Cos'è un segreto commerciale, nel senso della normativa?
La vostra azienda risponde a gare d'appalto, a questionari di sicurezza, a questionari di due diligence (il DDQ che un cliente vi invia prima di affidarvi un contratto). Nel corso degli anni, queste risposte formano una libreria: la vostra organizzazione, i vostri metodi, i vostri prezzi e la loro costruzione, le vostre referenze clienti, l'architettura dei vostri sistemi, i vostri impegni contrattuali. Questa libreria è ciò che vi permette di rispondere in fretta e bene. È anche, molto probabilmente, un segreto commerciale nel senso della normativa.
A livello europeo, la direttiva (UE) 2016/943 protegge il know-how e le informazioni commerciali riservate contro l'acquisizione, l'utilizzo e la divulgazione illeciti. In Italia è stata recepita nel Codice della proprietà industriale (D.Lgs 30/2005, art. 98-99). Le condizioni della protezione, comuni alla direttiva e al suo recepimento nazionale, sono le seguenti:
> « È protetta a titolo di segreto commerciale ogni informazione che risponda ai criteri seguenti: > 1° Non è, in sé o nella configurazione e nell'assemblaggio esatti dei suoi elementi, generalmente nota o facilmente accessibile per le persone che si occupano abitualmente di questo tipo di informazioni in ragione del loro settore di attività; > 2° Riveste un valore commerciale, effettivo o potenziale, in virtù del suo carattere segreto; > 3° È oggetto, da parte del suo detentore legittimo, di misure di protezione ragionevoli, tenuto conto delle circostanze, per conservarne il carattere segreto. »
Queste tre condizioni riflettono quelle fissate dalla direttiva stessa: le prime due descrivono l'informazione, la terza descrive cosa ne fate voi.
Questo sito non fornisce consulenza legale. Pone la domanda a cui il vostro consulente deve rispondere, e la pone perché viene raramente posta nel momento in cui conta: quello in cui si sceglie uno strumento.
Perché una libreria di risposte soddisfa le prime due condizioni?
Prima condizione: l'informazione non è generalmente nota. Presa pezzo per pezzo, una parte della vostra libreria è pubblica: le vostre certificazioni, il vostro organico, il vostro indirizzo. Ma il testo della direttiva riguarda anche «la configurazione e l'assemblaggio esatti» degli elementi. L'assemblaggio delle vostre risposte, cioè il modo in cui descrivete il vostro metodo, in cui costruite un prezzo, in cui rispondete a una domanda di sicurezza sulla vostra architettura, non è noto a nessun altro se non a voi. È precisamente per questo che un concorrente vorrebbe leggerlo.
Seconda condizione: un valore commerciale in virtù del segreto. Il valore della vostra libreria dipende dal fatto che i vostri concorrenti non ce l'hanno. Un listino prezzi noto a tutti non è più un vantaggio. Una risposta a un questionario di sicurezza che descrive i vostri controlli e i vostri punti deboli ha un valore per voi, e un altro per chi volesse attaccarvi. Una referenza cliente dettagliata, un metodo di distribuzione, un impegno di livello di servizio: ciascuno vale per ciò che gli altri ignorano.
Queste due condizioni sono soddisfatte dalla natura stessa della libreria. Nessuno deve decidere nulla perché lo siano.
La terza condizione è quella che dipende da voi
«Misure di protezione ragionevoli, tenuto conto delle circostanze.» È la condizione che l'azienda soddisfa o non soddisfa con i propri atti. Ed è quella che la scelta di uno strumento di IA mette in gioco.
Caricare la propria libreria di risposte in uno strumento significa affidarla. La domanda non è se lo strumento sia utile; lo è. La domanda è se le circostanze di questa fiducia costituiscano ancora una misura di protezione ragionevole. Quattro punti la determinano, e ciascuno si legge nelle condizioni contrattuali dello strumento, non nella sua brochure.
| Misura di protezione | Cosa protegge | La domanda da porre allo strumento, contratto alla mano |
|---|---|---|
| La localizzazione del trattamento | Il perimetro giuridico in cui esistono le vostre risposte | Dove vengono trattati i vostri documenti, non solo archiviati, e sotto quale diritto? |
| L'uso dei dati | L'esclusività del vostro sapere | I vostri documenti o le vostre risposte servono a migliorare un modello condiviso con altri clienti, anche in forma aggregata? |
| La reversibilità | Il controllo nel tempo | A fine contratto, i vostri dati vi vengono restituiti in un formato riutilizzabile, e tutto ciò che ne deriva (indici, rappresentazioni, log, backup) viene cancellato con attestazione? |
| La tracciabilità | La prova di aver adottato le misure | Potete stabilire, per ogni risposta consegnata, da dove viene e chi vi ha avuto accesso? |
Un'azienda che può rispondere con precisione a queste quattro domande ha adottato misure di protezione, e può dimostrarlo. Un'azienda che non può farlo ha forse, senza volerlo, indebolito la terza condizione, e con essa la protezione dell'insieme.
Sulla piattaforma Optivalue.ai, che pubblica questo sito, l'istanza è privata per cliente e mai mutualizzata tra organizzazioni; si distribuisce in modalità condivisa, su cloud privato o on-premise, con un hosting possibile in oltre 80 paesi, nella giurisdizione scelta; e la reversibilità è contrattuale: restituzione in un formato riutilizzabile, cancellazione datata che copre i derivati, i backup e i subappaltatori, attestazione verificabile, e divieto di usare i vostri dati, anche aggregati, a beneficio di altri clienti. I vostri documenti restano da voi, e potete provarlo.
La concessione che chiarisce tutto
Non tutti i dati che affidate a un'IA sono un segreto commerciale. Riformulare un'email, riassumere un articolo pubblico, mettere in ordine una nota di riunione senza contenuto sensibile: l'IA generica fa questo molto bene, e la domanda sulla protezione del segreto commerciale non si pone, perché la prima condizione non è soddisfatta.
La domanda si pone nel momento preciso in cui è la libreria stessa a essere caricata: le risposte accumulate, i prezzi, i metodi, le descrizioni dei vostri sistemi. È lì che lo strumento smette di essere un assistente di scrittura e diventa il depositario di ciò che vi distingue. Una bozza non impegna nessuno. La vostra libreria, sì.
Tre domande che tracciano la linea
Prima di caricare le vostre risposte in uno strumento, tre domande da porre al vostro consulente legale e al fornitore, in quest'ordine:
- Cosa contiene esattamente ciò che carichiamo? Fate l'elenco: prezzi e la loro costruzione, metodi, referenze nominative, architettura di sicurezza, impegni contrattuali. Se l'elenco contiene uno di questi elementi, la prima e la seconda condizione di protezione sono verosimilmente soddisfatte.
- Le condizioni del fornitore ci permettono di affermare di aver adottato misure ragionevoli? Localizzazione del trattamento, uso dei dati, reversibilità, tracciabilità: le quattro righe della tabella sopra, con la clausola che le copre.
- Potremmo dimostrarlo davanti a un tribunale o a un revisore? La terza condizione non richiede solo misure; richiede di poter stabilire che sono state adottate. Un contratto, un log di accesso, un'attestazione di cancellazione sono prove. Una brochure non lo è.
Domande frequenti
Un'IA generica consumer è necessariamente incompatibile con la protezione del segreto commerciale? No. Tutto dipende dalle condizioni d'uso sottoscritte e da cosa vi si carica. La domanda non riguarda lo strumento in sé, ma le misure di protezione adottate, tenuto conto delle circostanze. Sono le condizioni contrattuali e il contenuto affidato a rispondere, non il marchio dello strumento.
Perdere la protezione del segreto commerciale ha conseguenze concrete? La protezione normativa apre rimedi contro l'acquisizione, l'utilizzo o la divulgazione illeciti di un segreto. Se la terza condizione non è più soddisfatta, questi rimedi diventano incerti. Il vostro consulente legale è l'interlocutore giusto per valutare cosa significhi questo nella vostra situazione.
Le nostre risposte ai questionari di sicurezza sono interessate? Lo sono particolarmente. Una risposta a un questionario di sicurezza descrive i vostri controlli, la vostra architettura e, spesso, i vostri scostamenti. Il suo valore commerciale dipende dal suo carattere segreto, e la sua divulgazione avrebbe anche una conseguenza di sicurezza.
Cosa vale una clausola che promette di non addestrare un modello sui nostri dati? Vale ciò che copre. Leggete se si estende ai dati aggregati, ai derivati (indici, rappresentazioni vettoriali), ai subappaltatori, e a ciò che succede dopo la fine del contratto. Una clausola che copre i quattro punti è una misura di protezione; una clausola che ne copre solo uno lascia tre porte aperte.
Un'istanza privata basta a soddisfare la terza condizione? Vi contribuisce, con la localizzazione del trattamento, la reversibilità e la tracciabilità. Non dispensa dalle misure interne: diritti di accesso, registrazione, sensibilizzazione dei team. La normativa parla di misure «tenuto conto delle circostanze»: è l'insieme a contare.
Vedere un'istanza privata trattare i vostri documenti, senza che ne escano
Portate una vera gara d'appalto, un questionario di sicurezza o un DDQ. Vedrete la copertura dell'estrazione, le fonti citate alla pagina e l'analisi degli scostamenti sul vostro documento, in un'istanza a voi dedicata, non una dimostrazione preparata.
Fonti citate
- Direttiva (UE) 2016/943 dell'8 giugno 2016 sulla protezione del know-how riservato e delle informazioni commerciali riservate contro l'acquisizione, l'utilizzo e la divulgazione illeciti.
- Codice della proprietà industriale (D.Lgs 30/2005), articoli 98-99, recepimento in Italia della direttiva (UE) 2016/943.