Per chi guida i sistemi informativi e la sicurezza

Quando la direzione approva un progetto di intelligenza artificiale, le domande difficili arrivano a voi: dove finiscono i dati, chi entra nei programmi, cosa succede se il sistema fa qualcosa che non doveva. Questa pagina risponde in parole semplici. Il dettaglio tecnico è nella sezione in fondo e nella pagina per chi verifica i sistemi.

1. Dove stanno i dati, e chi può leggerli?
2. Come vi collegate ai nostri programmi, e con quali permessi?
3. Come si ferma il sistema, e come si esce dal contratto?

Per i dati più delicati, come quelli sanitari, bancari o dei dipendenti, si può fare di più: togliere nomi e codici prima che il testo arrivi al motore, tenere tutto sui vostri server, separare gli archivi per reparto. Lo decidiamo insieme durante l'analisi, caso per caso, e lo scriviamo nel documento che firmate.

Lo stesso metodo vale per tutti i processi ripetitivi dei sistemi informativi, che spesso restano indietro perché nessuno ha il tempo di farli.

• Richieste degli utenti: password, accessi, stampanti, programmi da installare, con risposta immediata sulle domande che si ripetono.
• Attivazione e revoca degli accessi quando una persona entra, cambia ruolo o lascia l'azienda.
• Inventario di computer, licenze e contratti, con le scadenze che avvisano per tempo.
• Riepilogo quotidiano degli avvisi di sicurezza, ordinati per urgenza, con quelli ripetuti già raggruppati.
• Documentazione di procedure e configurazioni che si aggiorna a ogni cambiamento.
• Elenco dei sistemi di intelligenza artificiale in uso in azienda, utile per dimostrare cosa chiede la legge europea.

Il sistema prepara e controlla; le decisioni su accessi, sicurezza e fornitori restano vostre. Il catalogo completo è in cosa possiamo fare. Come scegliamo i processi da rifare, partendo da interviste e dati dei gestionali, è in analisi dei processi; come il sistema controlla ogni passaggio e si ferma quando non è sicuro è in precisione e controlli.

Nella prima settimana ricevete lo schema di come funziona il sistema, l'elenco dei fornitori, il questionario di sicurezza compilato e la bozza della nomina a responsabile del trattamento. Entro la terza settimana concordiamo accessi, permessi e prove. Dalla quarta settimana il pilota lavora in un ambiente separato, poi sul lavoro vero con la sola lettura; ogni ampliamento dei permessi passa da voi. Alla dodicesima settimana il rapporto include incidenti, richieste bloccate e prove di attacco eseguite.

La legge sulla privacy (GDPR) chiede un contratto che nomini il fornitore responsabile del trattamento, misure di sicurezza adeguate e la notifica delle violazioni. La direttiva europea sulla sicurezza informatica (NIS2), recepita in Italia nel 2024, riguarda molte aziende medie e grandi: se ci rientrate, anche i fornitori come noi entrano nella vostra valutazione. Nel settore finanziario vale il regolamento sulla resilienza digitale (DORA), applicabile dal 17 gennaio 2025, con il registro dei fornitori tecnologici. La legge europea sull'intelligenza artificiale chiede di formare chi usa questi sistemi e, dal 2 agosto 2026, di dire alle persone quando parlano con un assistente AI; un elenco dei sistemi in uso aiuta a dimostrarlo.

Se il sistema fa qualcosa che non doveva, o se sospettiamo un accesso non autorizzato, lo spegniamo o lo mettiamo in sola lettura, vi avvisiamo nei tempi scritti nel contratto e vi consegniamo il registro delle azioni. Insieme ricostruiamo cosa è successo, su quali dati, con quale permesso. Se ci sono dati personali coinvolti, vi diamo quello che serve per la notifica all'autorità per la privacy, che la legge chiede entro 72 ore. Poi correggiamo la causa, e la correzione entra nel rapporto.

Non vi chiediamo di aprire porte senza sapere perché. Ogni collegamento nasce da una richiesta scritta: quale dato, per quale passaggio, con quale permesso, per quanto tempo. La approvate voi. Non installiamo programmi sui computer delle persone senza il vostro consenso, e non usiamo strumenti diversi da quelli elencati nel contratto.

Il vostro reparto riceve lo stesso accesso al registro che abbiamo noi, e può controllare in ogni momento cosa fa il sistema. Se avete un vostro strumento di controllo della sicurezza, gli mandiamo gli eventi. Una riunione breve ogni due settimane durante il pilota tiene tutti allineati.

Chiedete di spegnere il sistema davanti a voi e di vedere cosa succede ai processi in corso. Chiedete di togliere un permesso e di verificare che il sistema smetta davvero di leggere quel dato. Chiedete di provare a ingannare l'assistente con istruzioni nascoste in un documento o in un messaggio, e di vedere come reagisce. Un fornitore serio le fa volentieri, e vi lascia il rapporto.

• Per chi verifica i sistemi
• Sicurezza
• Server in Europa o sui vostri server
• Collegare i programmi
• Fornitori tecnologici e DORA in banca, una storia
• Guida: NIS2 per chi usa l'AI

La scheda di questa pagina, il vostro questionario di sicurezza per i fornitori e l'elenco dei programmi da cui il primo caso dovrà leggere. Il questionario lo compiliamo noi prima dell'incontro, se ce lo mandate per tempo.