Un assistente finanziario può ricevere molti più dati del necessario. Separare le domande pubbliche dalle richieste legate a un conto permette di progettare un percorso più sobrio e sicuro.
Un utente cerca una spiegazione su delle spese. Per aiutare l’assistente, allega spontaneamente uno screenshot del suo conto, con nome, saldo, operazioni recenti e talvolta i suoi dati di contatto. Una domanda generale provoca così la raccolta di informazioni che forse non erano necessarie per la risposta.
Per i team di prodotto e i responsabili delle relazioni con i clienti, la prima decisione dovrebbe riguardare le informazioni di cui ogni richiesta ha realmente bisogno, prima della scelta del modello e della qualità redazionale delle risposte. Un assistente in grado di leggere un estratto conto completo non dovrebbe riceverlo per impostazione predefinita.
Separare le informazioni pubbliche dal dossier individuale
La Commissione nazionale per l’informatica e le libertà (CNIL) definisce la minimizzazione con dati «adeguati, pertinenti e limitati a quanto è necessario per la finalità perseguita». Applicato a un assistente, questo principio obbliga a descrivere con precisione il servizio reso: spiegare un concetto, recuperare una pagina di aiuto o esaminare una situazione personale non richiede lo stesso contesto.
Prendiamo uno scenario fittizio. Una persona chiede a un assistente generalista dove consultare un’informazione pubblica su BYDFi, poi aggiunge uno screenshot del suo storico personale. La prima richiesta richiede una ricerca documentale, mentre l’allegato introduce un dossier individuale. Il percorso dovrebbe quindi proporre di rimuovere questo documento e precisare quando è necessario passare attraverso un canale ufficiale adatto. Questo scenario illustra una scelta di progettazione, senza presumere degli strumenti utilizzati da questa azienda.
Questa separazione può apparire fin dall’accoglienza. Una voce «capire un servizio» apre una conversazione senza dati del conto, mentre una voce «ottenere aiuto sul mio dossier» spiega le informazioni necessarie e le condizioni di accesso al servizio in questione. Il visitatore sa così cosa può comunicare prima di iniziare a scrivere.
Prevenire la raccolta nell’interfaccia
Un’istruzione sepolta nelle condizioni d’uso aiuta poco nel momento di allegare un file. Il promemoria deve quindi essere posizionato vicino al campo interessato: non trasmettere alcuna password, codice di accesso o segreto di accesso, e rimuovere le informazioni estranee alla richiesta. Per una domanda generale, si può iniziare disabilitando gli allegati e proponendo una riformulazione senza dati personali.
Quando un documento è necessario, richiedere un estratto preciso limita il perimetro della raccolta. Lo schermo dovrebbe spiegare quali righe sono utili e quali informazioni possono essere oscurate. Un controllo automatico può individuare alcuni contenuti a rischio, ma i suoi errori devono essere previsti: un numero può passare inosservato, e un testo innocuo può essere bloccato. Una soluzione alternativa deve rimanere accessibile.
Nei suoi consigli sui chatbot pubblicati il 19 febbraio 2021, la CNIL raccomanda in particolare un avviso prima dell’uso e un meccanismo di cancellazione quando dati sensibili vengono forniti in modo imprevisto. Queste raccomandazioni riguardano le categorie sensibili ai sensi del GDPR, il che non significa che ogni dato finanziario rientri giuridicamente in questa categoria. Un’informazione di conto può comunque richiedere un’elevata protezione.
Monitorare i dati oltre la conversazione, poi testare prima dell’apertura
Rimuovere un dato dalla risposta visualizzata non prova che sia scomparso dal trattamento. Il team deve esaminare ciò che è stato trasmesso al modello, aggiunto ai log tecnici, conservato nello strumento di supporto o integrato in un set di valutazione. Per ogni copia, è necessario identificare una finalità, delle persone autorizzate e una regola di conservazione. La CNIL ricorda che la durata della conservazione dipende da questa finalità: una conversazione di orientamento e uno scambio necessario al follow-up di un reclamo possono quindi richiedere durate diverse.
Il contratto e le impostazioni del fornitore meritano anche una verifica concreta. Chi accede ai messaggi? Esiste un riutilizzo per migliorare un modello? Come viene applicata una cancellazione ai diversi sistemi? Le risposte devono essere documentate per la configurazione effettivamente utilizzata, poi riesaminate a ogni cambio di strumento o di finalità.
Una ricetta utile inizia con richieste ordinarie, alle quali si aggiungono volontariamente informazioni superflue: dati di contatto in una domanda generale, screenshot troppo ampio, documento riguardante un terzo. Le prove dovrebbero utilizzare dati fittizi e verificare l’intero percorso, dall’inserimento ai log, nonché la cancellazione prevista. Gli indicatori possono monitorare gli allegati richiesti senza necessità, i dati evitati prima della trasmissione, gli errori di filtraggio e gli orientamenti verso un interlocutore umano.
