E-mail, IA e legge: che cosa significano contenuti generati dall'IA e personalizzazione sotto GDPR e AI Act
Far scrivere una newsletter a un modello di IA non è di per sé un problema sotto il GDPR o l'AI Act. Ciò che conta è che cosa dài in pasto al modello (dati dei clienti?), come automatizzi le decisioni sui singoli destinatari (profilazione) e se sei trasparente su ciò che succede. In pratica si riduce a tre domande: quali dati personali vanno a quale sistema, su quale base personalizzi, e se un destinatario può capire e opporsi. Questo articolo dà il lato pratico; non è una consulenza legale, e gli obblighi precisi dipendono dalla tua situazione.
Due leggi, due domande
Il GDPR riguarda i dati personali: tutto ciò che tratti su una persona identificabile. L'AI Act riguarda i sistemi di IA stessi, classificati per rischio. Scrivere testi di marketing e consigliare prodotti rientra, per quanto ne capiamo, nella categoria con obblighi limitati o minimi. Per l'e-mail quindi la legge che fa il lavoro è di solito il GDPR, con l'AI Act come integrazione sulla trasparenza.
Contenuti generati dall'IA
Che cosa non cambia
Un oggetto o una descrizione di prodotto scritti da un modello sono semplicemente il tuo testo. Ne sei responsabile, come per il testo di un copywriter. Nessuna legge ti obbliga a scrivere sotto una newsletter che un modello ha contribuito, finché una persona ha riletto il testo e il messaggio viene da te. Le regole di trasparenza dell'AI Act riguardano soprattutto i sistemi che interagiscono direttamente con le persone (un chatbot deve dichiararsi tale) e le immagini, l'audio e i video sintetici.
Che cosa invece cambia
L'input. Chi chiede a un servizio di IA esterno "scrivi una mail per questo cliente" e ci incolla nome, storico d'acquisto e indirizzo trasmette dati personali a un responsabile del trattamento. È possibile solo con un accordo sul trattamento, una base giuridica e, se quel servizio tratta fuori dall'UE, una base valida per il trasferimento. Molti servizi di IA usano inoltre l'input per addestrare i propri modelli, a meno che tu non lo disattivi. La regola pratica: scrivi i testi con l'IA senza dati dei clienti (usa segnaposto) e lascia che la personalizzazione la faccia il tuo strumento di campagna, che quei dati li tratta già sotto un accordo.
Personalizzazione automatica
Qui sta il lavoro vero. Non appena un sistema decide per ogni destinatario quale contenuto, quale offerta o quale prezzo vede in base al suo comportamento, questa è profilazione ai sensi del GDPR. Non è vietata, ma richiede:
- Una base giuridica. Per i clienti esistenti e una segmentazione semplice (ha comprato mobili da giardino, riceve notizie sul giardino) un legittimo interesse è di norma difendibile. Per profili approfonditi che combinano il comportamento su più canali il consenso diventa probabilmente la strada più sicura.
- Trasparenza. La tua informativa privacy deve indicare che profili, per quale scopo e che il destinatario può opporsi. Nel marketing quel diritto di opposizione è assoluto: chi dice "smetti di profilarmi per il marketing" va seguito.
- Limiti alle decisioni interamente automatiche. Il GDPR protegge le persone da decisioni senza intervento umano che le riguardano in modo significativo. Un consiglio di prodotto diverso in una newsletter di solito non riguarda nessuno in modo significativo; un sistema che mostra automaticamente a certi clienti un prezzo più alto o nessuna opzione di credito sì. Nel dubbio: fa' approvare la regola da una persona, non ogni singola mail.
Dati particolari: qui ci si ferma
Non far mai segmentare un modello su ciò che il GDPR chiama categorie particolari: salute, religione, opinione politica, orientamento sessuale, etnia. Nemmeno indirettamente: una farmacia che dagli acquisti fa dedurre un segmento "probabile diabete" tratta dati sanitari senza che il cliente lo sappia. I modelli di IA sono bravi proprio in questo tipo di deduzioni, ed è il motivo per limitare consapevolmente l'input.
Un approccio praticabile per un'azienda media
- Scrivi con l'IA, ma senza dati personali nel prompt. I segnaposto come {nome} e {ultimo_prodotto} vengono compilati solo all'invio, dentro il tuo strumento di campagna.
- Fa' rileggere ogni testo a una persona prima dell'invio. I modelli inventano caratteristiche di prodotto, prezzi e condizioni.
- Limita la personalizzazione a segmenti che sai spiegare a un cliente: "hai comprato X, quindi ricevi notizie su X". La nostra pagina sulla segmentazione della lista descrive come impostarlo senza scatole nere.
- Aggiorna l'informativa privacy: quali dati, quale scopo, quali responsabili, quale diritto di opposizione.
- Scegli responsabili che trattano dentro l'UE e offrono un accordo sul trattamento. Per l'invio in sé una piattaforma e-mail europea è il modo più semplice per evitare la questione del trasferimento.
Un esempio
Un e-commerce di componenti per biciclette vuole un paragrafo d'apertura diverso per cliente. Il modo sbagliato: mandare ogni cliente con nome e storico ordini a un servizio di IA esterno e far generare un testo per persona. Il modo praticabile: scrivere con l'IA cinque varianti (bici da corsa, mountain bike, bici da città, elettrica, sconosciuta), farle rileggere da una persona, e lasciare che lo strumento di campagna scelga per ogni cliente la variante in base al segmento in cui si trova. Nessun dato personale fuori casa, una regola spiegabile e la possibilità di disattivare i contenuti personalizzati nelle preferenze.
Domande frequenti
Devo indicare che la mail l'ha scritta un'IA?
Per un normale testo di marketing riletto da una persona, per quanto ne capiamo non è obbligatorio. Sei libero di farlo. Con un chatbot che parla con i clienti è diverso.
L'AI Act cambia qualcosa nel mio strumento per le newsletter?
Nella misura in cui quello strumento aiuta a scrivere testi o propone segmenti, rientra nella categoria leggera. Chiedi però al tuo fornitore quali dati usano le funzioni di IA e dove vengono trattati. Su una gestione responsabile delle campagne leggi la nostra pagina sull'e-mail marketing.