Ad aprile 2023, tre ingegneri della divisione semiconduttori di Samsung hanno fatto qualcosa di ordinario, che si è rivelato costoso. Nel giro di poche settimane, uno ha incollato il codice sorgente di un sistema di misurazione della struttura in ChatGPT, un altro ha caricato codice usato per rilevare apparecchiature difettose, e un terzo ha dato dentro appunti di riunioni interne e chiesto di fargliene un riassunto. Samsung lo ha scoperto, ha messo un limite ai prompt di 1.024 byte come misura d’emergenza, poi ha vietato lo strumento del tutto.
Era tre anni fa, e il problema sottostante non se n’è andato. Si è solo spostato. Le policy di data dei vendor sono molto più mature nel 2026 di allora, ma la domanda più dura che gli executive affrontano adesso non è “il vendor promette di non abusare dei nostri dati”. È “dove vanno effettivamente i nostri dati, chi può raggiungerli, e che cosa succede loro una volta che perdiamo il controllo diretto”. Quella domanda plasma il modo in cui un engagement di sviluppo AI viene delineato dalla prima conversazione, ben prima che chiunque scriva una riga di codice.
Questo articolo guarda specificamente a quello che succede ai dati aziendali sensibili e alla proprietà intellettuale una volta che raggiungono un sistema AI, API di terze parti oppure self-hosted, e cosa effettivamente li protegge. I framework di conformità e il vendor lock-in sono preoccupazioni reali anche loro, ma sono domande separate da quella qui: dove vanno i dati, e chi altro può vederli.
Cosa succede veramente a un segreto commerciale non appena colpisce uno strumento AI
La maggior parte degli executive immagina una singola perdita drammatica: un hacker, un titolo di violazione, una lettera del regolatore. Il modo di fallimento più comune è più tranquillo e accade per impostazione predefinita, ogni giorno, dentro il lavoro normale.
La ricerca di LayerX del 2025 sul workplace AI ha trovato che il 77% dei dipendenti ha incollato dati aziendali in uno strumento AI pubblico a un certo punto, e un’analisi separata di vendor del traffico di prompt e file ha trovato informazioni sensibili presenti in più del 4% dei prompt e nel 22% dei file caricati a sistemi AI. Niente di questo richiede una violazione.
Un dipendente che scrive una proposta cliente incolla la pricing di un concorrente coperta da NDA. Un analista finanziario carica un foglio di calcolo con guadagni non rilasciati per farsi scrivere un riassunto più velocemente. Uno sviluppatore incolla un algoritmo proprietario in un coding assistant per eseguirne il debug.
Disney ha imparato la versione a cascata di questo rischio nel 2024, quando circa un terabyte di dati è stato perso dall’ambiente Slack, incluso codice e proprietà intellettuale legato a progetti non rilasciati. Le comunicazioni interne di Amazon hanno avvertito lo staff di non incollare segreti aziendali in ChatGPT, dopo che post di dipendenti persi descrivevano l’assistente AI interno di Amazon che faceva emergere posizioni di data center e dettagli di feature non rilasciate che non avrebbe mai dovuto avere accesso. Nessuno di questi incidenti ha richiesto un attacco sofisticato. Ha richiesto un dipendente con una scadenza e uno strumento che rendeva il compito più veloce.
Le policy di data dei vendor si sono evolute, e i dettagli della stampa fine ancora contano
Dai credito dove dovuto ai vendor AI principali. A metà 2026, OpenAI, Anthropic, Google, Microsoft e Mistral pubblicano tutti impegni di tier enterprise che escludono i dati dei clienti dall’addestramento del modello per impostazione predefinita, e tutti offrono Data Processing Agreement contrattuali per i dati regolamentati.
| Vendor | Addestra su dati enterprise per impostazione predefinita | Conservazione predefinita | Conservazione ridotta o zero |
|---|---|---|---|
| OpenAI (Business/Enterprise/API) | No | 30 giorni | Zero-data-retention disponibile su endpoint idonei |
| Anthropic (Claude for Work/Enterprise) | No | 7 giorni (API, da settembre 2025) | Zero-data-retention per clienti enterprise qualificati |
| Google Gemini (API/Workspace) | No | Non registrato per addestramento per impostazione predefinita | Zero-data-retention via impostazione API |
| Microsoft Copilot | No | Governato da policy di conservazione dell’organizzazione | Residenza dati USA e UE da aprile 2026* |
| Mistral | No | 30 giorni per impostazione predefinita | Zero-data-retention disponibile; la residenza UE è predefinita |
* Il “Flex Routing” di Microsoft, introdotto lo stesso mese, può instradare l’inferenza UE al di fuori del Data Boundary UE durante la domanda di picco, quindi conferma la configurazione di routing attuale invece di assumere che la residenza sia assoluta per impostazione predefinita.
Questa tabella è la buona notizia, ed è un vero progresso. Due caveat la tengono dal essere l’intera storia. Primo, nessuna di queste policy copre i sub-processor, intendendo l’infrastruttura cloud, il tooling di analytics e i processi di legal-hold che stanno dietro i sistemi del vendor stesso, e la maggior parte delle organizzazioni ha visibilità contrattuale limitata in quella catena. Secondo, e questo è quello che vale la pena affrontare: un account tier consumer è un prodotto diverso con impostazioni predefinite diverse. I piani consumer OpenAI free e Plus lasciano ancora gli utenti opt-in per l’addestramento in modi che i piani enterprise non fanno, e il rischio pratico emerge quando i dipendenti usano i loro account personali di ChatGPT per il lavoro senza che IT sappia mai che i dati hanno lasciato l’azienda.
Dove “Zero Retention” smette di essere zero
I vendor che promettono zero data retention lo intendono, sotto le condizioni operative normali. Le condizioni operative normali non sono le uniche condizioni che contano a un’azienda che tiene segreti reali.
Tra maggio 2025 e gennaio 2026, un magistrato federale americano ha ordinato a OpenAI di conservare tutti i log delle conversazioni di ChatGPT indefinitamente come parte della controversia New York Times v. OpenAI. OpenAI ha obbedito, conservando dati che gli utenti avevano già cancellato. A gennaio 2026, un giudice federale è andato più lontano e ha ordinato a OpenAI di produrre 20 milioni di log di conversazione de-identificati ai ricorrenti.
Una descrizione per questa categoria di dati che circola tra i professionisti di privacy: “zombie data”, cancellato dall’utente, vivo comunque perché un tribunale lo ha detto così.
Due più incidenti 2025 a 2026 fanno lo stesso punto da un angolo diverso. A luglio 2025, l’indice di ricerca di Google ha raccolto migliaia di link di conversazione di ChatGPT che gli utenti credevano di avere condiviso privatamente, esponendo contenuto personale e aziendale a ricerca pubblica. All’inizio del 2026, i ricercatori hanno divulgato una vulnerabilità di canale laterale basata su DNS in ChatGPT che avrebbe potuto far perdere dati di conversazione sensibili oltre le guardrail normali; OpenAI l’ha patchata il 20 febbraio 2026, senza sfruttamento confermato.
La policy di conservazione è uno strato di protezione. La sicurezza della piattaforma e l’esposizione legale sono strati separati, e una policy di conservazione forte non copre nemmeno uno di loro.
Vale la pena nominarla chiaramente, dal momento che è affermata casualmente e non dovrebbe esserlo: “zero data retention” non è una garanzia assoluta. È un impegno operativo forte che un’ordinanza del tribunale o una vulnerabilità della piattaforma possono ancora annullare.
I dipendenti sono il vettore di perdita più grande, e la policy sola non lo fermerà
Se sistemi ogni contratto di vendor e ancora permetti allo staff di eseguire lavoro confidenziale attraverso account AI personali, non hai effettivamente ridotto la tua esposizione. I team di sicurezza concordano, quasi senza eccezione, che il vettore di perdita dominante non è il misbehavior del vendor. Sono i dipendenti che usano strumenti non approvati e non gestiti.
C’è una piega legale qui anche che la maggior parte degli executive non ha ancora notato. In United States v. Heppner (febbraio 2026), un tribunale federale ha deciso che gli scambi di un imputato con uno strumento AI di livello consumer non erano privilegiati, anche se credeva che la conversazione fosse riservata. Il caso ha coinvolto l’uso dello strumento del convenuto stesso piuttosto che dei suoi avvocati, ma i commentatori legali lo leggono ampiamente come un avvertimento per gli studi legali anche: un ufficio di general counsel non può assumere in sicurezza che un account ChatGPT personale preserva il privilegio per l’analisi legale, perché il privilegio stesso non sopravvive allo strumento.
Il costo finanziario di questa lacuna è misurabile. Il Cost of a Data Breach Report di IBM del 2025 ha trovato che le violazioni che coinvolgono shadow AI, intendendo tool AI implementati o usati senza approvazione o governance, aggiungono una media di 670.000 dollari al costo totale dell’incidente. Quel premio esiste perché i tool non gestiti non hanno un audit trail, non hanno una mappa dati, e spesso non c’è nessuno in azienda che sappia nemmeno che l’esposizione è accaduta fino a molto dopo il fatto.
Cosa il self-hosting effettivamente ti compra, e dove arriva corto
Questo è da dove viene l’istinto di fare self-hosting, e l’istinto non è sbagliato. Eseguire l’inferenza su infrastruttura che controlli rimuove il vendor come terzo con qualunque accesso ai tuoi dati. Niente catena di sub-processor, niente trasferimento cross-border di cui ragionare, niente legal hold di vendor che possono far emergere le tue conversazioni cancellate anni dopo.
È anche non un scorciatoia. Secondo la ricerca State of AI in the Cloud di Wiz del 2026, l’81% delle organizzazioni usa servizi AI gestiti e il 90% esegue modelli self-hosted, significando che la maggior parte delle organizzazioni grandi esegue entrambi piuttosto che trattare uno come risposta universale. I team di sicurezza che ereditano un deployment self-hosted frequentemente lo trovano non ha mai avuto una valutazione della vulnerabilità, un test di penetrazione, o un logging di base configurato, che in pratica può essere un posture di sicurezza peggiore di un API gestito di un vendor con un DPA firmato.
Nemmeno GDPR e l’AI Act dell’UE si rilassano per i sistemi self-hosted: gli obblighi di trasparenza dell’Articolo 50, che sono entrati in vigore il 2 agosto 2026, si applicano indipendentemente da dove il modello gira. Il self-hosting muove l’onere di conformità interamente dentro le tue mura. Non lo rimuove.
Un’altra concezione sbagliata merita una correzione diretta, perché causa errori reali di budget: un piano “enterprise” da un vendor AI principale non significa che il modello gira sulla tua infrastruttura. Significa quasi sempre termini di contratto migliori stratificati su cima del cloud del vendor, un DPA, audit logging, e controlli di conservazione più forti, mentre l’inferenza ancora accade su server che non controlli. Se la residenza dati dentro la tua rete è il requisito genuino, un contratto enterprise non lo soddisfa; solo un’architettura che mantiene l’inferenza su infrastruttura che possiedi o prendi in leasing sotto la tua giurisdizione lo fa. I nostri articoli compagni su chi effettivamente costruisce AI self-hosted con successo e cosa costa eseguire un cluster di inferenza locale attraversano quello che l’impegno di engineering assomiglia in pratica, incluso dove la matematica del costo token fa e non favorisce l’acquisto di hardware.
Costruire un vero confine di dati, quale percorso tu scelga
La scelta tra API e self-hosted non è la decisione reale. La decisione reale è quali dati mai raggiungono un sistema AI in primo luogo, e sotto quali controlli, e quella domanda si applica ugualmente a entrambi i percorsi di deployment.
Un confine difendibile generalmente include:
- Classifica prima di connettere. Sai quali categorie di dati (record dei clienti, IP non rilasciato, dati personali regolamentati) sono permesse vicino a qualunque sistema AI a tutto, e quali richiedono redazione o pseudonimizzazione prima.
- Uccidi lo shadow AI dell’account consumer. Blocca account personali di ChatGPT, Gemini e Claude su dispositivi gestiti, e dai allo staff un’alternativa enterprise approvata così il ban non spinge solo il comportamento più sottoterra.
- Ottieni un DPA firmato per tutto quello che tocca i dati personali, che il ricevente sia un API di un vendor o un team interno che sta su un modello self-hosted che un processore di dati supporta. La nostra guida ai agenti AI e GDPR copre quello che quell’accordo deve includere.
- Sai la tua esposizione reale di conservazione e legal-hold oltre la pagina di marketing. Chiedi direttamente al vendor cosa succede ai tuoi dati in una citazione, e documenta la risposta.
- Pesa la dipendenza dal vendor come suo proprio rischio, separato dall’esposizione di dati. Il nostro pezzo su AI agent platform lock-in copre quello che accade quando un provider cambia i termini dopo che i tuoi workflow sono già costruiti attorno a essi.
- Se fai self-hosting, stanzia budget per il lavoro di sicurezza continuo insieme all’hardware. Patching, controllo degli accessi e monitoraggio sono costi ricorrenti che continuano ben oltre la configurazione iniziale.
Chi favorisce il self-hosting: organizzazioni che gestiscono dati che sono veramente regolamentati o coperti da un NDA, con volume di uso sostenuto e un team che può possedere il lavoro di sicurezza per anni di seguito.
Chi non rientra: team con uso AI basso o imprevedibile, lavoro di sensibilità generale come draft di marketing o brainstorming interno, e nessuno disponibile per possedere la sicurezza continua dell’infrastruttura. Per quel profilo, un’API di vendor enterprise-tier affidabile con un DPA firmato e controlli di dati interni disciplinati proteggerà i segreti commerciali più affidabilmente di un deployment self-hosted che nessuno ha la bandwidth per mantenere correttamente.
Entrambi i percorsi funzionano quando sono costruiti deliberatamente, con una risposta chiara a quali dati raggiungono il modello e chi può vederli dopo. Nemmeno funziona come un’assunzione predefinita presa da una pagina di marketing di un vendor o da un progetto del weekend di un engineer.
Domande frequenti
Ospitare un modello AI in locale mantiene automaticamente i tuoi dati privati?
No. L'hosting in locale rimuove il vendor come soggetto che può vedere, conservare o essere citato in giudizio per i tuoi dati, ma non rende automaticamente il deployment sicuro o conforme. Senza controllo degli accessi, crittografia, monitoraggio e patch regolari, un modello self-hosted può perdere dati facilmente quanto un'API cloud, e i ricercatori di sicurezza riferiscono che i deployment self-hosted sono spesso lasciati non mantenuti una volta che il progetto iniziale si conclude.
Cos''è lo shadow AI e perché è il più grande rischio di privacy?
Shadow AI significa dipendenti che usano tool AI non approvati, spesso account personali di ChatGPT o Gemini, per gestire compiti di lavoro senza che l'IT lo sappia. È la fonte della maggior parte delle perdite documentate: gli ingegneri Samsung hanno incollato codice sorgente proprietario in ChatGPT nel 2023, e IBM ha trovato nel 2025 che gli incidenti shadow AI aggiungono in media 670.000 dollari ai costi di violazione. Una policy di data del vendor non può proteggere una perdita che non tocca mai i sistemi del vendor in primo luogo.
Le policy di "zero data retention" dei vendor AI sono affidabili?
Sono affidabili per la privacy operativa di routine, ma non assolute. OpenAI, Anthropic e Google offrono tutti opzioni di zero-training e reduced-retention sui piani enterprise, ma un ordine di un tribunale federale americano del 2025 ha obbligato OpenAI a conservare i log delle chat indefinitamente per contenzioso, annullando le richieste di eliminazione che gli utenti avevano già fatto. Tratta una policy di conservazione come protezione vera contro l'abuso di routine. Non offre protezione quando un tribunale ordina la conservazione o emette un legal hold.
"Enterprise" AI plan significa che il modello gira su infrastruttura nostra?
No, nella stragrande maggioranza dei casi non è così. Un tier enterprise di OpenAI, Anthropic o Microsoft di solito significa un Data Processing Agreement firmato, audit trail e controlli di conservazione più forti, ma l'inferenza accade ancora su infrastruttura che gestisce il vendor. Se tenere i dati dentro la tua rete è il requisito effettivo, solo un deployment genuinamente self-hosted o su private cloud dedicato lo soddisfa.
Quando ha senso il self-hosting per proteggere i segreti commerciali?
Ha senso quando i dati sono veramente regolamentati o contrattualmente sensibili, come IP non rilasciato coperto da NDA, cartelle cliniche o dati finanziari, quando il volume di uso è sostenuto abbastanza da giustificare lo sforzo di engineering, e quando il tuo team può possedere il patching e il monitoraggio continui. Per lavoro meno sensibile come copy di marketing o draft generale, un API vendor enterprise-tier affidabile con un DPA firmato è solitamente il percorso più semplice.