AREA 09 - CASSAFORTE
I tuoi segreti aziendali restano dentro la tua azienda.
Modelli che girano sulle macchine dell’azienda, documenti che non lasciano la sede. Il test è semplice: si stacca il cavo di rete e il sistema continua a funzionare.
Il messaggio è già pronto, puoi modificarlo prima di inviare. Rispondiamo entro 24 ore lavorative.

77%
dei dipendenti incolla dati sensibili nei prompt (rilevazione citata da Smartweek)
15 mln €
massimo sanzionatorio dell’AI Act per gli obblighi diversi dalle pratiche vietate
2 ago 2026
da quella data si applica l’art. 50 ed è iniziato l’enforcement
0
API esterne: sui nostri impianti i modelli girano sulle macchine del cliente
Quando serve scrivere una mail, riassumere un contratto o capire una clausola, la persona apre ChatGPT. È più veloce che chiedere in giro, e nessuno gliel’ha vietato. Dentro il prompt finiscono nomi di clienti, condizioni economiche, dati di produzione, a volte documenti interi.
L’azienda resta responsabile di quei dati anche quando il dipendente ha usato un account personale e gratuito. È questo il punto che frega: l’uso non è ufficiale, ma la responsabilità è tua. E se domani arriva una richiesta di accesso o una contestazione, non sai nemmeno cosa è uscito.
COSA FACCIO
Cosa faccio, in tre punti
01
I modelli girano in azienda
Nessuna API esterna per i dati che non devono uscire: il modello è installato sulla macchina, i documenti restano dove sono e gli accessi si possono tracciare.
02
Il cloud, quando serve, è nostro
Se servono accesso remoto o servizi in abbonamento: infrastruttura nostra, gestita da noi. Non AWS, non Google: casa nostra.
03
Cosa resta da fare a te
Informativa alle persone coinvolte, tempi di conservazione, e l’accordo sindacale se si trattano dati dei dipendenti. Noi diamo i fatti tecnici di cui il tuo consulente ha bisogno; le decisioni sono dell’azienda.
§ 01
Il rischio non è il modello: è la giurisdizione
Anche scegliendo un fornitore che dichiara i dati in Europa, se quel fornitore risponde al diritto statunitense resta esposto al Cloud Act: gli si può chiedere di consegnare i dati che tratta, anche quando i server sono fisici a Milano. Per questo le organizzazioni serie distinguono per livello di sensibilità: per i dati personali, sanitari o che contengono segreti industriali, l’unica strada che regge è l’elaborazione in locale.

§ 02
Cosa vuol dire «in locale», in pratica
Una macchina in azienda, i modelli scaricati una volta e tenuti lì, un’interfaccia che risponde dalla rete interna. Nessuna chiamata verso l’esterno mentre si lavora. La prova non è una dichiarazione: si stacca il collegamento a internet e si vede se il sistema continua a rispondere. Se continua, i dati non uscivano davvero.

§ 03
Non tutti i dati sono uguali, e la regola deve dirlo
La domanda non è «l’AI sì o no», è «quale dato, su quale macchina». Una bozza di comunicazione pubblica può girare ovunque; un listino con i margini no; il disegno di un pezzo che nessun concorrente ha no; una cartella clinica mai. Se questa distinzione non è scritta, ogni persona decide da sé - e in un’azienda di dieci persone significa dieci regole diverse.

IL CONFRONTO
Ogni tipo di dato, e dove può stare
Tre ambienti e sei tipi di dato. Non è una tabella di divieti morali: è la domanda da farsi prima di incollare qualcosa in un prompt.
Bozze di comunicazione e materiali pubblici
Chatbot pubblico
Sì, con le regole del caso
Servizio aziendale su cloud
Sì
Modello locale in azienda
Sì
Dati dei clienti: nomi, contatti, ordini
Chatbot pubblico
No
Servizio aziendale su cloud
Solo con contratto e garanzie - e dipende dalla giurisdizione
Modello locale in azienda
Sì
Listini, margini, condizioni economiche
Chatbot pubblico
No
Servizio aziendale su cloud
Sconsigliato
Modello locale in azienda
Sì
Segreti tecnici: disegni, formule, procedure
Chatbot pubblico
No
Servizio aziendale su cloud
No
Modello locale in azienda
Sì
Dati sanitari o particolari (art. 9 GDPR)
Chatbot pubblico
No
Servizio aziendale su cloud
Solo con base giuridica e valutazione documentata
Modello locale in azienda
Sì, con accessi tracciati
Registrazioni di chiamate e trascrizioni
Chatbot pubblico
No
Servizio aziendale su cloud
No
Modello locale in azienda
Sì
Se non sai dove finisce un testo, la risposta è che non lo sai - e allora non si manda. È l’unica regola che serve ricordare a chi lavora.
PASSO PER PASSO
Come si porta l’AI in casa
01
La foto di quello che usate già
Quali strumenti girano, chi li usa, che dati ci mettono dentro - compresi quelli che nessuno ha autorizzato. È la parte che quasi nessuno ha mai fatto.
02
Le macchine e i modelli
Installati in azienda. Se un giorno cambiate modello, i documenti e il ferro sono già vostri: non si ricomincia da zero.
03
Le regole in una pagina, non un manuale
Cosa si può mettere in un prompt e cosa no, con i casi reali dell’azienda. Una policy che sta appesa e si legge.
04
Chi lo usa, imparato sul sistema vero
L’art. 4 chiede di poter dimostrare che le persone sono state messe in condizione di usare l’AI: si fa sull’impianto reale, non con le slide.
LA PROVA
Il caso: nessun byte fuori dall’azienda
Un servizio che trascrive le chiamate del centralino con il modello che gira su una macchina dell’azienda: 2,3% di error rate in italiano, due interlocutori separati con timestamp, e zero API esterne. L’audio non è mai uscito dalla rete aziendale.
Leggi il caso completo
DOMANDE DIRETTE
Le cose che ci vengono chieste per prime.
Siamo una PMI: l’AI Act ci riguarda davvero?
Sì, ma meno di quanto spaventi il titolo. La gran parte dei sistemi usati in ufficio ricade nel rischio minimo o limitato, dove gli obblighi sono di trasparenza: informare chi interagisce con un sistema di AI e mettere in condizione chi lo usa di farlo consapevolmente. Due cose concrete, non un reparto di compliance.
Se uso un fornitore europeo sono a posto?
Sei messo meglio, ma non automaticamente a posto: conta la giurisdizione a cui risponde il fornitore e la sensibilità dei dati. Per dati personali o informazioni commerciali strategiche la strada che regge è l’elaborazione in locale.
Un modello locale è più scarso di ChatGPT?
Su alcune cose sì: su una macchina sola i modelli sono meno brillanti nelle domande aperte. Sono però più che sufficienti per leggere i tuoi documenti e rispondere citando la fonte, che è il lavoro per cui li usiamo. Quando serve il modello più forte, si può usare quello sapendo cosa gli si manda: la differenza è deciderlo, invece di farlo per abitudine.
Chi vede i miei dati? Voi?
Noi installiamo e manteniamo l’impianto, e possiamo farlo senza avere credenziali sui tuoi documenti: utenti separati, accessi tracciati. È una cosa da decidere all’inizio, non dopo. Se l’accesso tecnico serve per la manutenzione, si concorda come e quando.
Da dove si comincia?
Da un processo solo. Prendiamo un caso concreto - le chiamate, un manuale, le procedure di un reparto - lo mettiamo in funzione in azienda e misuriamo. Roadmap e presentazioni vengono dopo, se servono.
Fate anche la parte legale?
No. Noi mettiamo in piedi la parte tecnica: dove girano i modelli, quali dati trattano, come si tracciano gli accessi. Per informative, valutazioni d’impatto, conservazione e accordi sindacali serve il tuo consulente o un legale - e noi gli diamo i fatti tecnici che gli servono.
Avvertenza
Questa pagina riassume obblighi e scadenze da fonti pubbliche elencate qui sotto e non è un parere legale. Prima di decidere su informative, conservazione dei dati o strumenti di controllo, verifica con il tuo consulente.
Fonti
- AI Act, art. 4 - alfabetizzazione sull’intelligenza artificiale (testo dell’articolo)
- Commissione europea - dal 2 agosto 2026 al via l’enforcement dell’AI Act (comunicato)
- Il Sole 24 Ore - AI Act: gli obblighi già in vigore per imprese e professionisti
- Agenda Digitale - Sovereign AI: il Cloud Act e la giurisdizione sui dati
- Smartweek - il 77% dei dipendenti incolla dati sensibili nei prompt
Parliamone di persona.
Analisi gratuita in Brianza e Lombardia. Rispondiamo entro 24 ore lavorative.
Il messaggio è già pronto, puoi modificarlo prima di inviare. Rispondiamo entro 24 ore lavorative.