Pratica

Riservatezza by design

Per uno studio legale, la riservatezza non è una caratteristica da aggiungere. L'unico modo durevole per garantirlo è di progettare in modo che l'esposizione non esista mai. Questo articolo dimostra, proprietà per proprietà, come tale garanzia è costruita.

Per la maggior parte del software, la riservatezza è un livello di protezione aggiunto sopra un prodotto che altrimenti esporre i dati. Crittografia, controlli di accesso, certificazioni di conformità: l'apparato familiare di sicurezza legato a un'architettura che, lasciata a sé, invierebbe informazioni da qualche parte non dovrebbe andare. Questo approccio può funzionare. Ma è, per sua natura, una difesa: un muro costruito intorno a un rischio che il design ha creato. Per uno studio legale, dove la riservatezza non è una preferenza ma la condizione stessa della pratica, una difesa intorno a un rischio è una cosa più debole dell'assenza del rischio del tutto.

La riservatezza di MAX non poggia su una promessa, poggia su una dimostrazione. Tre proprietà architettoniche, poste al momento del design, bastano a stabilire che nessuna delle situazioni che costituiscono un rischio nei prodotti concorrenti può, per costruzione, verificarsi con MAX. Queste tre proprietà sono indipendenti l'una dall'altra, verificabili, e ognuna può essere indicata come un semplice teorema.

PROPRIETÀ 1 — NO DESTINAZIONE

La maggior parte degli strumenti legali IA richiedono che i dati dello studio lascino l'ambiente dello studio per una piattaforma di terze parti. Per usare lo strumento, si invia la propria materia, le proprie informazioni cliente, il proprio lavoro privilegiato, verso un sistema che vive altrove. I fornitori poi costruiscono difese intorno a quel viaggio, e molte di quelle difese sono veramente buone. Ma il viaggio stesso è quello che crea l'esposizione, e nessuna difesa intorno a un viaggio è sempre abbastanza forte come non dover fare il viaggio affatto.

Una difesa intorno a un rischio è sempre più debole dell'assenza del rischio. La riservatezza più forte è l'esposizione che non è mai stata creata.

MAX non possiede una piattaforma separata. Questa è una conseguenza diretta della decisione, descritta altrove, di non costruire un'interfaccia. Poiché non c'è destinazione MAX per il lavoro a cui andare, i dati dello studio non devono lasciare l'ambiente dello studio in modo che MAX sia utile. Questa proprietà non è un'opzione, è meccanica: un transito che non esiste non può essere intercettato, reindirizzato, o mal gestito.

Si potrebbe obiettare che nessun prodotto IA funziona senza interagire con un modello, e che i modelli stessi sono ospitati altrove. L'obiezione è ben fondata, ed è proprio ciò che la proprietà 2 sotto gli indirizzi. Ma per quanto riguarda la conservazione durevole dei dati dello studio, dei dossier trattati, della metodologia codificata, della memoria istituzionale, MAX non crea, per costruzione, un punto di accumulo al di fuori dello studio. Il viaggio che ha costituito la principale esposizione nei prodotti concorrenti semplicemente non si verifica.

PROPRIETÀ 2 — NO FORMAZIONE, NON PROPAGAZIONE

Un secondo modo i dati possono trapelare da uno strumento IA è più sottile del transito. Quando un modello è formato sui dati che gli vengono forniti, i dati si integrano nella sua conoscenza generale e possono, in determinate condizioni, risaltare le risposte date ad altri utenti. Si chiama propagazione. Per uno studio legale, è un rischio inaccettabile, perché le informazioni del cliente che rispecchino in una risposta ad un'altra impresa costituirebbero una violazione della riservatezza professionale, indipendentemente da qualsiasi intento dannoso.

Una garanzia commette colui che lo dà. Una proprietà dipende da nessuno.

MAX, per costruzione, non forma i modelli sottostanti sui dati dello studio o sui dati dei suoi clienti. I dati attraversano i modelli per il momento di un'operazione, poi scompare. Non arricchisce la conoscenza del modello. Non risalta, in nessuna forma, nelle risposte date ad altri utenti. La propagazione, come il transito, è resa impossibile dall'architettura del prodotto, non evitata da una promessa contrattuale.

Questa proprietà merita di essere distinta da una garanzia contrattuale che si trova a molti fornitori sotto forma di "non formiamo sui vostri dati". Tale garanzia impegna il fornitore, ed è rotto il giorno in cui il fornitore decide di romperlo, o i termini di servizio di giorno sono modificati, spesso senza che alcun utente noti la modifica al momento in cui si verifica. La nostra proprietà non è una garanzia; è una caratteristica del modo in cui il sistema è costruito. Perché cessi di essere vero, MAX dovrebbe diventare un altro prodotto. Ed è proprio questa robustezza che distingue una garanzia da una proprietà architettonica.

PROPRIETÀ 3 — OSTAZIONE EUROPEA, LA APPLICABILITÀ DEL RGPD

La terza proprietà riguarda il quadro giuridico applicabile alle operazioni. MAX è ospitato all'interno dell'Unione Europea e l'intero trattamento opera all'interno del GDPR e dei requisiti emergenti dell'IA Act. Questo punto conta meno come proprietà tecnica che come giuridica: garantisce che i diritti dello studio sui propri dati, e i diritti dei suoi clienti sui loro, sono disciplinati da un quadro prevedibile ed esecutivo, e non da termini di servizio che potrebbero essere modificati unilateralmente.

Questa proprietà è, nello stato attuale del mercato, più raro di quanto si pensi. Molti strumenti legali dell'IA operano da giurisdizioni in cui le protezioni offerte ai dati trattati sono notevolmente più deboli, e dove la portata dei diritti dello studio sui propri dati è più incerta. La scelta dell'hosting europeo è un vincolo, che comporta un costo operativo e che chiude alcune opzioni tecniche. Ma è ciò che rende la Proprietà 3 verificabile, ed è quella verificabilità che distingue una garanzia da una promessa.

Questa terza proprietà si svolge in diverse direzioni concrete che la professione riconoscerà. Il diritto di accesso e di cancellazione rimane completamente esercizio, in linea con il GDPR. L'obbligo di minimizzare i dati trattati si applica per impostazione predefinita. I trasferimenti al di fuori dell'UE, dove sono tecnicamente inevitabili, sono inquadrati dai meccanismi giuridici europei previsti a tale scopo. La legge IA, come le sue disposizioni entrano in vigore, aggiunge requisiti di documentazione, tracciabilità e supervisione umana la cui conformità MAX già porta. Tutto questo non viene aggiunto al MAX: tutto questo scorre dalla scelta iniziale di ospitare in Europa, e dalla decisione di trattare il quadro europeo come caratteristica dell'architettura piuttosto che un obbligo di lavoro intorno.

Questi non sono impegni promozionali sovrapposti al prodotto dopo il fatto. Sono proprietà di un'architettura progettata per non creare l'esposizione che quegli impegni avrebbero altrimenti a difendersi.

Perché la sovranità segue la stessa logica

La sovranità, debitamente compresa, è la stessa idea estesa dai dati alla dipendenza. Una società è sovrana sul suo lavoro quando dipende da nessun singolo esterno per mantenere il funzionamento, quando non è bloccato alla roadmap di un fornitore o il permesso di una piattaforma. Poiché MAX siede sopra i modelli e non è legato a nessuno di loro, lo studio che utilizza MAX mantiene la sua libertà di scegliere e di cambiare. Il valore che costruisce nel tempo, la sua memoria, la sua metodologia, il suo governo, appartiene alla ditta e vive nelil livello, non in alcun modello esterno che potrebbe essere prezzo, ristretto o ritirato.

Questa sovranità può essere verificata in diverse situazioni concrete che la professione riconoscerà. Se un fornitore di modelli cambia bruscamente le sue condizioni di prezzo, lo studio sostituisce il modello senza dover ricostruire il suo utilizzo. Se un nuovo regolamento proibisce un certo tipo di transito internazionale dei dati, MAX continua a funzionare senza mai averlo eseguito. Se una domanda sensibile sorge sulla giurisdizione applicabile a un'operazione di trattamento, la risposta è documentata dalla fase di progettazione, non negoziata caso per caso. Ognuno di questi punti è, preso singolarmente, minore. Strung insieme, delineano un'autonomia che non è più solo marketing, ma operativo, e che distingue uno strumento che lo studio si appoggia da uno strumento a cui dipende lo studio.

Ecco perché trattiamo la riservatezza e la sovranità non come temi di marketing ma come fatti architettonici. Un tema può essere rivendicato da chiunque. Un fatto è costruito in, o non è. Le tre proprietà sopra indicate sono verificabili. Non dipendono dalla nostra buona fede, dalla nostra vigilanza commerciale o dalla nostra solidità finanziaria. Essi sono veri perché fluiscono dal modo in cui il MAX è stato costruito, e resteranno così finché il MAX rimane ciò che è. Questo è, per uno studio legale, l'unico tipo di garanzia che merita veramente il nome: quello che non dipende più da chi lo sta facendo.

Chiunque può rivendicare la riservatezza e la sovranità come temi. Sono reali solo quando sono costruiti nell'architettura, non promesso sopra di esso.