Che cosa chiedere a un fornitore di IA sui permessi

La maggior parte delle valutazioni sull'IA dedica il proprio tempo al rischio sbagliato. La demo viene esaminata a fondo, le risposte vengono giudicate, qualcuno chiede quanto spesso il modello inventi — e la cosa che davvero decide se quel software potrà essere attivato per quattrocento persone invece che per quattro non viene mai fuori.

Quella cosa è il modello di permessi. È anche la domanda meno divertente da porre, ed è proprio per questo che conviene averla messa per iscritto prima della call.

Quello che segue è indipendente dal prodotto. Vale per un assistente aggiunto a uno strumento che già possiedi, per una piattaforma che dichiara IA dappertutto e per tutto ciò che sta in mezzo.

Perché è questa la domanda che decide il rilascio

Un'IA che può vedere più di chi la usa non è una funzione con una postilla sulla sicurezza. È una modifica ai diritti di accesso ai dati travestita da finestra di chat.

Lo schema si ripete: il pilota va bene perché il gruppo pilota è fatto di dieci persone di un solo reparto, che comunque vedono già i dati le une delle altre. Poi il rilascio arriva all'amministrazione, alle risorse umane o a un team regolamentato, e qualcuno chiede che cosa possa leggere l'assistente. Se la risposta è «tutto quello che c'è nell'indice», il progetto si ferma lì — dopo che budget, integrazione e gestione del cambiamento sono già stati spesi.

Porre queste otto domande già alla prima demo costa venti minuti e ti dice se quel muro esiste.

1. Di chi sono i permessi che l'IA usa?

Chiedi: quando l'assistente legge un record, di chi sta usando gli accessi — i miei o i suoi?

La risposta che vuoi: i tuoi. L'IA gira come l'utente che la invoca, dentro gli stessi ruoli e le stesse regole a livello di record, e non può recuperare nulla che tu non potresti aprire da solo.

La risposta che riceverai spesso: un account di servizio dedicato con ampio accesso in lettura, più la garanzia che il prompt di sistema lo tiene a freno. Quello non è un meccanismo di controllo degli accessi. Sposta la questione dell'autorità fuori dal modello dei ruoli — dove viene revisionata, sottoposta ad audit e revocata alla disattivazione dell'utente — e dentro un prompt, dove non accade nessuna di queste cose.

2. Che cosa succede quando le si chiede qualcosa fuori perimetro?

Chiedi: che cosa fa l'assistente quando gli chiedo di un record che non sono autorizzato a vedere?

La risposta che vuoi: la stessa cosa che fa l'applicazione — viene negato, dallo stesso percorso di codice, e il diniego è indistinguibile dal record che non esiste.

Fai attenzione a: «ti dirà che su questo non può aiutarti». Un modello che si rifiuta è un comportamento. Un sistema che nega è un controllo. Se l'applicazione della regola sta nel giudizio del modello invece che nell'interrogazione, allora una domanda formulata diversamente è un aggiramento.

3. Da dove prende i permessi il recupero delle informazioni?

È quella che sfugge, ed è quella che ha causato il maggior numero di incidenti silenziosi.

Chiedi: quando l'IA cerca fra i nostri contenuti, quell'indice è costruito con i miei permessi o con permessi elevati — e quando i permessi di un documento cambiano, quando lo viene a sapere l'indice?

La risposta che vuoi: il recupero è filtrato dagli accessi di chi pone la domanda, nel momento dell'interrogazione, e le modifiche ai permessi si propagano rapidamente.

Perché conta: un indice costruito una volta sola da un crawler privilegiato è una copia permanente e ricercabile di tutto, dietro un'interfaccia in linguaggio naturale che è bravissima a riassumere. Il documento a cui hai revocato l'accesso il mese scorso può ancora essere descritto a chi non è mai stato autorizzato ad aprirlo — con precisione, in un paragrafo, senza che sul file compaia una sola riga di log degli accessi.

4. L'IA può ampliare i propri accessi?

Chiedi: l'assistente può compiere un'azione che modifica i permessi — aggiungere qualcuno a un gruppo, condividere un documento, cambiare un ruolo?

La risposta che vuoi: o non può, oppure quelle azioni sono una classe governata a parte, che richiede un'approvazione esplicita.

Perché: un agente che può agire per tuo conto e può anche concedere accessi ha, di fatto, accessi illimitati a un passo di distanza. Vale la pena chiederlo anche dove la risposta è ovviamente no, perché la risposta ti dice se qualcuno abbia mai ragionato sulle classi di azione.

5. Che cosa dice il registro di quello che ha fatto?

Chiedi: mostrami la traccia di audit subito dopo che l'assistente ha fatto qualcosa.

La risposta che vuoi: l'azione dell'IA sta nello stesso registro delle azioni umane, identifica sia l'IA sia la persona per conto della quale ha agito, e riporta il prima e il dopo.

Il campanello d'allarme: una schermata separata di «attività IA». Due registri significano che ricostruire che cosa è successo a un record richiede di incrociarli per marca temporale — che è esattamente la ricostruzione che ti troverai a tentare, sotto pressione, il giorno in cui conta.

6. Chi può attivarla, e per chi?

Chiedi: chi decide se questa funzione è attiva, con quale granularità, e si può disattivare per un solo team senza disattivarla per tutti?

La risposta che vuoi: un amministratore, per ruolo o per gruppo, con l'interruttore di spegnimento facile quanto quello di accensione.

È la domanda che decide se un team legale, clinico o delle buste paga possa essere escluso — e se puoi spegnere tutto durante un incidente senza aprire un ticket all'assistenza.

7. Che cosa esce dall'azienda?

Chiedi: quali fornitori trattano i nostri contenuti, vengono usati per l'addestramento e dove avviene il trattamento?

La risposta che vuoi: un elenco nominativo dei sub-responsabili del trattamento da mettere davanti alle tue persone della compliance, un no contrattuale sull'addestramento e una risposta netta sulla regione.

«Usiamo un fornitore IA leader di mercato» non è una risposta. Se il fornitore non sa farne il nome, non saprà nemmeno dirti quando cambia.

8. Che cosa succede quando qualcuno se ne va?

Chiedi: quando disattivo un utente, che fine fa quello che l'assistente sapeva per suo conto — conversazioni salvate, riassunti generati, qualunque cosa in cache?

La risposta che vuoi: lo stesso ciclo di vita degli altri suoi dati, sotto la stessa politica di conservazione, cancellato dallo stesso processo.

Perché vale la pena chiederlo per ultimo: è la domanda che con più probabilità sarà accolta da una pausa, e la pausa è l'informazione. La disattivazione è il momento in cui una funzione aggiunta a posteriori rivela di avere un proprio archivio che nessuno ha mai mappato.

La versione breve

Se ti serve un paragrafo da mettere in un capitolato:

Descrivete come gli accessi della funzione IA derivino dai permessi dell'utente che pone la domanda, anche per il recupero e la ricerca. Dichiarate se qualche componente opera con accessi elevati o con un account di servizio e, in tal caso, che cosa lo vincoli. Confermate che le azioni dell'IA siano registrate nella stessa traccia di audit delle azioni degli utenti. Nominate tutti i sub-responsabili che ricevono contenuti del cliente e confermate che quei contenuti non sono usati per l'addestramento dei modelli.

Quattro frasi. Un fornitore che sa rispondere per iscritto ci ha ragionato sopra; uno che non sa farlo no, e il pilota sarà il momento in cui lo scoprirai.

Che aspetto ha, nel complesso, una buona risposta

Stai ascoltando per cogliere una sola proprietà, comune a tutte e otto: l'IA è un chiamante, non un'eccezione. Usa lo stesso modello di permessi, scrive nello stesso registro, è governata dagli stessi controlli amministrativi ed è soggetta alle stesse regole di conservazione di una persona.

Ogni risposta debole è una variante della stessa cosa — un secondo percorso, con un proprio account, un proprio archivio, un proprio registro o proprie regole. I secondi percorsi non sono automaticamente sbagliati, ma ognuno è una cosa da revisionare, una cosa da chiudere quando un utente viene disattivato e una cosa che verrà dimenticata. Contarli è un discreto indicatore di quanto lavoro costerà tenersi questo sistema.

Domande frequenti

Vale solo per i settori regolamentati?

No. Chi compra in un settore regolamentato pone queste domande per primo, ma il modo in cui la cosa fallisce — un assistente che riassume un documento che chi ha posto la domanda non poteva aprire — è altrettanto imbarazzante in un'azienda di quaranta persone, dove quel documento sarà più probabilmente la busta paga di un collega che una cartella clinica.

Il fornitore dice che il modello non conserva i nostri dati. Basta?

Risponde a una delle otto domande, e non a quella che decide il rilascio. La conservazione riguarda che cosa succede ai dati dopo che sono stati inviati. I permessi riguardano che cosa viene inviato, prima ancora.

E se oggi l'IA è in sola lettura?

Chiedilo lo stesso, e chiedi che cosa dice la roadmap. La sola lettura è una proprietà temporanea della maggior parte delle funzioni IA, e l'architettura dei permessi viene decisa molto prima che venga aggiunta la scrittura — di solito da chi andava di fretta.

Se potessi porre una sola domanda, quale?

La terza. I permessi sul recupero delle informazioni sono quelli sbagliati più spesso, quelli su cui si chiede più di rado e i più difficili da correggere a posteriori, perché sistemarli significa ricostruire l'indice invece che cambiare un'impostazione.

---

Se vuoi essere tra i primi a usare Cyril, iscriviti alla lista d'attesa.