Segreto per leggere e analizzare più testi CONTEMPORANEAMENTE con ChatGPT

Ciao e benvenuto in questo nuovo video. Oggi vediamo insieme un metodo per analizzare e riassumere più documenti contemporaneamente. Sottolineo contemporaneamente, poi ti spiegherò perché uso questo termine nel corso del video. Lo faremo utilizzando l'intelligenza artificiale, nello specifico ChatGPT 4, la versione a pagamento, la versione che consente l'upload di documenti, proprio perché ti voglio dimostrare come è possibile fare questa operazione risparmiando tanto tempo con delle tecniche che ti consentono nel giro di 20-30 minuti di avere come risultato finale un riassunto compreso di schemi, parole chiave, principi fondamentali e quant'altro che puoi utilizzare per i tuoi scopi. Non so se ti è mai capitato di dover leggere delle fonti complicate, magari molto lunghe, piene di tecnicismi e quant'altro. Per fare queste operazioni serve tanto tempo, serve studio, serve capacità anche di comprensione dei testi e tutta una serie di skills. Bene, oggi vedremo come può l'intelligenza artificiale aiutarci in questo compito. Io mi sono armata di Tizana e adesso ti faccio vedere il mio metodo, che fra l'altro è un metodo che io per prima utilizzo proprio quotidianamente durante la mia attività, diciamo, di aggiornamento consulenziale, quando devo leggere testi complicati, ma lo voglio fare azzerando un po', abbattendo i tempi morti. Quindi ho poco tempo a disposizione, mi serve capire nel giro di poco quello che devo andare poi a commentare, discutere e analizzare. Allora, questa è l'interfaccia di ChatGPT 4. Da questa graffettina qui che vedi qui nella chat ti rendi conto che la versione 4, come ti dicevo prima, consente proprio di fare il caricamento di documenti in PDF. La differenza fondamentale è che se vado ad utilizzare la versione 3.5 devo riportare il contenuto del documento tramite dei copia incolla, che è un'operazione un po' scomoda. Questa versione invece ci consente di analizzare il documento perché è lei stessa che va a leggere i documenti. Io ovviamente mi sono scaricata i documenti che mi interessano, me li sono già messi in una cartelletta sulla mia scrivania del PC e adesso ti mostrerò come fare. Prima però voglio farti un'introduzione introduzione ai documenti che andremo ad analizzare. Ho scelto dei documenti che sono stati poi quelli linkati all'interno della newsletter dell'Autorità Garante per la Protezione dei Dati Personali. Li ho selezionati perché oltre ad essere documenti interessanti sono anche molto lunghi. Proviamo ad aprirne uno, voglio farti vedere. Ecco, questo per esempio è un documento, vedi sono Guarda qui la barrettina come scorre. È un testo molto, molto lungo, molto lungo. Parliamo forse quasi di una trentina di pagine. Però l'interessante, la cosa interessante qui è dover leggere questi 3 provvedimenti che riguardano l'attacco ai sistemi informatici che ha colpito la Regione Lazio nel 2021. È interessante leggerli insieme perché sono 3 sanzioni che sono state combinate dall'autorità a Lazio Crea responsabile esterno della Regione Lazio, l'ASL Roma 3 e la Regione Lazio, per l'appunto. Quindi mi interessa capire come il garante ha ragionato nell'andare a comporre l'istruttoria e quali sono stati poi i motivi che hanno portato l'autorità a determinare l'ammontare delle sanzioni, perché non so se ci hai fatto caso, ma sono 3 quotazioni diverse: 271.000 per Lazio Crea, 120.000 per la Regione Lazio e solo, solo fra virgolette, 10.000 euro per l'ASL Roma 3. Quindi io ho scaricato i documenti, adesso li andiamo a caricare insieme all'interno di ChatGPT e iniziamo questa operazione di brainstorming. Allora, vado a prendermi i documenti e li carichiamo all'interno. Allora, prendiamo il primo provvedimento Regione Lazio e lo mettiamo qui dentro, e lui va a caricare. Prendiamo il secondo, Lazio Crea, e l'ultimo che è quello dell'ASL. Eccolo qua. Allora, io ho già preparato ovviamente le domande che andrò a fare all'intelligenza artificiale perché devo andare spedita nel video e voglio farti arrivare e vedere subito il risultato finale. Quindi vado a prendermi la prima richiesta che in gergo E se hai seguito il mio video sull'utilizzo di ChatGPT, sai che l'input, in questo caso quello che vado a scrivere qui all'interno della chat di ChatGPT, si chiama prompt. Vado a incollare il mio prompt, che è proprio il numero 1. Posso anche togliere il numerino e gli chiedo: leggi i documenti e dimmi in breve che cos'è successo. Invio il prompt e lui inizia l'analisi documentale. Allora, il consiglio mentre scrive, intanto facciamo due chiacchiere, è quello di interagire con ChatGPT, perché più ci abituiamo a parlare con l'intelligenza artificiale, più gli output che ci va a restituire saranno precisi. Quindi non ti scoraggiare se il primo risultato non sarà super performante. Ti faccio un esempio: io ho già provato a fare ovviamente questa analisi e queste richieste a ChatGPT con altri documenti. In una di queste volte lui ha iniziato a parlare in inglese, probabilmente c'è Sarà stato proprio un'allucinazione, no? Allora gli ho chiesto: rispondimi in italiano. Ecco, non devo scoraggiarmi e dire: ah no, beh, non funziona, quindi chiudo e faccio da solo. Devo abituarmi all'interazione. Allora, intanto ci ha dato un primo risultato. Gli abbiamo chiesto: leggi i documenti e dimmi in breve cos'è successo. E lui ci dà un riassunto. Il 31 luglio, intanto vedete inizia con proprio con le date, Lazio Crea, responsabile del trattamento dei dati per conto della Regione Lazio e di altri enti, ha subito un attacco informatico causato malware di tipo ransomware. Ci dice anche con precisione che cosa è successo, e conoscendo i fatti e quello che poi è stato l'evoluzione un po' di tutto, posso dirti che effettivamente è vero quello che ci sta dicendo. Quindi l'analisi documentale l'ha fatta e come. Questo attacco ha compromesso sistemi informativi rendendo temporaneamente indisponibili i dati e i servizi correlati. L'azienda ha collaborato con le forze dell'ordine e le altre autorità di sicurezza per investigare l'attacco e avviato azioni per ripristinare i servizi e migliorare la sicurezza dei sistemi. Ecco, questo è fondamentale: durante l'attacco i servizi essenziali come emergenze sanitarie e protezione civile non sono stati interrotti. Lo vedremo poi perché sulla base della cyber resilience dei titolari del trattamento, cioè proprio la capacità di resistere agli attacchi informatici, l'autorità garante si basa per andare poi a combinare la sanzione, quindi per quantificare il danno, l'importo e quant'altro. L'attacco è stato originato dalla compromissione delle credenziali di un dipendente regionale, Regione Lazio, sfruttate per accedere ai sistemi aziendali. Nonostante l'interruzione non ci sono state sfiltrazioni di dati personali e i sistemi critici erano stati segregati e quindi non colpiti dall'attacco. Le indagini, le misure correttive hanno incluso il ripristino dei sistemi dal backup, l'attivazione di autenticazione a più fattori e l'implementazione di politiche misure di sicurezza. Nel contesto normativo, l'ASL è stata dichiarata in violazione dell'articolo 33 del GDPR, è stata dichiarata probabilmente colpevole, qui manca una parola, per non aver notificato adeguatamente la violazione dei dati e per non aver documentato adeguatamente le proprie azioni in risposta all'attacco. Di conseguenza, sanzione 10.000 euro. L'evento ha in generale evidenziato necessità di migliorare misure di sicurezza informatica e gestione delle emergenze. Qui ci ha dato una prima lettura. Ma come ti dicevo, l'importante è il brainstorming. Quindi non mi fermo a questo risultato, no, che è più o meno soddisfacente. Vado a fare delle domande. Per esempio, un'altra cosa che potremmo chiedergli è: perché Lazio Crea è stata punita più delle altre? Perché ti ricordi cosa ti ho detto all'inizio? 271.000 euro era la sanzione combinata Lazio Crea, 120 in Regione Lazio, 10.000 euro l'ASL. Quindi perché Lazio Crea è stata punita più delle altre? Vediamo che cosa ci dice. Continua ovviamente a leggere, ecco, i documenti. Lazio Crea ha avuto un ruolo centrale nell'incidente di sicurezza informatica descritto perché agiva come responsabile del trattamento dei dati per conto della Regione Lazio e di altri enti del servizio sanitario. Quindi la responsabilità del fornitore che agisce come, diciamo, assistente, come elaboratore in nome e per conto, in questo caso, della Regione Lazio è centrale, ci sta dicendo, no? Essendo il principale custode e gestore dei sistemi informativi coinvolti nell'attacco. Cioè della serie: Lazio Crea, una cosa dovevi fare: proteggere i dati che ti avevamo dato in custodia, in affidamento. Lo hai fatto, ma lo hai fatto male, perché hai subito degli attacchi informatici che hanno comportato tutta una serie di problematiche a livello privacy. Quindi, di conseguenza, nel tuo caso la sanzione è più alta. E questo un po' il ragionamento che ha fatto l'autorità garante. Ma non ci fermiamo qui, perché Ciaciabitti ci dà anche le motivazioni, estrapolate dai documenti che ha analizzato, sulla base delle quali l'azione è stata soggetta a quella sanzione più alta. Quindi i motivi sono 4: responsabilità diretta, quindi abbiamo detto prima custodia del database, gravità e ampiezza del coinvolgimento, data la sua posizione come gestore dei dati per diversi enti, qualsiasi fallimento aveva un impatto molto più ampio. Quindi dal momento che gestivi i dati in nome e per conto di altri enti, quel data breach è stato dannoso per tanti enti, per tante istituzioni e quindi da qui deriva una grave responsabilità. Violazione delle norme di compliance e qui fa riferimento ovviamente all'adeguamento e all'allineamento al GDPR che è, ti ricordo, la normativa che contiene tutte le disposizioni a tutela dei dati personali delle persone fisiche. C'erano specifiche mancanze nella gestione dell'incidente inclusa la mancata notifica tempestiva dell'attacco informatico e quant'altro. 4. E poi esito delle indagini ispettive: le indagini condotte hanno potuto mostrare che LazioCrea non aveva adottato misure tecniche organizzative sufficienti. Quindi ci ha spiegato i 4 motivi del garante, diciamo quelli che il garante è andato a motivare, sulla base dei quali la sanzione a LazioCrea è stata poi quella più alta. In sintesi: il ruolo centrale di LazioCrea nell'architettura di gestione dei dati e le lacune specifiche, eccetera eccetera, hanno portato a sanzioni più severe. Quindi abbiamo già qui una prima lettura, quindi abbiamo capito il ruolo di Lazio Crea. Ma in tutto questo la Regione Lazio cosa c'entra? Perché è stata sanzionata la Regione Lazio? Perché il data breach se l'è beccato Lazio Crea, no? La custodia ce l'aveva Lazio Crea, responsabile esterna del trattamento. La Regione Lazio cosa c'entra in tutto questo? Adesso andiamo a chiedergli anche questo, quindi lui si prende un attimo di tempo per elaborare e darmi una risposta precisa e ci dice: "La Regione Lazio è stata direttamente coinvolta nell'incidente di sicurezza informatica perché LazioCrea agiva come responsabile del trattamento per conto della Regione." Questo significa che Lazio Crea gestiva i sistemi informativi della Regione Lazio e trattava e assicurava il trattamento dei dati personali attraverso questi sistemi. La Regione Lazio, in quanto ente pubblico, è il titolare dei dati gestiti da Lazio Crea e questo rende la Regione responsabile a livello ultimativo della protezione dei dati dei cittadini. Cioè, vi spiego, Lazio Crea è responsabile esterno, aveva la custodia dei dati e li doveva gestire seguendo i della normativa, ma la titolarità dei dati, la proprietà principale, la custodia, la responsabilità principale era in capo alla Regione Lazio, la quale aveva assegnato quel ruolo, incaricato LazioCrea, no, di fare quella custodia, quell'attività. Quindi la responsabilità ultima, principale, ricade sulla Regione Lazio, titolare del trattamento. Poi ci sono altri motivi, L'impatto dell'attacco informatico che ha compromesso la funzionalità dei servizi offerti dal CED della Regione Lazio, la modalità di risposta all'incidente, quindi come si è comportato successivamente al data breach, indagini e conseguenze legali. Quindi qui ci dà una lettura sul perché la Regione Lazio Lazio è stata poi sanzionata e quindi ha preso una sanzione. E qual è il ruolo che l'ha, diciamo, vista protagonista? Ma chiediamogli alla fine che cosa possiamo ricavare come insegnamento da questa vicenda, da non ripetere nelle nostre organizzazioni in qualità di titolari del trattamento. Vediamo che cosa ci dice. Ecco, la vicenda offre diversi insegnamenti importanti per altre organizzazioni che gestiscono i dati sensibili, in particolare regolare nel contesto della conformità GDPR? Ecco alcuni punti chiave da considerare. Allora, adozione di misure di sicurezza adeguate, perché chiaramente quando si parla di protezione dei dati non si può più non parlare di misure di sicurezza adeguate al rischio. Formazione continua degli operatori, piano di risposta agli incidenti, quindi la capacità una volta subito un data breach di resistere all'attacco e contenerlo. Monitoraggio, notifica tempestiva delle violazioni, backup e ripristino, soprattutto se ho una sfiltrazione di dati, cioè se quei dati me li vanno a rubare, io poi devo essere in grado di recuperarli in qualche modo, perché magari ne ho fatto delle copie di sicurezza, cioè ho fatto dei backup. Due diligence dei fornitori, quindi quando si vanno a sottoscrivere i contratti con i fornitori e i responsabili esterni, devo specificare bene quali sono i compiti, i doveri, le responsabilità documentare ed essere compliant, cioè allineamento normativo, documentazione di tutti questi micro step per essere a posto in caso come questo di incidenti. Proviamo a fargli una domanda un po' didattica, cioè chiediamogli: se dovessi dirmi qual è il principio GDPR più violato da diversi attori, quale identificheresti? Quindi qui Sappiamo che il GDPR dà tutta una serie di principi a tutela dei dati personali. Ci sono i principi fondamentali che sono quelli riportati nell'articolo 5 del regolamento europeo, ma ce n'è uno più di tutti che è stato super violato ed è proprio questo. Infatti vedi, ci dà una risposta corretta: il principio di integrità e riservatezza. La risposta, ti invito a fare, a notare questo, è talmente precisa che qua ci indica addirittura l'articolo. Vatti a guardare l'articolo 5, paragrafo 1, e addirittura ce lo richiama: trattati in modo da garantire un'adeguata sicurezza dei dati personali, compresa la protezione contro il trattamento non autorizzato o illecito, o contro la perdita, la distruzione o il danno accidentale, mediante azioni di misure tecniche organizzative appropriate. Quindi l'articolo, il principio più violato in assoluto è il principio di integrità e riservatezza. Richiamato l'articolo 5, ci dà la definizione, ma per di più ci dà anche gli errori, le omissioni che hanno portato alla violazione di quell'articolo: mancanza di misure di sicurezza adeguate, gestione inadeguata dell'incidente, pianificazione e risposta agli incidenti— aggiungerei io— assente. Infatti dopo ci dice assenza di piani di risposta adeguati. Efficaci. Assenza di policy data breach. Questa risposta è incredibile perché, se ci pensate, è un caso di scuola. Pensate ad un esame, no? Quando vi preparate, se siete per esempio tenuti a studiare delle fonti, ecco, una risposta di questo tipo ad un orale è già, insomma, io la voterei abbastanza alta perché è una bella risposta, presuppone una comprensione del testo normativo, C'è l'indicazione dell'articolo, c'è la spiegazione del perché l'articolo si è ritenuto violato e quant'altro. Proviamo adesso a chiedergli, perché noi stiamo immaginando di comporre un documento finale che poi riassuma un po' tutte queste richieste. Se dovessi trovare 4 parole chiave, quali sarebbero? Per riassumere la vicenda, i principali argomenti. Le 4 parole potrebbero essere: sicurezza, beh certo, perché parliamo di un incidente alla sicurezza, parliamo di un attacco hacker e quindi di fatto sicurezza è una parola chiave. Notifica, perché il problema principale è stata la tardiva notifica da parte di Lazio Crea, ASL, eccetera, al garante dell'avvenuto. Conformità, perché fra le critiche che sono state fatte ai vari attori c'è proprio stato questo, mancanza di misure, mancanza di policy, mancanza di piani di risposta agli incidenti, eccetera. Risposta, cioè la capacità di rispondere efficacemente agli incidenti di sicurezza. Queste parole chiave catturano i concetti essenziali per comprendere le implicazioni dell'incidente e per migliorare le pratiche future. Quindi ha proprio condito la risposta in maniera perfetta. Concludiamo, quindi io ho preso i documenti, Gli ho caricati, gli ho fatto delle domande più o meno approfondite. Avrei anche potuto, non lo faccio qui in diretta ovviamente per questione di tempo, ma ti invito a fare una prova. Avrei potuto chiedergli di approfondire degli aspetti, cioè per esempio qui potrei chiedergli: perché sicurezza? Spiegamelo meglio, fammi un esempio. Ci sono tante tecniche, le abbiamo viste nel video sull'utilizzo di ChatGPT nell'analisi di testi documentali. C'è la "dici come", c'è "spiegami come se fossi un bambino di 10 anni". Tante tecniche che vanno a a semplificare ulteriormente e a rendere qualitativamente più utile, ecco, e anche più performante tutta questa attività e tutto l'output che mi restituisce proprio ChatGPT. Come ultima cosa, a questo punto immaginiamo di voler fare uno schema e quindi gli chiediamo: ho capito tutto, preparami una tabella in stile checklist con le cose da verificare nella mia nella mia organizzazione per non essere sanzionato come loro. Quindi, morale della favola: io leggo questi documenti, ho capito un po' la ciccia di fondo, che c'è stata una violazione, che la violazione è stata notificata tardi, che questi soggetti, queste istituzioni non avevano messo in atto misure tecniche e organizzative adeguate. Ma se io volessi portarmi a casa un pacchetto di conoscenze per poter poi nella mia organizzazione organizzazione non cascare su quella buccia di banana? Che cosa devo fare? E quindi gli chiedo di farmi una checklist. Guardate un po', ChatGPT mi fa questo lavoro incredibile. Ecco una tabella in stile checklist che puoi utilizzare per assicurarti che la tua organizzazione rispetti le norme del GDPR e prevenga sanzioni legate alla sicurezza dei dati e alla loro gestione. Questa checklist include le aree critiche da verificare, le azioni da intraprendere per garantire la conformità. Guardate un po', questa me la posso prendere, copiare e incollare in Word, stampare, e il mio punteggio di accountability come titolare del trattamento schizza alle stelle. Sicurezza del dato: implementa sicurezze tecniche come firewall, gli antivirus e la cifratura. Attenzione, queste richieste non sono date a caso, cioè qui ci sta dicendo firewall, antivirus, antivirus e cifratura, perché probabilmente sono proprio quelle che mancavano a Lazio Crea, Regione Lazio e ASL Roma 3. Quindi facciamo attenzione quando verifichiamo le misure di sicurezza implementate nei nostri sistemi di avere soprattutto queste 3 misure di minimizzazione, ok? Qui ce lo riporta, qui c'è un piccolo errore, vedete quello che dicevo prima, no? L'allucinazione. Chiediamogli poi in un secondo input di tradurre correttamente la tabella in italiano. Quindi assicurarsi, poi gestione dei dati, assicurarsi che tutti i dati trattati siano necessari per scopi specifici, mantenere documentazione chiara, accountability, formare il personale, notificare le violazioni di sicurezza tramite procedure scritte, testare il piano di incidenti. Predisporlo, quindi avere un piano di risposta, includere procedure specifiche, privacy by design e privacy by default, cioè sincerarsi di aver implementato tutte queste misure privacy pro GDPR prima di iniziare i trattamenti, quindi fin dalle fasi di sviluppo e implementazione dei sistemi. Fare una valutazione di impatto, cioè una DPA, su quei progetti che trattano dati sensibili come i dati sanitari. Qui ovviamente era centrale il discorso del dato sanitario perché parliamo di ASL, parliamo di questa tipologia di trattamenti. Monitoraggio e revisione, quindi monitora continuamente, vai a revisionare periodicamente subappaltatori e terzi, fornitori, quindi responsabili esterni. Conduci audit sulla valutazione della conformità dei tuoi partner e subappaltatori. Assicurati che tutti i contratti con le terze parti includano obblighi di conformità GDPR. Questa attività qui è pazzesca perché io nel giro di, vi dico esattamente quanto, 22 minuti, ho analizzato più di 70 pagine di documenti, capito il contesto della situazione, avuto un po' le parole chiave, i termini principi che mi interessano e quindi io nel giro veramente di poco sono riuscita a fare un'attività che ordinariamente mi avrebbe rubato almeno 3-4 ore di lavoro. Poi, come vi dicevo, che cosa posso farne io di tutto questo lavoro che ho svolto? Vado a prendermi le varie domandine e me le vado a mettere in un bel documento. Io l'ho chiamato Attacco Hacker ai Sistemi Informatici della Regione Lazio e ho fatto il mio riassunto, il mio schemino che da 80 pagine e oltre è venuto fuori un riassuntino da 4 pagine, direi che non è male, non è per niente male. Quindi inizio, esito, cioè la data di arrivo delle sanzioni, principio GDPR violato, parole chiave, la situazione, quello che è successo, quindi un po' di elementi di contesto, le domande che io sono andata a fare, quindi ruolo centrale di Lazio Crea e quant'altro, le ho riassunte tutte qui: cosa c'entra l'asilo materno alla vicenda, il principio più violato, eccetera eccetera eccetera. E poi alla fine la checklist che posso mettere in una tabellina ordinata, andarmi a mettere tutti i ghirigori, fiocchetti che mi interessano e stamparla e portarla all'interno delle mie organizzazioni come risultato finale da andare andare a verificare poi nel corso della mia giornata per quello che riguarda i trattamenti che vado a svolgere come titolare del trattamento. Quindi, come promesso, nel giro di poco con questo metodo riesci ad analizzare più documenti in poco tempo. Ovviamente il suggerimento è sempre quello di testare, parlare con l'intelligenza artificiale. Se fa errori, valutarla, perché qui c'è anche la possibilità, per esempio premendo su questo pollice che va verso il basso, no, guarda, la risposta è sbagliata, perché ChatGPT apprende da quello che noi andiamo a scrivere, quindi continuamente migliora e restituisce degli output più performanti, più precisi, all'altezza dell'input che soddisfa quindi le nostre richieste. Questo è un metodo molto interessante, ti invito ad utilizzarlo, e anzi Se lo vai a sperimentare, scrivimi poi nei commenti come ti sei trovato. Se ti interessa approfondire altre tecniche come questa per analisi documentale o come supporto per lo studio, l'aggiornamento, la lettura e via dicendo, metti like se ti è piaciuto il video, iscriviti al canale e ti ringrazio per avermi seguito. E noi ci vediamo in un prossimo video. Ciao!