, piano di marketing, informazioni su strategie commerciali, ecc. Alcune di queste informazioni potrebbero portare, se usate in modo improprio, a speculazioni sui titoli, configurando anche, potenzialmente, il reato di aggiotaggio.
Con questo non si vuole intendere che tale attività sia svolta, ma che virtualmente potrebbe esserlo. I produttori di tali dispositivi infatti non sono sempre del tutto trasparenti in merito alle possibilità connesse alla registrazione, elaborazione, trasmissione dei dati raccolti nell’ambiente in cui operano. Lo stesso Garante, d'altronde, ha pubblicato, nel mese di novembre 2021, una videoclip dal titolo eloquente: “Spegni il microfono – accendi la privacy”. Anche articoli del Guardian, del New York Times, del Washington Post, per citare solo alcune tra le tante fonti autorevoli, hanno messo in evidenza una serie di dubbi sull’uso dei dati personali da parte degli assistenti vocali. (Vedasi anche "Alexa, lo conosci il GDPR?” di Francesca Bassa)
I rischi aumentano nella misura in cui ai dispositivi sono collegate anche delle videocamere. Non solo, ulteriori rischi possono derivare dalle vulnerabilità presenti negli stessi dispositivi, che potrebbero essere “hackerati”, sia su commissione di concorrenti senza scrupoli che con finalità del ricatto.
Valutare il ricorso agli assistenti vocali - Sulla base delle diverse tipologie di uso dei dispositivi, le organizzazioni dovrebbero:
- valutare i pro ed i contro della presenza di assistenti vocali in ambienti nei quali vengono trattati dati aziendali (e non necessariamente solo dati personali); nei casi dubbi si può anche far ricorso ad una DPIA;
- nel caso si decidesse di fare ricorso agli assistenti vocali, mettere in atto le misure previste, e fornire agli autorizzati al trattamento le istruzioni per un utilizzo sicuro dei dispositivi. (Il tema è ulteriormente sviluppato in “Gli autorizzati al trattamento dei dati personali - Una guida pratica” di Chiara Ponti, Monica Perego - Pacini Editore, 2021) Tali istruzioni – che possono anche riguardare le attività in smart working - con il progredire delle conoscenze e dell’evoluzione tecnologica devono essere verificate ad intervalli, e, se del caso, aggiornate;
- individuare quali autorizzati possono attivare gli assistenti vocali e svolgere le proprie attività in ambienti in cui è prevista la presenza dei dispositivi;
- se del caso, valutare l’integrazione dell’informativa, in relazione all’uso che viene fatto dello strumento.
Quali misure porre in atto? - Dato che gli assistenti vocali sono, in ambito privato come lavorativo, opzionali, la loro presenza deve essere ben ponderata. Basti pensare ai danni potenziali della presenza di un assistente vocale nella sala riunione dove si tiene il Consiglio di Amministrazione o nei locali dell’assistenza dove si discute delle falle di un prodotto. Tra le misure da porre in atto:
- prevedere la presenza degli assistenti vocali solo in aree/locali nei quali non vengono trattate informazioni riservate;
- incaricare una funzione aziendale di scegliere il modello che fornisce il miglior bilanciamento tra le varie esigenze in gioco;
- leggere le informative relative al modello scelto, informarsi tramite organi indipendenti, valutare anche la possibilità che l’assistente vocale si connetta ad altri dispositivi aumentando i rischi di “intrusione” (es. videocamere);
- disattivare le impostazioni automatiche sostituendole con un comando manuale; soluzione scomoda ma di certo meno invasiva;
- fornire agli autorizzati le istruzioni per l’uso sicuro dei dispositivi e renderli consapevoli dei rischi potenziali e reali;
- cancellare ad intervalli (scadenziario) la cronologia delle informazioni.
Assistenti vocali per i collaboratori in smart working - Infine, alcune indicazioni dovrebbero essere fornite anche ai collaboratori aziendali operanti in smart working. Il regolamento relativo a tale modalità di lavoro dovrebbe integrare anche indicazioni in merito alla presenza di tali dispositivi negli ambienti domestici – se permessa o meno – (e se permessa indicando le precauzioni da adottare). Qualora non fosse inibita la presenza, le regole da fornire ai collaboratori dovrebbero ricalcare quelle definite in ambito lavorativo. Ovviamente, le misure vanno calibrate in relazione all’attività svolta dall’azienda e specificamente adattate alla mansione affidata al collaboratore.
Conclusione - “Voice assistants epitomise the tension between efficiency and privacy.” “Gli assistenti vocali incarnano la tensione tra efficienza e privacy”; questa frase sintetizza in modo efficiente il dilemma che dovremmo porci quotidianamente, quanto permettiamo che nel nostro ambito lavorativo siano presenti tali strumenti e riflettere sulla conseguenza di tale scelta.
