Da sola, la certificazione non rende un fornitore di IA per documenti sicuro per i file riservati dei clienti. Per gli studi legali e le aziende, un'accurata due diligence del fornitore di IA dovrebbe esaminare dove vanno a finire i dati, come il fornitore li gestisce, chi può accedervi e a cosa si impegna contrattualmente.
Le domande giuste sono sia contrattuali che tecniche. Prima di caricare i documenti dei clienti, le aziende dovrebbero verificare le pratiche sui dati del fornitore, i controlli di sicurezza, i sub-responsabili, le politiche di conservazione e gli impegni di conformità.
Punti Chiave:
- Verifica la sicurezza, le pratiche sui dati e i contratti di un fornitore, non solo le sue dichiarazioni di conformità.
- Scegli fornitori che possano spiegare chiaramente i loro controlli di sicurezza e le loro politiche sui dati.
- Parseur archivia i dati nell'UE, non addestra l'IA sui documenti dei clienti ed è conforme a SOC 2 Type II, GDPR (UE e Regno Unito), CCPA della California, LPD svizzera e PDPA di Singapore.
Perché "Conforme" sulla Pagina di un Fornitore Significa Molto Poco
Un fornitore che si dichiara "conforme" è solo un punto di partenza per la due diligence del fornitore di IA. L'affermazione ha più importanza quando è possibile verificare cosa copre, quali controlli la supportano e a cosa si impegna il fornitore nel proprio contratto.
Il rischio legato a terze parti è uno dei motivi principali per cui la verifica è importante. Un sondaggio ISC2 del 2025 ha rilevato che il 70% dei professionisti della sicurezza informatica era fortemente preoccupato per i rischi legati alla catena di fornitura, mentre il 28% ha affermato che la propria organizzazione aveva subito un incidente di sicurezza informatica originato da un fornitore o partner terzo nei due anni precedenti.
La FTC raccomanda di inserire i requisiti di sicurezza nei contratti dei fornitori e di verificare che questi li rispettino.
Per gli studi che gestiscono dati riservati dei clienti, è necessario guardare oltre l'etichetta di conformità. Controlla l'accordo sull'elaborazione dei dati (DPA), i controlli di sicurezza, i sub-responsabili, le pratiche di conservazione, i controlli di accesso e le procedure di cancellazione prima di affidare a un fornitore i documenti dei clienti.
La Checklist per la Due Diligence del Fornitore
Prima che un'azienda invii documenti riservati a un fornitore di IA, dovrebbe porre domande specifiche su come tali dati vengono elaborati, archiviati, consultati ed eliminati. Un'etichetta di conformità da sola non può rispondere a queste domande.
Sicurezza e privacy sono già le preoccupazioni principali per le aziende che adottano l'IA. In un sondaggio DISCO del 2025, il 70% degli intervistati operanti in studi legali ha identificato la sicurezza e la privacy dei dati come il principale ostacolo all'adozione dell'IA.
Ciò rende la due diligence del fornitore di IA molto più di un semplice esercizio di approvvigionamento. È un passaggio fondamentale per decidere se uno strumento di IA sia appropriato per i dati riservati dei clienti.
Ecco 10 domande da porre a qualsiasi fornitore, insieme alle risposte di Parseur.
1. Dove vengono elaborati e archiviati i dati, e in quale giurisdizione?
Perché è importante: La residenza dei dati può influire sulle leggi sulla privacy applicabili alle tue informazioni e sull'eventuale presenza di restrizioni da parte della tua organizzazione sui trasferimenti transfrontalieri.
L'approccio di Parseur: Parseur archivia i suoi dati nell'Unione Europea, con l'infrastruttura ospitata nei Paesi Bassi. Il suo DPA documenta inoltre i trasferimenti internazionali che coinvolgono i sub-responsabili e le misure di salvaguardia utilizzate per tali trasferimenti, comprese le Clausole Contrattuali Standard ove applicabili.
2. I documenti dei clienti vengono utilizzati per addestrare modelli, vostri o di altri?
Perché è importante: Questa è una delle domande più importanti per le aziende che gestiscono informazioni riservate. Un fornitore dovrebbe dichiarare chiaramente se può riutilizzare documenti dei clienti, prompt o dati estratti per addestrare o migliorare i modelli di IA.
L'approccio di Parseur: No. Parseur non utilizza i documenti dei clienti per addestrare o migliorare i suoi modelli di IA. L'estrazione tramite IA utilizza modelli pre-addestrati piuttosto che apprendere dai documenti dei singoli clienti.
3. Chi sono i vostri sub-responsabili e dove si trovano?
Perché è importante: Il tuo fornitore potrebbe non essere l'unica organizzazione a elaborare i tuoi dati. I provider cloud, i servizi e-mail e altri sub-responsabili possono avere accesso a parti della catena di elaborazione, quindi hai bisogno di visibilità su chi sono e dove operano.
L'approccio di Parseur: Parseur pubblica un elenco dei sub-responsabili che copre provider come AWS, Google, Microsoft e fornitori di servizi e-mail. L'elenco identifica i loro scopi, le ubicazioni, i dati coinvolti e i meccanismi di trasferimento applicabili.
4. Esiste un accordo per l'elaborazione dei dati (DPA) e a cosa vi impegna?
Perché è importante: Un'informativa sulla privacy descrive le pratiche generali. Un DPA crea obblighi contrattuali precisi su come i dati personali vengono elaborati, protetti, trasferiti e cancellati.
L'approccio di Parseur: Sì. Parseur fornisce un DPA che definisce il cliente come Titolare del trattamento (Controller) e Parseur come Responsabile del trattamento (Processor). Limita l'elaborazione alle istruzioni documentate, stabilisce obblighi di riservatezza e sicurezza e definisce i requisiti per i sub-responsabili e i trasferimenti internazionali di dati.
5. Per quanto tempo vengono conservati i dati e possiamo controllarlo o abbreviarlo?
Perché è importante: Conservare i documenti riservati più a lungo del necessario aumenta la quantità di dati che potrebbero essere esposti o diventare oggetto di una richiesta legale o normativa.
L'approccio di Parseur: Parseur consente ai clienti di configurare la conservazione dei documenti a livello di singola casella di posta (mailbox). Il periodo di conservazione può essere impostato fino a un solo giorno e Parseur offre anche un'opzione "Elabora e poi Elimina" che rimuove i documenti dopo l'elaborazione e la consegna andate a buon fine dei dati estratti.
6. Come facciamo a esportare e cancellare tutto?
Perché è importante: La portabilità e la cancellazione dei dati dovrebbero essere pratiche, non solo promesse. Un'azienda dovrebbe sapere come recuperare i propri dati e cosa succede quando chiede al fornitore di rimuoverli.
L'approccio di Parseur: I dati elaborati possono essere esportati in CSV, Excel o JSON, e Parseur supporta esportazioni automatizzate tramite integrazioni e webhook. I clienti possono anche eliminare il proprio account e i dati personali associati. Ai sensi del DPA, Parseur prevede la cancellazione o la restituzione dei dati personali dopo la risoluzione, fatte salve le disposizioni legali applicabili in materia di conservazione.
7. Quale crittografia viene applicata in transito e a riposo?
Perché è importante: La crittografia riduce il rischio di accesso non autorizzato durante la trasmissione e l'archiviazione dei dati.
L'approccio di Parseur: Parseur crittografa i dati in transito utilizzando TLS 1.2 o superiore e a riposo utilizzando AES-256. Le versioni deprecate di TLS sono disabilitate.
8. Chi all'interno della vostra azienda può accedere ai nostri documenti?
Perché è importante: La crittografia è solo un livello di sicurezza. Le aziende dovrebbero anche capire chi può accedere ai dati dei clienti e in quali circostanze.
L'approccio di Parseur: Parseur non accede abitualmente ai dati dei clienti poiché l'elaborazione dei documenti è automatizzata. I membri del team accedono ai dati dei clienti solo quando un cliente richiede supporto tecnico che lo rende necessario. L'accesso segue i principi del privilegio minimo e del "need-to-know" (necessità di sapere), e il personale è soggetto a severi requisiti di riservatezza e protezione dei dati.
9. Quali certificazioni possedete attualmente e quali sono in corso?
Perché è importante: Certificazioni e attestazioni indipendenti possono fornire la prova che i controlli di sicurezza sono stati valutati rispetto a un framework definito. Chiedi quali possiede il fornitore oggi, piuttosto che fare affidamento su impegni futuri.
L'approccio di Parseur: Parseur è conforme a SOC 2 Type II, GDPR (UE e Regno Unito), CCPA della California, LPD svizzera e PDPA di Singapore. I dettagli su sicurezza e conformità sono disponibili su trust.parseur.com.
10. Cosa succede ai nostri dati se smettiamo di pagare?
Perché è importante: La conclusione di un abbonamento non dovrebbe lasciare la tua azienda con dubbi sull'accesso, la conservazione o la cancellazione. Assicurati che il processo di risoluzione del fornitore corrisponda ai requisiti di conservazione ed esportazione dei dati della tua azienda.
L'approccio di Parseur: Parseur consente ai clienti di eliminare i propri account, il che rimuove in modo permanente i dati associati. Il suo DPA stabilisce inoltre che, a seguito della risoluzione o della disattivazione dell'account, i clienti possono richiedere la restituzione o la cancellazione dei dati personali, con le copie rimanenti eliminate entro i tempi specificati nell'accordo, fatte salve le disposizioni legali applicabili in materia di conservazione.
L'obiettivo non è trovare un fornitore con la lista più lunga di dichiarazioni sulla sicurezza. È trovarne uno in grado di dare risposte chiare e verificabili alle domande che riguardano effettivamente i dati della tua azienda.
Ultimo aggiornamento il
