Sempre più aziende pongono limiti all’IA nel cloud
Secondo il Data Privacy Benchmark 2024 di Cisco, basato su oltre 2.600 professionisti della sicurezza e della privacy in 12 paesi, il 27% delle organizzazioni aveva vietato l’IA generativa, almeno temporaneamente, per i rischi per la privacy e la sicurezza. Il 63% limitava i dati che si possono inserire e il 61% gli strumenti che i dipendenti possono usare.
Non è che diffidino dell’IA: non possono controllare dove finiscono i dati che le forniscono.
Anche con le regole, i dati escono
Nello stesso studio di Cisco, quasi la metà degli intervistati ha ammesso di aver inserito informazioni aziendali non pubbliche in strumenti di IA generativa. E un’analisi di Harmonic Security sui prompt e sui file inviati dai dipendenti a strumenti di IA nel 2025 ha trovato informazioni sensibili in più del 4% dei prompt e in circa il 22% dei file: codice, credenziali, dati di clienti e dipendenti o informazioni finanziarie.
Cosa richiede la ISO 27001
La ISO/IEC 27001 non vieta ChatGPT, Gemini o Copilot. Richiede che ogni strumento che tratta informazioni aziendali sia identificato, valutato e controllato all’interno del sistema di gestione. In pratica riguarda soprattutto questi controlli della versione 2022:
- 5.10 Uso accettabile: quali strumenti si possono usare e con quali informazioni.
- 5.12 Classificazione: quale livello di riservatezza può trattare ogni strumento.
- Da 5.19 a 5.23 Fornitori e servizi cloud: ogni IA esterna è un fornitore da valutare, contrattualizzare e monitorare.
- 8.12 Prevenzione della fuga di dati: misure perché le informazioni riservate non escano.
Il risultato abituale è che l’IA nel cloud è consentita con informazioni pubbliche o interne e limitata, o vietata, con informazioni riservate. Per gestire l’IA stessa esiste anche uno standard dedicato, la ISO/IEC 42001, già certificata in Spagna da enti come AENOR, SGS o Bureau Veritas.
Il settore pubblico e i suoi fornitori: l’ENS
Gli enti pubblici spagnoli e le aziende che li servono seguono lo Schema Nazionale di Sicurezza (ENS, Regio Decreto 311/2022). Il Centro Crittologico Nazionale ha pubblicato guide specifiche per configurare i servizi di IA nel cloud secondo i requisiti della sua categoria ALTA. In altre parole: lì l’IA nel cloud si può usare, ma solo con configurazione e controlli specifici.
L’esempio dell’autorità spagnola per la protezione dei dati
L’autorità spagnola per la protezione dei dati (AEPD) ha pubblicato a novembre 2025 una propria policy sull’uso dell’IA generativa. Distingue tra sistemi esterni, come ChatGPT o Microsoft 365 Copilot, e quelli distribuiti sulla propria infrastruttura con modelli a pesi aperti come Llama, Qwen, Gemma o Mistral.
Tra i rischi dei sistemi esterni elenca la divulgazione di informazioni riservate a terzi, la mancanza di controllo sui flussi di dati e le modifiche unilaterali dei termini d’uso. Per le piattaforme che non controlla prevede un divieto espresso di inserire informazioni personali, riservate o non pubblicate. I sistemi sulla propria infrastruttura, invece, si possono verificare e permettono di controllare dove viaggiano le informazioni.
La soluzione: l’IA dentro il tuo perimetro
L’IA privata è esattamente quel secondo modello: il server è nella tua azienda, i modelli sono aperti e i documenti non escono mai dalla tua rete. Per il tuo sistema di gestione è un asset interno in più, non un fornitore di IA nel cloud da valutare, e non ci sono trasferimenti internazionali di dati.
- Documenti e domande vengono elaborati sul tuo server, che può funzionare senza internet.
- Ogni persona ha il proprio account e vede solo le raccolte di documenti che le assegni.
- Gli accessi vengono registrati e ogni accesso remoto passa da un canale cifrato che abiliti tu.
- Ti consegniamo una descrizione dell’architettura e dei flussi di dati da includere nel tuo sistema di gestione.
| IA nel cloud | IA privata | |
|---|---|---|
| Dove vengono trattati i dati | Sui server del fornitore | Sul tuo server |
| Fornitore di IA da valutare (da 5.19 a 5.23) | Sì | No |
| Trasferimenti internazionali | Possibili, a seconda del fornitore | No |
| Registri degli accessi | A seconda del piano | Sul tuo server |
| Modifiche dei termini | Le decide il fornitore | Le decidi tu |
L’IA privata non sostituisce il tuo sistema di gestione: vi viene inclusa come qualsiasi altro server, con il suo inventario, il controllo degli accessi e i backup. Quello che risolve è il problema di fondo: i dati riservati smettono di uscire dall’azienda. L’IA privata di ACD&CO si installa e si configura per 770 €, senza canoni mensili: paghi l’hardware (in Spagna anche a noleggio) e l’installazione una sola volta.
Fonti: Cisco Data Privacy Benchmark 2024 · Harmonic Security (SC Media) · Policy sull’IA generativa dell’AEPD (27-11-2025) · CCN-CERT, guida CCN-STIC 884D.
Hardware e guide correlati
Domande frequenti
La ISO 27001 vieta ChatGPT?
No. Richiede che ogni strumento che tratta informazioni aziendali sia identificato, valutato e controllato. In pratica, molte aziende certificate lo consentono solo con informazioni non riservate.
L’IA privata ci fa ottenere la certificazione?
No: la certificazione riguarda il tuo sistema di gestione. L’IA privata la semplifica, perché i dati riservati non escono mai dalla tua rete e non c’è un fornitore di IA esterno da valutare.
E ChatGPT Enterprise o Microsoft 365 Copilot?
Offrono contratti e impegni sulla privacy e possono andare bene per molte informazioni. Restano però servizi esterni da valutare come fornitori; per le informazioni più sensibili, molte aziende preferiscono che non escano mai.
La tua azienda lavora con ISO 27001 o ENS?
Dicci quali norme applichi e con quali documenti lavori. Ti proporremo un’IA privata adatta.