Ormai ChatGPT è entrato nel flusso di lavoro quotidiano di chi gestisce progetti. Lo apri per riscrivere uno status report, per smontare un capitolato indigeribile, per buttare giù la bozza di una mail difficile al cliente. È utilissimo, e nessuno qui ti dirà di smettere. Il problema nasce in un gesto piccolo e automatico: il copia-incolla. Quel verbale del comitato di steering che incolli per farti fare il riassunto contiene nomi, budget, decisioni riservate. E nel momento in cui finisce in uno strumento AI pubblico, hai perso il controllo su dove quel testo andrà a finire.
Questa non è una guida allarmista. L’intelligenza artificiale si usa benissimo, in sicurezza, anche su materiale di lavoro. Il punto è la consapevolezza: sapere cosa non incollare mai, capire perché, e avere pronte le alternative che ti permettono di lavorare lo stesso senza esporre nulla. La differenza tra un PM che usa l’AI con criterio e uno che si mette nei guai sta tutta in questi dettagli.
Perché il copia-incolla in uno strumento pubblico è un rischio reale
Quando usi la versione consumer e gratuita di un assistente AI, accetti condizioni che spesso non hai letto. In molti casi, salvo configurazioni specifiche, i testi che inserisci possono essere conservati e usati per migliorare e addestrare i modelli. Significa che frammenti di quello che hai scritto potrebbero, in teoria, riemergere altrove. Non è fantascienza: è già successo che dipendenti incollassero codice proprietario o documenti interni in ChatGPT, finendo per generare incidenti di sicurezza che hanno spinto intere aziende a vietare lo strumento.
I rischi concreti per un project manager si raggruppano in tre famiglie. Il primo è la compliance: se incolli dati personali stai trattando informazioni soggette al GDPR, e trasferirle a un fornitore terzo senza base giuridica né garanzie è una violazione vera, con sanzioni vere. Il secondo è la riservatezza contrattuale: gli accordi di non divulgazione che hai firmato con clienti e fornitori non fanno eccezione per “l’ho incollato solo in ChatGPT”. Il terzo è la sicurezza: credenziali, chiavi, configurazioni esposte diventano materiale che, in caso di leak del provider o di un account compromesso, finisce in mani sbagliate.
Vale la pena ricordarlo senza drammi: nella stragrande maggioranza dei casi non succederà nulla di catastrofico. Ma la gestione del rischio è esattamente il tuo mestiere. Non valuti la probabilità di un singolo evento, valuti l’impatto se accade, e qui l’impatto può essere la perdita di un cliente o una segnalazione al Garante.
La lista di cosa non incollare mai
Tieni questo elenco a mente come una checklist mentale prima di premere invio. Se il testo che stai per incollare contiene una di queste categorie, fermati e anonimizza, oppure passa a uno strumento approvato.
- Dati personali identificabili: nomi e cognomi di persone reali, email, numeri di telefono, indirizzi, codici fiscali, dati sanitari o qualsiasi informazione che identifichi un individuo. Sono il cuore del GDPR.
- Informazioni contrattuali riservate: clausole di contratti, importi di gara, condizioni economiche, accordi sotto NDA, strategie negoziali. Tutto ciò che hai promesso per iscritto di non divulgare.
- Credenziali e segreti tecnici: password, API key, token, stringhe di connessione a database, certificati, configurazioni di infrastruttura. Mai, in nessun contesto.
- Dati del cliente: liste clienti, dataset forniti dal committente, documenti di proprietà del cliente, informazioni sul suo business che non sono pubbliche.
- Proprietà intellettuale: codice sorgente proprietario, brevetti in corso, design non ancora pubblicati, metodologie interne che danno vantaggio competitivo.
- Dati finanziari sensibili: budget di progetto dettagliati, margini, costi interni, proiezioni, dati di fatturato non pubblici.
Tabella di riferimento: dato, rischio, alternativa
Questa tabella è pensata per essere consultata al volo. La colonna di destra è quella che conta: il dato non lo butti, lo gestisci diversamente.
| Tipo di dato | Rischio principale | Alternativa sicura |
|---|---|---|
| Dati personali (nomi, email, CF) | Violazione GDPR, sanzioni | Anonimizza con segnaposto prima di incollare |
| Clausole e importi contrattuali | Rottura NDA, danno reputazionale | Strumento enterprise con dati esclusi dall’addestramento |
| Credenziali, API key, token | Compromissione sistemi | Non incollare mai, usa un password manager |
| Dataset e documenti del cliente | Esposizione dati di terzi | Ambiente AI aziendale approvato o on-premise |
| Codice e IP proprietari | Perdita vantaggio competitivo | Versione enterprise con data residency garantita |
| Budget e margini interni | Fuga di informazioni strategiche | Lavora su dati aggregati o fittizi, non reali |
Le alternative sicure che ti fanno usare l’AI lo stesso
Niente di tutto questo significa rinunciare al supporto dell’intelligenza artificiale. Significa scegliere il canale giusto per il dato giusto. Ecco le strade praticabili, in ordine di facilità.
Le versioni enterprise con protezione dei dati
I principali fornitori offrono piani business ed enterprise in cui, per contratto, i tuoi input non vengono usati per addestrare i modelli e i dati restano isolati. Cambia tutto rispetto alla versione gratuita. Se la tua azienda ha sottoscritto un piano di questo tipo, gran parte delle preoccupazioni si attenua, perché esiste un accordo di trattamento dati e garanzie verificabili. Il primo passo, quindi, è semplice: chiedi al tuo reparto IT o legale se esiste già una licenza approvata e a quali condizioni.
Gli strumenti aziendali approvati
Molte organizzazioni hanno integrato assistenti AI dentro la propria suite, spesso all’interno di ambienti che già rispettano le policy di sicurezza interne. Usare l’AI integrata nello strumento di gestione progetti o nella suite documentale aziendale è quasi sempre più sicuro che aprire una scheda del browser su un servizio pubblico. La regola pratica è una: usa ciò che l’azienda ha già benedetto, non ciò che hai scoperto ieri su un newsletter.
Gli ambienti on-premise o privati
Per i contesti più sensibili esistono modelli che girano su infrastruttura aziendale, dove i dati non escono mai dal perimetro. È la soluzione più protettiva e in genere richiede un investimento e competenze dedicate. Non sarà tu da solo a deciderlo, ma è utile sapere che esiste, perché quando un cliente del settore pubblico o sanitario ti chiede dove finiscono i suoi dati, la risposta “su nessun server esterno” cambia la conversazione.
L’anonimizzazione, la tua arma quotidiana
È la tecnica che userai più spesso, perché è gratis e immediata. Prima di incollare, sostituisci ogni elemento sensibile con un segnaposto generico. Il modello non ha bisogno di sapere che il cliente si chiama Rossi SpA per aiutarti a riscrivere un’email professionale: gli basta “Cliente A”. L’AI lavora benissimo sulla struttura e sul tono anche con dati finti.
Checklist di anonimizzazione prima di premere invio
Stampala mentalmente, o davvero, e applicala ogni volta che stai per incollare qualcosa di lavorativo in uno strumento pubblico.
- Ho sostituito tutti i nomi di persone con segnaposto tipo “Persona A”, “Project Sponsor”?
- Ho rimosso o mascherato nomi di aziende e clienti reali, usando “Cliente X” o “Fornitore Y”?
- Ho tolto importi, budget e cifre economiche reali, oppure li ho resi fittizi e plausibili?
- Ho eliminato email, telefoni, indirizzi e qualsiasi codice identificativo?
- Ho controllato che non siano rimaste credenziali, link interni, percorsi di file o riferimenti a sistemi?
- Ho verificato che il testo, una volta anonimizzato, non sia comunque riconducibile a un progetto o cliente specifico per via dei dettagli?
- Sto usando lo strumento giusto per la sensibilità del dato, o mi conviene passare a quello aziendale?
Quest’ultimo punto è il più sottovalutato. A volte un testo è talmente specifico che, anche cambiando i nomi, chiunque del settore capirebbe di chi si parla. In quei casi l’anonimizzazione non basta e devi salire di livello, scegliendo un ambiente protetto.
Trasforma la consapevolezza in abitudine di team
Come PM non gestisci solo i tuoi gesti, ma anche quelli del gruppo. Il rischio più grande non sei tu che hai letto fin qui, ma il collega che incolla allegramente il verbale completo perché “tanto è solo per farmi un riassunto”. Vale la pena condividere una micro-policy di una pagina: quali strumenti AI sono approvati, cosa non si incolla mai, come si anonimizza. Inseriscila nell’onboarding del progetto insieme alle altre regole di gestione documentale. Non serve un trattato, serve che tutti abbiano lo stesso riflesso prima del copia-incolla.
L’intelligenza artificiale resta uno degli acceleratori più potenti che un project manager abbia mai avuto sotto mano. Usarla bene non vuol dire averne paura, vuol dire averne il controllo. Sai cosa stai mettendo dentro, sai dove va a finire, e quando il dato è troppo prezioso scegli il canale giusto. Questa è la stessa disciplina con cui gestisci rischi, scope e stakeholder ogni giorno. Applicata all’AI, ti permette di andare più veloce senza mai metterti, né mettere il cliente, in una posizione difficile.
Porta competenza vera nei tuoi progetti digitali
Gestire dati, rischi e strumenti con metodo è esattamente ciò che distingue un project manager solido in un contesto digitale. Se vuoi costruire queste basi in modo strutturato, il Corso DPM Foundation di Management Academy offre 27 ore di contenuti video on demand dedicati al Digital Project Management. È un percorso di livello Foundation pensato per chi gestisce progetti in contesti digitali e prepara alla certificazione in Digital Project Management; l’esame si sostiene a parte e non è incluso nel corso.
