AREA 09 - CASSAFORTE

I tuoi segreti aziendali restano dentro la tua azienda.

Modelli che girano sulle macchine dell’azienda, documenti che non lasciano la sede. Il test è semplice: si stacca il cavo di rete e il sistema continua a funzionare.

Parliamo dei tuoi dati
Scrivici su WhatsApp

Il messaggio è già pronto, puoi modificarlo prima di inviare. Rispondiamo entro 24 ore lavorative.

Tavola tecnica: Sicurezza Dati & AI Privata
Tav. 09 - Sicurezza Dati & AI Privata

77%

dei dipendenti incolla dati sensibili nei prompt (rilevazione citata da Smartweek)

15 mln €

massimo sanzionatorio dell’AI Act per gli obblighi diversi dalle pratiche vietate

2 ago 2026

da quella data si applica l’art. 50 ed è iniziato l’enforcement

0

API esterne: sui nostri impianti i modelli girano sulle macchine del cliente

Quando serve scrivere una mail, riassumere un contratto o capire una clausola, la persona apre ChatGPT. È più veloce che chiedere in giro, e nessuno gliel’ha vietato. Dentro il prompt finiscono nomi di clienti, condizioni economiche, dati di produzione, a volte documenti interi.

L’azienda resta responsabile di quei dati anche quando il dipendente ha usato un account personale e gratuito. È questo il punto che frega: l’uso non è ufficiale, ma la responsabilità è tua. E se domani arriva una richiesta di accesso o una contestazione, non sai nemmeno cosa è uscito.

COSA FACCIO

Cosa faccio, in tre punti

01

I modelli girano in azienda

Nessuna API esterna per i dati che non devono uscire: il modello è installato sulla macchina, i documenti restano dove sono e gli accessi si possono tracciare.

02

Il cloud, quando serve, è nostro

Se servono accesso remoto o servizi in abbonamento: infrastruttura nostra, gestita da noi. Non AWS, non Google: casa nostra.

03

Cosa resta da fare a te

Informativa alle persone coinvolte, tempi di conservazione, e l’accordo sindacale se si trattano dati dei dipendenti. Noi diamo i fatti tecnici di cui il tuo consulente ha bisogno; le decisioni sono dell’azienda.

§ 01

Il rischio non è il modello: è la giurisdizione

Anche scegliendo un fornitore che dichiara i dati in Europa, se quel fornitore risponde al diritto statunitense resta esposto al Cloud Act: gli si può chiedere di consegnare i dati che tratta, anche quando i server sono fisici a Milano. Per questo le organizzazioni serie distinguono per livello di sensibilità: per i dati personali, sanitari o che contengono segreti industriali, l’unica strada che regge è l’elaborazione in locale.

Il rischio non è il modello: è la giurisdizione
Modelli e documenti sulla stessa macchina, in azienda

§ 02

Cosa vuol dire «in locale», in pratica

Una macchina in azienda, i modelli scaricati una volta e tenuti lì, un’interfaccia che risponde dalla rete interna. Nessuna chiamata verso l’esterno mentre si lavora. La prova non è una dichiarazione: si stacca il collegamento a internet e si vede se il sistema continua a rispondere. Se continua, i dati non uscivano davvero.

Cosa vuol dire «in locale», in pratica
Fig. - Cosa vuol dire «in locale», in pratica

§ 03

Non tutti i dati sono uguali, e la regola deve dirlo

La domanda non è «l’AI sì o no», è «quale dato, su quale macchina». Una bozza di comunicazione pubblica può girare ovunque; un listino con i margini no; il disegno di un pezzo che nessun concorrente ha no; una cartella clinica mai. Se questa distinzione non è scritta, ogni persona decide da sé - e in un’azienda di dieci persone significa dieci regole diverse.

Non tutti i dati sono uguali, e la regola deve dirlo
Fig. - Non tutti i dati sono uguali, e la regola deve dirlo

IL CONFRONTO

Ogni tipo di dato, e dove può stare

Tre ambienti e sei tipi di dato. Non è una tabella di divieti morali: è la domanda da farsi prima di incollare qualcosa in un prompt.

Bozze di comunicazione e materiali pubblici

Chatbot pubblico

Sì, con le regole del caso

Servizio aziendale su cloud

Sì

Modello locale in azienda

Sì

Dati dei clienti: nomi, contatti, ordini

Chatbot pubblico

No

Servizio aziendale su cloud

Solo con contratto e garanzie - e dipende dalla giurisdizione

Modello locale in azienda

Sì

Listini, margini, condizioni economiche

Chatbot pubblico

No

Servizio aziendale su cloud

Sconsigliato

Modello locale in azienda

Sì

Segreti tecnici: disegni, formule, procedure

Chatbot pubblico

No

Servizio aziendale su cloud

No

Modello locale in azienda

Sì

Dati sanitari o particolari (art. 9 GDPR)

Chatbot pubblico

No

Servizio aziendale su cloud

Solo con base giuridica e valutazione documentata

Modello locale in azienda

Sì, con accessi tracciati

Registrazioni di chiamate e trascrizioni

Chatbot pubblico

No

Servizio aziendale su cloud

No

Modello locale in azienda

Sì

Se non sai dove finisce un testo, la risposta è che non lo sai - e allora non si manda. È l’unica regola che serve ricordare a chi lavora.

PASSO PER PASSO

Come si porta l’AI in casa

01

La foto di quello che usate già

Quali strumenti girano, chi li usa, che dati ci mettono dentro - compresi quelli che nessuno ha autorizzato. È la parte che quasi nessuno ha mai fatto.

02

Le macchine e i modelli

Installati in azienda. Se un giorno cambiate modello, i documenti e il ferro sono già vostri: non si ricomincia da zero.

03

Le regole in una pagina, non un manuale

Cosa si può mettere in un prompt e cosa no, con i casi reali dell’azienda. Una policy che sta appesa e si legge.

04

Chi lo usa, imparato sul sistema vero

L’art. 4 chiede di poter dimostrare che le persone sono state messe in condizione di usare l’AI: si fa sull’impianto reale, non con le slide.

LA PROVA

Il caso: nessun byte fuori dall’azienda

Un servizio che trascrive le chiamate del centralino con il modello che gira su una macchina dell’azienda: 2,3% di error rate in italiano, due interlocutori separati con timestamp, e zero API esterne. L’audio non è mai uscito dalla rete aziendale.

Leggi il caso completo
L’archivio delle chiamate nell’interfaccia del servizio
L’archivio delle chiamate: tutto in azienda, niente audio consegnato a terzi

DOMANDE DIRETTE

Le cose che ci vengono chieste per prime.

Siamo una PMI: l’AI Act ci riguarda davvero?

Sì, ma meno di quanto spaventi il titolo. La gran parte dei sistemi usati in ufficio ricade nel rischio minimo o limitato, dove gli obblighi sono di trasparenza: informare chi interagisce con un sistema di AI e mettere in condizione chi lo usa di farlo consapevolmente. Due cose concrete, non un reparto di compliance.

Se uso un fornitore europeo sono a posto?

Sei messo meglio, ma non automaticamente a posto: conta la giurisdizione a cui risponde il fornitore e la sensibilità dei dati. Per dati personali o informazioni commerciali strategiche la strada che regge è l’elaborazione in locale.

Un modello locale è più scarso di ChatGPT?

Su alcune cose sì: su una macchina sola i modelli sono meno brillanti nelle domande aperte. Sono però più che sufficienti per leggere i tuoi documenti e rispondere citando la fonte, che è il lavoro per cui li usiamo. Quando serve il modello più forte, si può usare quello sapendo cosa gli si manda: la differenza è deciderlo, invece di farlo per abitudine.

Chi vede i miei dati? Voi?

Noi installiamo e manteniamo l’impianto, e possiamo farlo senza avere credenziali sui tuoi documenti: utenti separati, accessi tracciati. È una cosa da decidere all’inizio, non dopo. Se l’accesso tecnico serve per la manutenzione, si concorda come e quando.

Da dove si comincia?

Da un processo solo. Prendiamo un caso concreto - le chiamate, un manuale, le procedure di un reparto - lo mettiamo in funzione in azienda e misuriamo. Roadmap e presentazioni vengono dopo, se servono.

Fate anche la parte legale?

No. Noi mettiamo in piedi la parte tecnica: dove girano i modelli, quali dati trattano, come si tracciano gli accessi. Per informative, valutazioni d’impatto, conservazione e accordi sindacali serve il tuo consulente o un legale - e noi gli diamo i fatti tecnici che gli servono.

Avvertenza

Questa pagina riassume obblighi e scadenze da fonti pubbliche elencate qui sotto e non è un parere legale. Prima di decidere su informative, conservazione dei dati o strumenti di controllo, verifica con il tuo consulente.

Parliamone di persona.

Analisi gratuita in Brianza e Lombardia. Rispondiamo entro 24 ore lavorative.

Parliamo dei tuoi dati
Scrivici su WhatsApp

Il messaggio è già pronto, puoi modificarlo prima di inviare. Rispondiamo entro 24 ore lavorative.