Introduzione
Recenti analisi rivelano che il 55 % dei dati aziendali a cui ha accesso Microsoft Copilot sono informazioni riservate o confidenziali. Questo dato mette in luce quanto sia cruciale il tema della governance dei dati nell’era dell’IA. Allo stesso tempo, con l’approvazione della legge italiana 132/2025 sull’IA, l’Italia ha introdotto un modello nazionale che tenta di armonizzare l’innovazione tecnologica con le garanzie offerte dal GDPR. I DPO, le aziende e i provider AI si trovano quindi a navigare un panorama dove privacy, trasparenza e responsabilità sono più strategiche che mai.
Il problema: Copilot e dati aziendali riservati
Secondo Federprivacy, oltre metà dei dati utilizzati da Copilot provengono da archivi aziendali privati, con potenziali implicazioni sulla riservatezza e sul controllo.
Ciò solleva domande di fondo:
- Quale base giuridica supporta questi trattamenti?
- In che misura l’utente ha consapevolezza e controllo sui dati usati dall’IA?
- Come si può garantire che dati sensibili o critici non vengano sfruttati impropriamente?
Il GDPR e l’IA: supervisione umana e spiegabilità nella legge 132
La legge 132/2025, pubblicata in Gazzetta Ufficiale e in vigore dal 10 ottobre 2025, introduce principi che integrano il GDPR nel contesto dell’IA generativa.
Tra le novità:
- Ogni decisione automatizzata deve rimanere sotto supervisione umana effettiva, evitando “scatole nere” nelle logiche algoritmiche.
- Il consenso rimane pilastro, ma si introduce una disciplina rafforzata per minori (sotto i 14 anni) che richiede il consenso dei genitori o tutori.
- Il diritto all’oblio si declina come “machine unlearning”: non basta rimuovere i dati, bisogna fare in modo che il modello non li continui a incorporare.
- La legge è “in coerenza” con l’AI Act europeo; dunque, la normativa nazionale interviene nei punti non espressamente coperti dal regolamento UE.
Questo quadro normativo impone che chi allena o utilizza l’IA si preoccupi non solo dei trattamenti, ma anche delle modalità con cui gli algoritmi apprendono e operano. Approfondisci la legge 132/2025 sull’intelligenza artificiale e il suo impatto sulla privacy
Sfide pratiche per DPO e aziende tecnologiche
Base giuridica e trasparenza
DPO devono verificare che per ogni uso di IA (es. Copilot) sia scelta la base giuridica corretta (es. consenso, interesse legittimo) e che l’informativa privacy includa spiegazioni chiare sull’uso dell’IA, finalità, modalità, destinatari e diritti degli utenti.
Supervisione umana e autorità
Non può essere delegata unicamente all’algoritmo la decisione su esiti rilevanti (ad es. rigetto di richieste, suggerimenti critici). Dev’essere presente un meccanismo di revisione umana, documentato e auditabile.
Modelli e limiti tecnici
L’adozione del machine unlearning o tecniche simili è tutt’altro che banale: richiede infrastrutture tecniche complesse e competenze. Le aziende dovranno progettare le pipeline AI con modularità e reversibilità.
Dati riservati e contesti sensibili
L’uso di Copilot o IA che accede a dati riservati (come segreti aziendali o proprietà intellettuali) deve essere sorvegliato con clausole contrattuali rigorose, registro e politiche di accesso interno ben definite.
Opportunità e vantaggi sotto controllo
Se ben governato, l’IA può portare:
- Produttività aumentata, con automazione intelligente dei compiti ripetitivi
- Supporto decisionale e assistenza avanzata
- Innovazione controllata, in cui sperimentazione e protezione coesistono
Con adeguate misure, l’IA può essere un motore di vantaggio competitivo senza compromettere la riduzione del rischio legale e reputazionale.
Conclusione
L’intersezione tra Copilot, dati riservati e normativa emergente è uno specchio delle sfide che la generazione di IA sta imponendo. Il GDPR resta il fondamento della protezione dei dati, ma la legge 132/2025 aggiunge vincoli specifici all’IA, rafforzando i principi di supervisione, spiegabilità e tutela dei minori. Le aziende che vogliono restare al passo devono aggiornare le proprie policy, governance e infrastrutture in modo integrato.
Se vuoi supporto concreto per adeguare i tuoi ambienti IA (come Copilot), gestire dati sensibili e garantire compliance con GDPR e legge 132/2025, P.I. Computers è a tua disposizione per audit, consulenza e progettazione su misura.
