Riservatezza e fiducia nel fornitore

La privacy non è tutta la questione

Togliere il vostro nome da un documento non elimina il valore dell’idea che contiene. Protezione dei dati personali e riservatezza aziendale si sovrappongono, ma non sono la stessa promessa.

Cosa rivela la controversia su Navier–Stokes sulla fiducia in un fornitore

Nel settembre 2026 alcuni ricercatori hanno pubblicato una soluzione assistita dall’IA a un annoso problema di fluidodinamica, le equazioni di Navier–Stokes. Poco dopo è nato un dibattito sulla possibilità che il lavoro riservato dei ricercatori avesse influenzato indirettamente i modelli di OpenAI, dopo che OpenAI aveva dichiarato in modo indipendente di aver risolto lo stesso problema con il proprio modello.

Interpellata sul risultato dei ricercatori relativo a Navier–Stokes, OpenAI ha inizialmente dichiarato di non poter escludere che dati de-identificati derivati dal loro utilizzo dei suoi prodotti avessero contribuito a migliorare i suoi modelli. Un successivo aggiornamento pubblicato sulla pagina di OpenAI affermava che i loro prompt dei due mesi precedenti non potevano aver influenzato il sistema, nemmeno attraverso l’addestramento.

L’aggiornamento è una dichiarazione sull’indagine condotta dall’azienda stessa. Nei resoconti pubblicati, tanto l’incertezza quanto la rassicurazione provenivano da OpenAI; al cliente non sono state fornite le prove sottostanti per una verifica indipendente. Questo non dimostra un uso improprio. Mette in luce il problema centrale: il fornitore detiene le prove necessarie a verificare il proprio resoconto.

E de-identificare non significa eliminare il valore. Togli il nome da un documento e può ancora contenere un metodo inedito, un modello di determinazione dei prezzi, una strategia. Ciò che un concorrente desidererebbe di più di solito non sono i dati personali protetti dal GDPR.

È il contratto a decidere cosa rientra nei «Dati del cliente»

I contratti distinguono tra «Dati del cliente» e altro materiale generato dal sistema. È lungo questa linea di demarcazione che il valore inizia a sfuggire. Embedding, stati intermedi, contenuti delle cache, log di valutazione e statistiche derivate non sono sempre classificati come Dati del cliente, e una definizione scritta quando un prodotto era nuovo raramente prevede un risultato dell’IA con una vita commerciale propria.

L’incentivo non è neutrale. I dati di addestramento sono una risorsa preziosa per un’azienda di IA, e i contenuti degli utenti possono esserne una fonte abbondante. Un fornitore che può trattare una rappresentazione del vostro input come dati non appartenenti al cliente ha trovato un modo per usare il vostro materiale senza riconoscervi i diritti che pensavate di avere. Questi contratti sono scritti dalla parte che ha il motivo più forte per ampliare la definizione.

Vale la pena chiedere direttamente quali di questi elementi siano coperti: prompt grezzi, risultati completi, embedding che codificano il significato di ciò che avete inviato, contenuti di una cache di contesto o KV che conserva il vostro materiale durante una richiesta, e statistiche aggregate derivate dal vostro utilizzo. Se la risposta è «solo l’input grezzo», la forma più riutilizzabile dei vostri dati potrebbe già trovarsi fuori dalla promessa.

Il fornitore può leggere ciò che scrivi quando decide di farlo

OpenAI ha dimostrato, con le proprie parole, di leggere il contenuto dei prompt e agire di conseguenza. Il suo rapporto sulle minacce del giugno 2026 descrive gruppi di account ChatGPT che ha identificato come operazioni di influenza occulte e sospeso, citando e riassumendo ciò che quegli utenti avevano chiesto al modello di generare. In altre parole: il fornitore ha esaminato i prompt di utenti specifici e ha agito sulla loro base. Il rapporto presenta queste azioni come risposte a operazioni di influenza occulte.

Questo esempio pubblicato mostra che le attività degli utenti vengono esaminate e che possono essere intraprese azioni contrarie ai loro interessi. In questo caso specifico, l’interferenza è stata resa pubblica. Gli utenti non hanno alcun modo indipendente di sapere se e quando i propri dati vengano esaminati, conservati, utilizzati o usati per intraprendere azioni, al di là dei controlli del fornitore.

Nulla di tutto questo deve essere sinistro per avere importanza. I vostri input passano attraverso le macchine, i log e le valutazioni di qualcun altro. Il Contratto di servizi espone le promesse sull’uso dei dati nella sezione 4.2; non vi offre visibilità diretta su come vengano attuate.

I servizi di instradamento aumentano le mani attraverso cui passano i vostri dati

Gli aggregatori che si interpongono tra voi e numerosi fornitori di modelli, come OpenRouter, ampliano la superficie vulnerabile. OpenRouter dichiara, nella propria documentazione, di non memorizzare i prompt per impostazione predefinita e offre un’opzione per evitare di instradare le richieste verso fornitori che potrebbero addestrare i modelli sui vostri dati. Questa opzione esiste perché alcuni dei fornitori dietro un router addestrano effettivamente i modelli su ciò che ricevono.

La questione della verificabilità rimane anche con impostazioni di conservazione zero: quali prove può fornire ciascuna parte del fatto che la politica concordata sia stata applicata alla vostra richiesta, compresi i dati derivati e la cancellazione? La documentazione descrive la promessa; non ne verifica, da sola, il rispetto.

Una singola richiesta può quindi attraversare più aziende, ciascuna con le proprie condizioni di conservazione e addestramento, e ci si aspetta che voi le conosciate tutte e vi fidiate di ognuna. Un gateway aggiunge comodità, ma aggiunge anche soggetti: più luoghi in cui esistono i vostri contenuti, più politiche di cui fidarsi, più disfunzioni che non potete osservare.

Le politiche aziendali non fermano la fuga di informazioni

Molte organizzazioni hanno adottato regole: non inserire materiale riservato in un servizio di IA. La regola è necessaria, ma da sola è debole. Un proxy o un gateway può essere configurato per intercettare i dati personali evidenti prima che escano, e le sanzioni del GDPR danno all’organizzazione un motivo per provarci. L’informativa sulla privacy delle comunicazioni di OpenAI è un esempio dell’ambito e dei limiti che un fornitore stabilisce per sé. Ma un filtro per i dati personali non è un filtro per i segreti.

I dati personali spesso seguono uno schema; un segreto commerciale è prezioso proprio perché è particolare: una formula, una posizione contrattuale, un progetto non ancora divulgato, un’offerta. Un filtro per i dati personali non sa distinguere un segreto da un testo innocuo; una politica scritta, da sola, non può impedirne la divulgazione. La perdita più importante è anche la più difficile da prevenire e la più difficile da quantificare. Una violazione dei dati personali comporta una sanzione; un concorrente che scopre silenziosamente la vostra strategia potrebbe essersi appropriato di qualcosa che non compare in alcun rapporto di violazione, e potrebbe non esserci un modo pratico per dimostrare che è accaduto o recuperarlo.

Portare la propria chiave risolve meno di quanto promette

Consideriamo un modulo di sicurezza hardware (HSM). Un HSM è un dispositivo resistente alle manomissioni che esegue cifratura e decifratura mantenendo la chiave protetta al suo interno. È una protezione forte per una chiave a riposo.

Il limite sta nella collocazione del dispositivo. L’HSM si trova nell’ambiente del fornitore e, per utilizzarlo, dati e chiavi attraversano i processi del fornitore. Una chiave simmetrica in transito verso un HSM può essere osservata da chi gestisce i sistemi: il fornitore controlla proprio i sistemi che spostano la chiave durante il trasferimento. Cifrare all’interno di un sistema che non gestisci non significa cifrare al riparo da chi lo gestisce.

Le promesse sul personale hanno la stessa struttura. Una politica di assunzione limitata all’UE dice qualcosa su chi viene assunto; non dice nulla su ciò che una società madre statunitense può fornire: una chiave, un’interfaccia di manutenzione, una modifica progettuale, senza che nulla di questo richieda un dipendente dell’UE. Sono mitigazioni reali. Riducono la superficie d’attacco. Non eliminano la fiducia che resta necessaria: la fiducia che un fornitore, nella pratica, scelga di non fare qualcosa che è in grado di fare.

La domanda è cosa potete davvero verificare

Nulla di questo significa che i fornitori siano ostili. Significa che la riservatezza si fonda su una combinazione di ciò che potete ispezionare, ciò che dovete accettare sulla fiducia e i rimedi disponibili se la promessa viene disattesa. Per ogni livello — un fornitore di modelli, un aggregatore, una funzione di gestione delle chiavi, una politica sul personale — chiedete quali prove potete esaminare, anziché contare un’altra politica come un’altra garanzia.

È questo il vuoto a cui risponde un’installazione dedicata. Con hardware dedicato a un solo cliente, siete voi a stabilire flussi di dati, registrazione dei log e modalità di accesso, e i vostri contenuti non attraversano i servizi condivisi di un operatore. Non elimina i rischi legati al software, alla sicurezza o alle persone. Sposta il perimetro che potete effettivamente verificare là dove si trovano davvero i vostri contenuti.

Fonti e approfondimenti

Parliamo delle vostre esigenze