La regola "non incollare dati in chiaro": come renderla praticabile

La regola “non incollare dati in chiaro” significa non inviare mai a un assistente AI dati che identificano una persona reale — nomi, codici fiscali, IBAN, indirizzi, dati sanitari — nella loro forma originale. È la regola numero uno di ogni policy AI, ma da sola non basta: per renderla praticabile serve una misura tecnica che agisca prima dell’invio, non solo un divieto scritto.

Questa guida è la versione operativa di una singola regola della policy AI aziendale: come trasformarla da frase su un documento a comportamento reale, senza rallentare chi lavora.

Perché è la regola numero uno

Tra le decine di righe di una policy AI, questa è quella che protegge davvero. Quando un dipendente incolla il testo di un contratto, una mail di un cliente o una cartella clinica in strumenti come ChatGPT, Claude o Gemini, quei dati escono dal perimetro aziendale e finiscono su server di terzi. In alcune configurazioni gli input possono essere trattati o usati per migliorare i modelli.

Il punto non è vietare l’AI: usata bene fa risparmiare ore, e vietarla del tutto spinge solo le persone a usarla di nascosto. Il punto è che il rischio non è lo strumento, ma il dato in chiaro che ci mettiamo dentro. Un solo nome più un codice fiscale bastano a re-identificare una persona. Ecco perché questa regola vale più di tutte le altre messe insieme — e perché è anche la prima linea di difesa contro la Shadow AI, l’uso di strumenti AI fuori dal controllo dell’azienda.

Il costo di sbagliare non è teorico: una segnalazione, la fiducia di un cliente incrinata, dati riservati usciti che non tornano più indietro. Ed è un rischio che si presenta decine di volte al giorno, ogni volta che qualcuno apre un assistente AI per fare più in fretta.

Perché “dillo e basta” non funziona

La tentazione è scrivere la regola in policy, farla firmare e considerare il problema risolto. Nella pratica non funziona, per tre motivi molto umani:

• La fretta. Chi ha una scadenza incolla e invia in un secondo, senza pensare a cosa contiene il testo.
• L’abitudine. Dopo la centesima volta, il gesto diventa automatico: nessuno rilegge cercando un IBAN dimenticato.
• L’ambiguità. “Dati in chiaro” a molti non dice nulla di concreto: un indirizzo email è un dato personale? E il nome dell’azienda cliente? Il dubbio porta a decidere caso per caso, e a sbagliare.

Una regola scritta è un cartello, non un lucchetto. Comunica un’intenzione, ma non impedisce fisicamente l’errore. E gli errori più costosi — quelli che finiscono in una segnalazione al Garante — nascono quasi sempre da una distrazione, non da una cattiva volontà. Approfondisci quali informazioni non vanno mai inserite nella guida sui dati sensibili in ChatGPT per l’azienda.

Renderla eseguibile: la misura tecnica

Il salto di qualità è passare dal dire al fare in automatico. Il principio, in linguaggio GDPR, si chiama minimizzazione dei dati (art. 5(1)(c)): far uscire dall’azienda solo i dati strettamente necessari al compito. Applicato all’AI, significa che il testo va ripulito prima dell’invio, non dopo.

Concretamente: prima che una persona incolli un documento in un assistente AI, i dati identificativi vengono individuati e sostituiti con segnaposto coerenti — [NOME_1], [CF_1], [IBAN_1] — direttamente sul dispositivo. L’AI riceve un testo comprensibile, ma senza sapere chi sono le persone coinvolte. La regola smette di dipendere dalla memoria di ognuno e diventa un passaggio ripetibile.

Riassumi questa segnalazione HR:
"Il dipendente Mario Rossi (CF RSSMRA80A01H501U),
assunto il 12/03/2019, ha richiesto un congedo per
motivi di salute. IBAN per il bonifico:
IT60X0542811101000000123456."

Riassumi questa segnalazione HR:
"Il dipendente [NOME_1] (CF [CF_1]),
assunto il [DATA_1], ha richiesto un congedo per
motivi di salute. IBAN per il bonifico:
[IBAN_1]."

Il testo a destra è ancora perfettamente utile: l’AI può riassumerlo, riscriverlo, classificarlo. Ma il dato in chiaro non è mai uscito. Questa è la differenza tra una regola scritta e una regola che si applica da sola.

Attenzione al framing: uno strumento di questo tipo è un supporto alla minimizzazione, non una garanzia assoluta. Riduce i dati che lasciano l’azienda e rende l’errore molto meno probabile, ma non sostituisce il giudizio di chi lavora né rende l’azienda “automaticamente conforme”. Resta buona pratica un controllo finale.

Come integrarla nel flusso di lavoro

Perché la regola regga nel tempo, va incastrata nel modo in cui le persone già lavorano — non aggiunta come ostacolo:

1. Scrivi la regola in modo operativo. Non “non usare dati sensibili” ma “prima di incollare qualunque testo in un assistente AI, maschera nomi, CF, IBAN, indirizzi e dati sanitari”. Concreta, verificabile.
2. Dai alle persone uno strumento, non solo un divieto. Una regola senza mezzi per rispettarla genera solo aggiramenti. La misura tecnica va messa a disposizione di tutti, non chiesta come sforzo extra.
3. Rendi il gesto automatico e locale. Se la protezione avviene sul dispositivo, prima dell’invio, e vale per qualunque motore AI, le persone non devono ricordarsi nulla né configurare ogni strumento.
4. Forma e verifica. Collega la regola alla formazione dei dipendenti sull’uso dell’AI e ricontrolla periodicamente che funzioni: la regola più importante merita più attenzione delle altre.

L’obiettivo non è rallentare il lavoro, ma togliere alle persone il peso di ricordarsi una regola critica cento volte al giorno.

Dalla regola alla pratica

Scrivere “non incollare dati in chiaro” in una policy richiede una frase. Farla rispettare da tutti, ogni giorno, sotto scadenza, è un altro paio di maniche. È qui che uno strumento di supporto colma il divario tra la carta e la pratica.

PrivActa individua e maschera automaticamente nomi, codici fiscali, IBAN, P.IVA e indirizzi italiani, sostituendoli con segnaposto coerenti sul dispositivo, prima dell’invio a qualunque assistente AI — che il team usi ChatGPT, Claude, Gemini o un altro motore. Il documento originale non lascia mai il computer. Non è un timbro di conformità: è una misura tecnica di minimizzazione che rende la regola numero uno eseguibile invece che solo enunciata.

Se in azienda hai già una policy AI ma temi che resti sulla carta, scopri come funziona PrivActa o guarda i piani per team e aziende. Se vuoi provarlo subito sul tuo flusso di lavoro, puoi scaricare PrivActa e testare la regola su un documento reale. Per il quadro completo, parti dalla guida su come scrivere una policy AI aziendale; per capire come questa regola si inserisce nel governo dell’uso dell’AI, leggi come governare la Shadow AI.