Una fattura da confrontare con la packing list. Decine di righe da riportare in una tabella. Pesi, quantità e riferimenti da verificare prima di proseguire con la pratica.
Sono attività nelle quali l’intelligenza artificiale può offrire un supporto. Prima di allegare i documenti a un chatbot, però, serve una decisione sul processo: quali informazioni può ricevere lo strumento, per quale attività e con quali controlli?
Per uno spedizioniere o un ufficio doganale, questa valutazione riguarda sia i dati personali sia la riservatezza commerciale. Un piano aziendale, l’esclusione dall’addestramento e la localizzazione europea dei server sono elementi da esaminare insieme alle condizioni contrattuali e alla configurazione effettiva.
Quali informazioni contiene davvero una pratica
Oltre a descrizioni merce, prezzi e quantità, i documenti possono contenere nomi, recapiti, firme, indirizzi, coordinate bancarie e riferimenti di spedizione. Incrociando fattura, packing list e altri allegati possono emergere anche clienti, fornitori e condizioni commerciali.
Il GDPR tutela i dati relativi a persone fisiche identificate o identificabili. Le informazioni riferite esclusivamente a una società non diventano automaticamente dati personali: occorre valutare cosa permettono di conoscere e a chi si riferiscono. Restano comunque da considerare gli obblighi di riservatezza. Il riferimento è il GDPR, in particolare il considerando 14 e l’articolo 4.
Operativamente, conviene partire da una copia di lavoro e individuare i campi necessari al controllo. Il documento originale resta nel sistema aziendale previsto per la gestione della pratica.
Cancellare il nome non equivale ad anonimizzare
Se sostituiamo un nome con CLIENTE_01 ma conserviamo una tabella che consente di risalire alla persona, abbiamo pseudonimizzato il dato. Per chi può ricostruire il collegamento, il dato resta personale.
L’anonimizzazione richiede invece che la persona non sia più identificabile considerando i mezzi ragionevolmente utilizzabili. L’EDPB distingue espressamente anonimizzazione e pseudonimizzazione.
Nel lavoro documentale, la verifica deve quindi estendersi ai riferimenti incrociati. EORI, MRN, numeri di fattura e indirizzi possono contribuire all’identificazione in alcuni contesti. Non sono tutti, in ogni circostanza, dati personali: vanno valutati insieme alle informazioni disponibili.
Un codice neutro è utile per confrontare righe senza trasmettere l’anagrafica completa. Deve essere coerente nei diversi file, e l’eventuale tabella di corrispondenza deve restare separata, con accessi controllati.
Come preparare una copia del documento
La preparazione dipende dalla domanda che si vuole porre all’AI. Una lista di campi da controllare aiuta a evitare omissioni:
- Anagrafiche e contatti: nomi, ragioni sociali, indirizzi, email, telefoni e firme.
- Identificativi e riferimenti: codici fiscali, partite IVA, EORI, MRN, numeri di fattura e ordine.
- Spedizione e pagamento: AWB, polizze di carico, IBAN e riferimenti contabili.
- Contenuti meno visibili: proprietà del file, commenti, fogli nascosti, cronologia, QR code e nomi degli allegati.
Questi elementi vanno rimossi, sostituiti o mantenuti in base alla finalità e alle autorizzazioni applicabili. Un campo necessario al controllo non deve essere eliminato senza prevedere come gestire la conseguente perdita di informazione.
La copertura visiva di un testo non dimostra che il contenuto sia stato rimosso dal file. Prima di condividere la copia, è opportuno verificare anche il testo estraibile e i metadati con strumenti approvati dall’azienda.
Un esempio: confrontare fattura e packing list
Per verificare le quantità per articolo, si può iniziare da una tabella con identificativo neutro, quantità, unità di misura e riferimento alla riga di origine. Colli e pesi servono se rientrano nel controllo. Valori e valuta vanno aggiunti quando l’attività li richiede.
Ecco un esempio interamente fittizio:
| Articolo | Quantità in fattura | Quantità in packing list | Unità |
|---|---|---|---|
| ARTICOLO_A | 120 | 120 | pezzi |
| ARTICOLO_B | 80 | 78 | pezzi |
L’AI può essere incaricata di segnalare la differenza relativa ad ARTICOLO_B, indicando le righe confrontate. Sarà l’operatore a verificare i documenti originali e a stabilire quale approfondimento richiedere. Una differenza può avere spiegazioni che la tabella, da sola, non contiene.
Per questa attività non occorre inviare automaticamente anagrafiche, firme o coordinate bancarie. Il criterio di minimizzazione consiste nel limitare i dati a quanto necessario per la finalità, come previsto dall’articolo 5 del GDPR.
Cosa verificare nel fornitore AI
La scelta dovrebbe riguardare il servizio e la configurazione che l’ufficio utilizzerà realmente. La dicitura commerciale “Business” non descrive da sola tutti i trattamenti.
Prima di autorizzare i caricamenti, è utile documentare:
| Area | Domanda da chiarire |
|---|---|
| Addestramento | Prompt, file e risposte possono alimentare l’addestramento? Quali impostazioni o eccezioni si applicano? |
| Ruoli e contratto | Quale ruolo assume il fornitore per ciascun trattamento? È previsto il DPA quando necessario? |
| Conservazione | Quanto restano disponibili file, conversazioni, log e backup? |
| Cancellazione | Quali contenuti può cancellare l’amministratore e con quali tempi? |
| Accessi | Come si gestiscono utenti, autenticazione, permessi e revoca degli accessi? |
| Sicurezza | Quali misure e procedure si applicano, anche in caso di incidente? |
| Subfornitori | Chi può trattare le informazioni e come vengono comunicate le variazioni? |
| Integrazioni | Quali dati ricevono connettori, plugin e servizi esterni? |
Quando il fornitore tratta dati personali per conto dell’azienda come responsabile del trattamento, l’articolo 28 richiede un contratto o altro atto giuridico con contenuti specifici. La sola presenza di un DPA non risolve tutte le valutazioni sul trattamento. Fonte: GDPR, articolo 28.
Dove vengono conservati ed elaborati i dati
Per comprendere il percorso delle informazioni, conviene distinguere quattro verifiche:
- Conservazione: dove rimangono documenti e conversazioni?
- Inferenza: dove il modello elabora i dati per generare la risposta?
- Servizi di supporto: dove vengono gestiti log, metadati, copie di sicurezza e assistenza?
- Collegamenti esterni: quali altri servizi ricevono informazioni durante l’utilizzo?
Un’opzione di residenza regionale può avere un perimetro limitato. La verifica va fatta sulle condizioni applicabili al prodotto scelto e sulle funzioni abilitate, conservando un riferimento alla versione consultata.
In presenza di trasferimenti di dati personali fuori dallo Spazio economico europeo, occorre valutare il meccanismo applicabile e le relative condizioni. La Commissione europea descrive strumenti quali decisioni di adeguatezza e clausole contrattuali standard nella pagina sulle regole per i trasferimenti internazionali.
Quando considerare un modello open weight
I modelli open weight rendono disponibili i propri pesi secondo una licenza. Quando il modello e gli strumenti scelti lo consentono, l’esecuzione può avvenire su infrastruttura propria o presso un cloud selezionato dall’azienda. La documentazione di Hugging Face sull’uso locale dei modelli illustra questa possibilità.
La scelta può offrire maggiore controllo tecnico, ma richiede di valutare l’intera installazione: interfaccia, telemetria, servizi collegati, accessi, aggiornamenti e backup. La disponibilità dei pesi non dimostra da sola che i dati restino nel perimetro aziendale.
Occorre inoltre verificare licenze, costi di gestione e capacità del modello sulle attività previste. Un test dovrebbe includere documenti incompleti, unità di misura diverse e righe difficili da leggere, oltre ai casi semplici.
Regole interne e formazione del personale
Chi lavora sulla pratica deve sapere quali documenti può utilizzare, con quale strumento e chi contattare se qualcosa non funziona. Una procedura breve e applicabile dovrebbe definire almeno il responsabile del processo, le attività consentite, i dati ammessi e la verifica dell’output.
Le valutazioni privacy e contrattuali vanno affidate alle funzioni competenti, coinvolgendo il DPO quando previsto. Possono riguardare base giuridica, informative, registro dei trattamenti, misure di sicurezza ed eventuale valutazione d’impatto, secondo le caratteristiche e i rischi del trattamento.
Anche la preparazione del personale merita attenzione specifica. Le FAQ della Commissione europea sull’AI literacy richiamano misure coerenti con il contesto d’uso e le competenze delle persone coinvolte.
In un ufficio doganale, una sessione pratica può mostrare come riconoscere una riga estratta male, come gestire un dato mancante e quando interrompere l’elaborazione. È utile prevedere anche una procedura per i caricamenti accidentali.
Il controllo umano sull’output
Un documento preparato correttamente può comunque produrre una risposta errata. Nel processo operativo proposto, l’AI supporta l’estrazione, il confronto e la preparazione dei dati. L’operatore competente verifica i risultati prima di usarli nella pratica.
Ogni tabella di lavoro dovrebbe permettere di risalire al documento e alla riga di origine. Dati mancanti e incongruenze devono restare visibili. Un’indicazione di confidenza generata dal modello non sostituisce il confronto con la fonte.
Per classificazioni, misure collegate e altri passaggi che richiedono valutazione doganale, l’output va sottoposto alla verifica specialistica prevista dal processo. Nel perimetro di supporto di GOA Customs Consulting, la validazione finale e la trasmissione della dichiarazione restano allo spedizioniere, al dichiarante o al soggetto incaricato.
La checklist prima del primo documento reale
Prima di avviare una prova operativa, verificate che siano definiti:
- attività da svolgere e dati strettamente necessari;
- strumento autorizzato e configurazione approvata;
- ruoli, condizioni contrattuali e percorso geografico dei dati;
- accessi, conservazione e cancellazione;
- istruzioni per il personale e gestione degli incidenti;
- verifiche umane, criteri di accettazione e condizioni di arresto.
Per la prima prova si possono usare dati sintetici e risultati attesi già definiti. Annotare errori, correzioni necessarie e tempo complessivo di verifica aiuta a capire se lo strumento è utile per quella specifica attività. L'eventuale uso successivo di documenti reali richiede le valutazioni applicabili al caso concreto.
Da quale attività partire nel vostro ufficio?
Il confronto tra fattura e packing list è uno dei possibili punti di partenza. La scelta dipende dal lavoro effettivamente svolto, dalla qualità dei documenti e dalle eccezioni che l’ufficio deve gestire.
GOA Customs Consulting parte dai processi doganali reali per analizzare attività ripetitive, controlli e possibilità di miglioramento con strumenti digitali e automazioni.
Raccontateci quale passaggio documentale richiede più lavoro manuale nel vostro ufficio: possiamo valutare insieme il processo e i punti su cui intervenire.Contattaci
Contenuto informativo, non parere legale. Le valutazioni relative a privacy, contratti e sicurezza devono riferirsi al trattamento e agli strumenti effettivamente utilizzati, con il coinvolgimento delle funzioni competenti.