Su una pagina pubblicata sembrano identici. Una riga che dice che il contenuto è stato prodotto con l'aiuto dell'IA, e un registro che mostra che cosa è stato prodotto, da chi e quando. Stessa frase, stessa posizione, stesso carattere. La differenza emerge solo quando qualcuno ha motivo di contestarla, e a quel punto è troppo tardi per creare il secondo.
Due cose che sembrano uguali
Un'etichetta è una dichiarazione. State descrivendo i vostri contenuti, con le vostre parole, su una superficie che controllate. Ai sensi dell'articolo 50 del regolamento UE sull'IA è esattamente questa dichiarazione a essere richiesta, e formularla bene conta.
Un registro è diverso per natura, non per grado. È un oggetto creato in un momento preciso, legato a un file preciso, conservato in modo che né voi né chi lo legge possiate rivederlo di nascosto. Non descrive ciò che avete fatto. Lo mostra.
Ogni conversazione di conformità che finisce male finisce male esattamente nel punto in cui qualcuno ha scambiato la prima cosa per la seconda.
Quanto vale un'autodichiarazione
Vale qualcosa, e liquidarla sarebbe l'errore opposto. Un'informativa chiara, accurata e applicata in modo coerente è ciò che la regola chiede. Segnala un processo che funziona. È la prima cosa che un cliente ragionevole vuole vedere. Se non l'avete fatta, fatela prima di preoccuparvi di qualunque altra cosa in questa pagina.
Quello che non è: una prova di sé stessa. Un'autodichiarazione è un'affermazione, e un'affermazione si sostiene da sola soltanto finché nessuno ha interesse a verificarla. Di solito è per molto tempo, ed è proprio per questo che il divario passa inosservato fino al giorno in cui conta.
Le tre domande a cui un'etichetta non risponde
Mettete una qualsiasi informativa accanto a queste e la forma del divario diventa evidente.
Che cosa è stato prodotto? Non quello che oggi sta sulla pagina. L'oggetto esatto che è uscito. Le pagine si modificano. Una dichiarazione scritta oggi su una versione da allora rivista due volte descrive qualcosa che in quella forma non esiste più.
Da chi, e con che cosa? Quali parti sono state generate, quali modificate da un modello, quali scritte da una persona. Una sola riga in fondo alla pagina comprime tutto questo in una parola, e quella parola la sceglie la parte che ha interesse a sceglierla.
A che data era vero? È la domanda che demolisce silenziosamente la maggior parte delle risposte interne. Una dichiarazione fatta ad agosto su un lavoro di marzo è un ricordo. La sua data è quella in cui avete scritto la dichiarazione, non quella della cosa che descrive.
Dove i team pensano che stiano le loro prove
Chiedete a un team marketing o contenuti di sostenere una dichiarazione e vengono fuori quattro cose, più o meno in quest'ordine. Ognuna è utile. Nessuna regge quando viene contestata anziché semplicemente consultata.
Date di modifica dei file. La risposta più comune e la più debole. Una data di modifica è un metadato dentro un sistema che amministrate voi. Cambia quando un file viene copiato, sincronizzato, esportato o aperto dall'applicazione sbagliata, e può essere impostata deliberatamente. È un appunto di lavoro sui vostri file, non una dichiarazione che qualcun altro abbia motivo di accettare.
Thread di email. Meglio, perché è coinvolta una seconda parte che ne conserva una copia. Comunque debole per questo scopo. Una email mostra che di qualcosa si è parlato in una certa data. Raramente si aggancia a una specifica versione del file, le intestazioni si possono costruire, e un thread che a chi lo ha vissuto sembra conclusivo di solito appare ambiguo a chi non c'era.
Cronologia del project management. Passaggi di ticket, commenti, allegati, un log di audit. Sembra solido perché è dettagliato e con marche temporali. Il problema è amministrativo: gli amministratori dello spazio di lavoro possono modificare o cancellare voci, le politiche di conservazione eliminano silenziosamente gli elementi vecchi, e l'intero archivio appartiene alla parte che fa l'affermazione. Il dettaglio non è indipendenza.
Cronologia delle versioni nel cloud. La più solida delle quattro e comunque nella stessa trappola. La cronologia mostra una sequenza di stati di un documento. È in mano a un fornitore con cui avete un contratto, secondo condizioni che potete modificare, in un account che controllate, e di norma scade. Risponde a che cosa è cambiato. Non risponde in modo indipendente a quando, davanti a chi ha deciso di non credervi sulla parola.
Il filo comune non è che questi sistemi siano inaffidabili. È che tutti e quattro sono in mano alla parte la cui affermazione è in discussione. È un problema strutturale, e nessuna quantità di ulteriore registrazione interna lo risolve.
Che cosa cambia quando il registro è sigillato
Il sigillo sposta fuori dal vostro controllo una cosa precisa: la data.
Dal file stesso si calcola un hash crittografico, così il registro è legato a una versione esatta e non a un documento che continua a cambiare. La dichiarazione su come il lavoro è stato prodotto viene agganciata a quell'hash. Un prestatore di servizi fiduciari qualificato emette poi una marca temporale elettronica qualificata su entrambi.
Ai sensi del regolamento eIDAS, regolamento (UE) n. 910/2014, una marca temporale elettronica qualificata gode di una presunzione legale quanto alla data e all'ora che indica e all'integrità dei dati a cui è associata. In Svizzera la ZertES disciplina i servizi di certificazione per le firme elettroniche, mentre l'equivalenza con la firma autografa deriva dall'art. 14 cpv. 2bis del Codice delle obbligazioni svizzero. Sono due testi distinti e conviene citarli come due.
Quello che vi porta in pratica è circoscritto e prezioso. Non rende vera la vostra dichiarazione. Rende la data della vostra dichiarazione qualcosa che non potete aver cambiato dopo, ed è esattamente la proprietà che manca a tutti e quattro i registri interni qui sopra. Un hash su un registro pubblico dà un risultato affine ma più debole, per ragioni che vale la pena leggere per esteso nel confronto con la marcatura temporale su blockchain.
Un esempio svolto
Un'agenzia consegna una campagna a febbraio. Landing page, sei annunci, un video di lancio. Parte dei testi è stata abbozzata con un modello, tutto è stato rivisto da una persona, un'illustrazione è stata generata. La consegna include una riga di informativa, che è più di quanto abbiano fatto quasi tutte le agenzie quel mese.
Ad agosto il cliente viene acquisito. L'ufficio legale dell'acquirente esegue un audit dei contenuti e invia una domanda: per ogni asset, che cosa è stato generato dall'IA, che cosa assistito dall'IA, e quali prove sostengono la risposta. Il termine è due settimane e il tono è procedurale, non ostile.
L'agenzia deve ora ricostruire febbraio. Il designer che ha generato l'illustrazione se n'è andato. Il documento è stato modificato undici volte dalla consegna, l'ultima volta dal cliente. Lo spazio di project management è stato migrato a maggio e i commenti più vecchi di novanta giorni non sono stati trasferiti. Restano un thread di email che dice che la campagna è pronta per la revisione e una riga di informativa la cui data è ignota.
Qui non c'è malafede. Tutti hanno fatto il loro lavoro. L'agenzia semplicemente non riesce a rispondere a una domanda per cui non aveva motivo di prepararsi, e l'acquirente non è irragionevole a porla. Il costo sono due settimane di tempo di persone senior, un rapporto teso e una risposta che finisce con "per quanto ci risulta".
La versione in cui l'agenzia ha sigillato ogni consegna al momento del passaggio richiede circa dieci minuti. Inoltrano quattro certificati. L'acquirente li verifica senza contattare nessuno. La conversazione finisce lì.
Il punto pratico
Etichettate i vostri contenuti. È l'obbligo e non è facoltativo. Poi ponetevi una seconda domanda, che la regola non pone ma i vostri clienti prima o poi sì: se qualcuno che non ha motivo di fidarsi ci chiede fra sei mesi di sostenere questa affermazione, che cosa gli consegniamo?
Se la risposta è una cartella di screenshot e un ricordo, il divario conviene colmarlo finché costa poco. La nostra pagina sull'articolo 50 spiega che cosa copre l'obbligo e dove si colloca una dichiarazione sigillata.
