Fuga di dati con l'IA: da dove escono nelle tue app

Una fuga di dati con l’IA, nelle tue applicazioni, raramente è un attacco: è il percorso normale di una chiamata API che porta con sé più dati del necessario. Nomi, codici fiscali e diagnosi escono nel prompt, nei documenti aggiunti come contesto, negli argomenti delle funzioni e nei log, tuoi e del fornitore.

Nonimo Gateway si installa sui tuoi server. Vedi i piani e scrivici.

Per fermarla servono quattro mosse: mandare meno, sostituire i dati personali prima della chiamata, tenere in casa la corrispondenza con i dati veri e rimetterli nella risposta. Vediamo da dove escono i dati, come si riconosce una fuga in un caso concreto e che cosa cambia per il GDPR.

Sei punti da cui passa una fuga di dati con l’IA

Il rapporto sui rischi dei modelli linguistici commissionato dal Comitato europeo per la protezione dei dati segue il percorso dei dati dall’utente al modello e ritorno. Riportato su un’applicazione aziendale, il percorso ha sei punti critici.

Punto	Che cosa esce	Esempio in uno studio
Prompt	Il testo che l’applicazione compone	Email del cliente incollata per intero
Contesto (RAG)	Pezzi di documenti recuperati dall’archivio	Un vecchio contratto con i dati di un altro cliente
Chiamate a funzioni	Argomenti e risultati degli strumenti	Il codice fiscale passato a una funzione di ricerca
Log	Richieste e risposte registrate da te o dal gateway	Trenta giorni di prompt in un file di debug
Fornitore	Quello che conserva per i suoi scopi	Le richieste tenute per il periodo previsto dai suoi termini
Risposta	Il testo che rientra nei tuoi sistemi	Il nome del cliente copiato nel ticket di un fornitore esterno

Il prompt e il contesto

Il prompt è il punto più ovvio e il più trascurato. Gli sviluppatori passano al modello l’oggetto intero, «per sicurezza», invece dei soli campi che servono. Con il RAG il problema si moltiplica: il sistema recupera passaggi di documenti e li aggiunge alla richiesta. Il rapporto ricorda che il modello può recuperare informazioni personali o riservate se sono nella base di conoscenza, e che domande e documenti recuperati possono finire in log o cache poco protetti.

Le chiamate a funzioni

Quando il modello usa strumenti, cioè cerca in un gestionale o compila un modulo, gli argomenti delle funzioni viaggiano nella richiesta e i risultati tornano al modello. Non tutti i filtri li controllano. Amazon Bedrock Guardrails, per esempio, documenta che nei flussi con chiamate a funzioni non valuta argomenti, risultati e definizioni degli strumenti.

I log, tuoi e degli altri

Ogni componente registra qualcosa: l’applicazione, il gateway, il filtro, il fornitore. Il rapporto indica fra i rischi la registrazione delle richieste da parte dei fornitori per debug o miglioramento, l’accesso non autorizzato ai log e l’assenza di tempi di conservazione. E un filtro non pulisce per forza i log: sempre secondo la documentazione AWS, se attivi la registrazione delle invocazioni del modello su CloudWatch, il campo di input contiene sempre la richiesta originale, non modificata, qualunque cosa abbia fatto il guardrail.

La conservazione presso il fornitore

Che cosa conserva il fornitore del modello, per quanto e per quali scopi, lo dicono i suoi termini e il tuo contratto. Leggili per il servizio esatto che usi, perché cambiano fra prodotti e piani. E ricorda che un incidente dal lato del fornitore è possibile: nel comunicato del 31 marzo 2023 il Garante ricordava che ChatGPT aveva subito il 20 marzo una perdita di dati riguardante le conversazioni degli utenti.

Una fuga di dati con l’IA è già un data breach?

Non sempre. Mandare dati a un fornitore con cui hai un contratto ai sensi dell’articolo 28 è un trattamento, non una violazione. Diventa un problema quando i dati escono senza base, verso chi non doveva riceverli, o restano dove nessuno li controlla. Se l’episodio rientra nella definizione di violazione dei dati personali dell’articolo 4, punto 12, del GDPR, l’articolo 33 chiede di notificarla al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore, salvo che sia improbabile un rischio per le persone: lo spieghiamo in data breach con l’IA.

Per gli studi c’è poi il segreto professionale, che una notifica non estingue: vedi ChatGPT e segreto professionale. E per le cliniche, i dati sanitari sono categorie particolari dell’articolo 9 del GDPR, con le misure di garanzia previste dall’articolo 2-septies del Codice privacy.

Un esempio: lo studio legale e le PEC

Lo Studio Legale Marchetti, a Torino, ha un’applicazione interna che legge le PEC in arrivo, le riassume e propone l’assegnazione a un avvocato. Una PEC tipica: «Si notifica a Luca Bertoldi, nato a Pinerolo il 3 maggio 1979, l’atto di precetto per 18.600 euro».

Seguiamo il testo. L’applicazione manda la PEC intera al modello (prompt). Per suggerire l’avvocato, recupera dal gestionale tre pratiche simili, con i nomi di altri clienti (contesto). Chiama una funzione che cerca il fascicolo per nome e data di nascita (chiamata a funzione). Il gateway registra tutto per trenta giorni (log). Il riassunto finisce nel sistema di ticket, gestito da un fornitore esterno (risposta).

In un solo passaggio, i dati di Bertoldi e di altri tre clienti sono usciti in cinque posti. Nessuno ha sbagliato: l’applicazione funziona come è stata scritta.

Come fermare la fuga in quattro mosse

1. Minimizzare. Manda al modello solo i campi che servono al compito. È l’articolo 5, paragrafo 1, lettera c, del GDPR applicato al codice: dati «limitati a quanto necessario».
2. Pseudonimizzare prima della chiamata. Sostituisci nomi, date di nascita, codici fiscali, indirizzi e IBAN con segnaposto, nel prompt, nel contesto e negli argomenti delle funzioni. L’articolo 25 cita la pseudonimizzazione fra le misure da prevedere fin dalla progettazione; il rapporto per il Comitato raccomanda di segnalare o anonimizzare le informazioni sensibili prima che vengano elaborate o registrate.
3. Tenere la chiave in casa. La tabella che collega i segnaposto ai dati veri non deve mai lasciare i tuoi server. È la condizione dell’articolo 4, punto 5: informazioni aggiuntive conservate separatamente.
4. Rimettere i dati nella risposta. L’utente deve ricevere il riassunto con il nome vero, altrimenti tornerà a incollare i dati altrove.

A queste quattro si aggiunge una regola di igiene: decidi per iscritto che cosa registra ogni componente e per quanto. Per le strade tecniche disponibili, vedi la panoramica sui software di PII redaction, il confronto sul plugin di Kong AI Gateway e quello con Presidio.

Nonimo Gateway per le mosse dalla due alla quattro

Nonimo Gateway è un proxy compatibile con OpenAI che gira sui tuoi server. Sostituisce i dati personali prima che la richiesta arrivi al modello, tiene la corrispondenza in casa e rimette i valori veri nella risposta. Usa la tua chiave OpenAI e riconosce il codice fiscale e gli altri documenti nazionali. Se usi LiteLLM, c’è un plugin.

Piani e prezzi sono nella pagina di Nonimo Gateway.

Ti aiuta con la pseudonimizzazione; il contratto con il fornitore e la valutazione dei rischi restano tuoi. Se stai ancora scegliendo l’architettura, leggi cos’è un AI gateway e LLM locale o proxy di privacy.

Parti dalla mappa delle uscite

Prendi un’applicazione che chiama un modello e disegna i sei punti: che cosa esce, dove resta, per quanto. Spesso basta un’ora per trovare la prima fuga. Vedi i piani di Nonimo Gateway e scrivici.

Fonti

Verificate il 20 ottobre 2026; il testo del GDPR riletto il 21 ottobre 2026.

• Regolamento (UE) 2016/679, testo italiano (EUR-Lex): la pseudonimizzazione all’articolo 4, punto 5; la violazione dei dati personali all’articolo 4, punto 12; la minimizzazione all’articolo 5, paragrafo 1, lettera c; le categorie particolari all’articolo 9, paragrafo 1; la protezione fin dalla progettazione all’articolo 25, paragrafo 1; il responsabile del trattamento all’articolo 28; la notifica all’articolo 33, paragrafo 1, e la documentazione delle violazioni al paragrafo 5.
• Codice in materia di protezione dei dati personali, D.Lgs. 196/2003, art. 2-septies (Normattiva): le misure di garanzia per i dati genetici, biometrici e relativi alla salute.
• Comitato europeo per la protezione dei dati, AI Privacy Risks & Mitigations: Large Language Models, programma Support Pool of Experts, marzo 2025 (PDF): segnalare o anonimizzare le informazioni sensibili prima dell’elaborazione o della registrazione (p. 29); la registrazione delle richieste da parte dei fornitori, l’accesso ai log e l’assenza di tempi di conservazione (p. 31); i rischi del RAG, fra log e cache insicuri e dati personali nella base di conoscenza (p. 34). Il rapporto esprime le opinioni dell’autrice, non la posizione ufficiale del Comitato.
• Garante, comunicato del 31 marzo 2023 sul blocco di ChatGPT (doc. web 9870847): la perdita di dati del 20 marzo 2023 riguardante le conversazioni degli utenti.
• Amazon Bedrock Guardrails, filtri per le informazioni sensibili (docs.aws.amazon.com): le chiamate a funzioni non valutate e il campo di input nei log delle invocazioni su CloudWatch, che contiene sempre la richiesta originale.

---

Questa pagina ha finalità informative e non è un parere legale. I dettagli dei prodotti di terzi sono stati verificati sulle loro pagine ufficiali il 20 ottobre 2026 e possono cambiare.