Susanna Riva Gli strumenti di AI generativa sono ormai parte del lavoro quotidiano: scrivono bozze, riassunti, analisi e persino codice. Il rischio, però, è trasformare la produttività in un problema di privacyconformità e sicurezza se non si fissano regole chiare. Questo tutorial indica cosa non deve mai finire nei prompt, come gestire dati sensibili e log e offre un modello di policy minima con una checklist operativa per team e freelance.
Il valore sta nel rendere l’AI utile, verificabile e conforme, evitando fughe di informazioni e dipendenze opache dai fornitori. Con poche pratiche di base, si riducono i rischi e si ottiene un uso coerente tra reparti e collaboratori esterni, senza bloccare l’innovazione.
Cosa non inserire nei prompt: esempi concreti
Il principio guida è semplice: non condividere nulla che non verresti a pubblicare.
Evitare sempre PII (personally identifiable information), elenchi di clienti, dati sanitari numeri di carte, credenziali e segreti aziendali come roadmap, prezzi non pubblici, accordi o codice proprietario. Mai incollare file interi con contratti o documenti HR usare estratti anonimizzati. Non inviare dataset reali: generare dati sintetici o mascherati. Se serve contesto, fornire solo informazioni minimali e già pubbliche, con etichette chiare su ciò che è non confidenziale.
Evitare anche prompt che configurano decisioni automatiche con impatto su persone (assunzioni, valutazioni, sanzioni) senza supervisione umana. Non delegare all’AI scelte legali, fiscali o di compliance senza revisione. Niente materiale protetto da copyright se non si ha licenza; per il codice usare snippet di test, non parti critiche di produzione. Infine, non chiedere all’AI di aggirare policy di sicurezza, limitazioni di prodotto o protezioni del fornitore.
Gestione di dati sensibili, log e retention
Ogni input può finire in log di sistema. Trattare i prompt come dati aziendali: stabilire una retention massima, preferibilmente breve (es. 30–90 giorni), e procedure di cancellazione. Disattivare, dove possibile, l’uso dei dati per training del fornitore. Limitare l’accesso ai log con ruoli e permessi; registrare solo metadati necessari (chi, quando, modello usato), non il contenuto completo. Anonimizzare automaticamente i campi sensibili con mascheramento e hashing; usare tokenizzazione per ID.
Separare flussi: prompt operativi su sistemi aziendali, esperimenti su ambienti di sandbox. Evitare salvataggi permanenti in chat personali e portare la produzione su un gateway aziendale con controlli centralizzati. Verificare i Data Processing Agreement del fornitore, regione di hosting sub-processors e meccanismi di incident response. Log di output: non archiviare risultati che includono dati sensibili se necessario, applicare redazione automatica.
Modello di policy minima per team e freelance
Questa policy minima stabilisce regole pratiche, da adattare al contesto. Ambito: strumenti di AI generativa usati per content, analisi, coding, supporto. Principi: human-in-the-loop minimizzazione dei dati, tracciabilità, sicurezza per impostazione predefinita. Autorizzazioni: usare solo modelli e plugin approvati; vietato caricare PII, segreti, documenti confidenziali; consentiti dati pubblici e interni non sensibili. Logging: registrare attività in modo aggregato con retention limitata e opt-out dal training del fornitore.
Qualità: ogni output è bozza richiede revisione umana, citazioni e fonti verificate; vietate affermazioni non verificabili su persone. Sicurezza: accesso tramite SSO/MFA ruoli e limiti di spesa; sandbox obbligatoria per test. Proprietà intellettuale: rispettare licenze evitare materiali protetti se non autorizzati; per codice, applicare scansioni di sicurezza e analisi delle dipendenze. Incidenti: canale dedicato per segnalazioni, triage entro 24h, revoca permessi se necessario. Freelance: firmare NDA usare account forniti, scegliere solo strumenti approvati, consegnare prompt e contesto in allegato per audit.
Checklist di sicurezza operativa
Una checklist aiuta a mantenere coerenza tra reparti e collaboratori esterni. Applicarla a ogni progetto, aggiornandola periodicamente. I passaggi seguenti coprono privacy conformità e qualità.
- Dati i prompt contengono solo informazioni pubbliche o interne non sensibili? PII, segreti e codice proprietario sono esclusi o mascherati?
- Strumenti il modello, i plugin e l’hosting sono approvati? Il training del fornitore sui nostri dati è disattivato?
- Accesso SSO/MFA attivi, ruoli corretti, limiti di spesa impostati?
- Logging metadati minimi registrati, retention definita, accessi ai log limitati?
- Qualità output revisionato da un umano, fonti verificate, controllo fatti e bias?
- IP materiali con licenza, scansioni del codice, nessun copyleft involontario su asset critici?
- Incidenti canale attivo, procedure di revoca, playbook di escalation noto?
- Freelance NDA firmato, account dedicati, consegna dei prompt per audit?
Implementazione: ruoli, strumenti e controllo
Assegnare responsabilità è essenziale. Un AI lead coordina policy e adozione; IT/Security gestisce accessi, logging e fornitori; i responsabili di funzione definiscono casi d’uso e qualità; Legal/Privacy verifica contratti e rischi. Impostare un catalogo di use case approvati, con esempi di prompt sicuri e template. Usare un gateway centralizzato per modelli e plugin con filtri di PII e mascheramento automatico; integrare monitoring e controllo costi.
Formazione continua: micro-corsi su prompt sicuri, riconoscimento di dati sensibili e revisione degli output. Audit trimestrali su log, incidenti e conformità alla policy. Aggiornare la checklist quando cambiano modelli o fornitori. Obiettivo: rendere l’AI uno strumento affidabile, tracciabile e conforme, capace di accelerare il lavoro senza sacrificare la sicurezza.