“Tutto ciò che metti nel prompt l'hai detto ad alta voce in una stanza che non controlli.”
Fuga di contesto: la più comune
La fuga più frequente è la più semplice: tutto ciò che metti nel prompt può uscire dal modello. I prompt di sistema vengono estratti. I dati di un utente, lasciati in un contesto condiviso, riaffiorano nella risposta di un altro utente. Documenti riservati forniti per il riassunto vengono citati a qualcuno che non avrebbe dovuto vederli. Il modello non ha alcuna nozione di "questa parte è segreta". Il contesto è contesto.
Le difese riguardano l'igiene, non l'ingegnosità: non mettere mai in un contesto dati che l'utente richiedente non è autorizzato a vedere; isola le sessioni in modo che i dati di un utente non possano contaminare quelli di un altro; e presupponi che il tuo prompt di sistema sia pubblico, perché un utente determinato prima o poi lo estrarrà. Progetta come se il prompt fosse leggibile da chiunque tu serva.
Estrazione dei dati di addestramento
I modelli possono memorizzare frammenti dei loro dati di addestramento e, con il prompt giusto, riprodurli: secret testuali, dati personali, testo protetto da copyright. Questo conta in due direzioni. Se usi un modello pubblico, può emettere contenuto memorizzato dal suo set di addestramento. Se fai fine-tuning di un modello sui tuoi dati, quel modello può divulgare i tuoi dati a chiunque lo interroghi.
Il problema delle terze parti
Quando chiami l'API di un modello ospitato, il tuo prompt lascia la tua infrastruttura. È un evento di trattamento dei dati con peso legale: dove vanno i dati, chi può leggerli, vengono usati per l'addestramento, per quanto tempo sono conservati, e tutto questo soddisfa i contratti e le normative a cui sei soggetto? "Inviamo i dati dei clienti a un'API di modello" è una frase che i tuoi responsabili della privacy e della conformità devono aver approvato.
Posizioni pratiche, dalla massima alla minima padronanza: ospitare in proprio un modello aperto in modo che i dati non escano mai (la proposta migliore in termini di privacy, ma con più costi operativi); usare un livello di API enterprise con una garanzia contrattuale di non addestramento e di residenza dei dati; oppure minimizzare e oscurare: non inviare mai più di quanto l'attività richiede, e rimuovere gli identificatori prima della chiamata. La preferenza di SDEN per l'infrastruttura self-hosted esiste in parte per questo motivo.
La conformità è un requisito di progettazione, non un ripensamento
Se tratti dati personali di persone in Europa, l'IA non gode di alcuna esenzione normativa. Il GDPR, l'AI Act e le regole settoriali si applicano tutti ai dati che instradi attraverso un modello. Le domande sono quelle classiche: qual è la base giuridica, puoi onorare una richiesta di cancellazione, dove vengono trattati i dati, e puoi produrre una pista di audit.
- Residenza dei dati: puoi garantire dove i dati vengono trattati e archiviati?
- Diritto alla cancellazione: se i dati sono in un modello sottoposto a fine-tuning, puoi davvero rimuoverli? (Di solito no, senza un nuovo addestramento.)
- Limitazione della finalità: il fornitore del modello è autorizzato ad addestrare sui tuoi dati? Mettilo per iscritto.
- Verificabilità: puoi mostrare quali dati sono andati dove, a un regolatore o a un cliente?
- Minimizzazione: invii solo ciò che l'attività richiede, o l'intero record perché era più facile?
Il controllo di privacy meno costoso è il più antico: non raccogliere né inviare dati di cui non hai bisogno. Un modello che non riceve mai un codice fiscale non potrà mai divulgarlo. La minimizzazione al confine batte ogni controllo a valle.
Una riga per ciascuno
- La fuga di contesto è il caso comune: tutto ciò che sta nel prompt può uscirne. Isola le sessioni, autorizza il contesto, presupponi che il prompt di sistema sia pubblico.
- I modelli memorizzano i dati di addestramento; fare fine-tuning su dati sensibili li integra nei pesi e non costituisce un confine di riservatezza.
- Le API ospitate inviano i tuoi dati fuori sede. Controlla questo con il self-hosting, contratti enterprise di non addestramento, o l'oscuramento.
- Il GDPR si applica comunque; la minimizzazione al confine è il controllo meno costoso e più atteso.
Dove andare ora