Punti chiave
- Quando si parla di sovranità dei dati, l’IA ridefinisce il significato stesso di «controllo». Essa riguarda il modo in cui i dati vengono consultati, elaborati, trasferiti, conservati e utilizzati per addestrare i modelli, non solo il luogo in cui sono archiviati.
- Ogni interazione con l’IA passa attraverso cinque punti di controllo relativi alla sovranità, dall’input e dal recupero fino all’inferenza, all’output e alla conservazione.
- L'autogestione dell’IA non è necessaria ai fini della sovranità e, di per sé, non è sufficiente. Le integrazioni, l’accesso amministrativo e i registri richiedono comunque una governance.
- I contratti con i fornitori di IA dovrebbero coprire l’addestramento dei modelli, le sedi di elaborazione, i sub-responsabili del trattamento, la conservazione e la cancellazione.
- La flessibilità di implementazione e la libertà di scegliere i modelli di IA consentono alle imprese di adattarsi ai cambiamenti delle normative e dei fornitori.
Introduzione
La sovranità dei dati nell’IA è la capacità di un’organizzazione di mantenere il controllo legale, operativo e tecnico sui propri dati in ogni fase in cui un sistema di IA li utilizza.
La maggior parte delle persone continua a inquadrare la sovranità in base a un’unica domanda: dove risiedono i dati? Il cloud computing ha già reso più difficile rispondere a questa domanda. L’IA complica ulteriormente le cose, spostando i dati tra sistemi interni, modelli di terze parti e servizi cloud, spesso con scarsa visibilità. Il semplice fatto di archiviare i dati in una regione approvata non è di alcun aiuto se un servizio di IA li elabora o li conserva altrove, poiché la sola ubicazione fisica non ha mai garantito il controllo.
Man mano che l’IA diventa sempre più importante per il modo in cui operano le imprese, la buona notizia è che adozione e controllo non devono necessariamente escludersi a vicenda. La risposta sta nella governance in ogni punto in cui i dati entrano in contatto con l’IA, supportata da una tecnologia che offre diverse opzioni.
Che cos’è la sovranità dei dati nell’IA?
La sovranità dei dati nell’IA estende i principi della sovranità dei dati oltre il luogo in cui i dati sono archiviati e li applica al modo in cui l’intelligenza artificiale li utilizza. Due attività sono fondamentali:
- Addestramento e messa a punto. I dati vengono utilizzati per costruire o migliorare un modello e possono persistere all’interno di quel modello molto tempo dopo che il file di origine è stato eliminato.
- Inferenza. Un modello esistente elabora i prompt e il contesto recuperato per produrre una risposta o intraprendere un’azione.
Anche le aziende che non addestrano mai un modello devono avere visibilità su entrambi questi aspetti, poiché alcuni servizi di IA possono utilizzare i dati inviati per l’addestramento, a meno che contratti e impostazioni non lo escludano.
Si sente parlare anche di «IA sovrana» a livello nazionale, dove i governi di tutto il mondo perseguono l’autonomia strategica e la sicurezza nazionale mantenendo la potenza di calcolo, i modelli di base e i dati all’interno dei confini nazionali e in linea con i valori della nazione. Per le aziende, la sovranità dell’IA è più concreta. Significa che è la tua organizzazione, e non i tuoi fornitori, a decidere come vengono utilizzati i suoi dati.
Perché l’IA rende più difficile mantenere la sovranità dei dati?
L’IA aggiunge nuove sedi di elaborazione, nuovi fornitori e nuove copie dei dati a ogni richiesta. Gartner
prevede che entro il 2027 oltre il 40% delle violazioni dei dati legate all’IA sarà causato da un uso transfrontaliero improprio dell’IA generativa.
Gran parte di questo rischio deriva da tre cambiamenti nel modo in cui l’IA gestisce i dati aziendali.
I dati in uso possono attraversare i confini
I carichi di lavoro dell’IA non vengono sempre eseguiti dove sono archiviati i dati. Un portale ospitato a Francoforte potrebbe richiamare un endpoint di un modello in un’altra regione. I dati inattivi sono conformi, ma quelli in uso potrebbero non esserlo, e ogni attraversamento deve rispettare le normative locali di entrambe le parti.
I fornitori terzi applicano le proprie regole
A seconda dei loro termini, i fornitori potrebbero conservare i prompt, utilizzarli per l’addestramento o affidarsi a sub-responsabili del trattamento che non hai mai verificato. Anche la loro sede legale è importante. Il CLOUD Act statunitense può consentire l’accesso dall’estero indipendentemente dall’ubicazione dei server, il che è uno dei motivi per cui le opzioni di cloud sovrano hanno guadagnato terreno nel settore pubblico.
Il «lock-in» dei modelli rende costoso il cambiamento
Il vincolo al modello trasforma un cambiamento normativo in un progetto di migrazione su una nuova piattaforma. Un’architettura che consente di cambiare i modelli man mano che i requisiti evolvono mantiene tale decisione nelle tue mani.
Dove può venir meno la sovranità dei dati in un’interazione con l’IA? I cinque punti di controllo
Ogni richiesta di IA, che provenga da un dipendente che utilizza strumenti di IA o da un agente che esegue un flusso di lavoro, passa attraverso cinque punti di controllo. Ciascuno di essi solleva una propria questione di sovranità.
| Punto di controllo | Cosa succede ai dati | Domanda sulla sovranità | Controllo che risponde alla domanda |
| 1. Input | I prompt, i file e il contesto dell'utente vengono immessi nel sistema di IA | Quali dati possono inviare gli utenti e a quali modelli? | Classificazione, livelli di dati idonei all’IA, minimizzazione dei dati |
| 2. Recupero | L'IA estrae il contesto da CMS, CRM, ERP e archivi di documenti | L’IA può accedere a dati a cui l’utente richiedente non avrebbe accesso? | Recupero basato sulle autorizzazioni |
| 3. Inferenza | Il modello elabora i dati | Dove avviene l’elaborazione, in base a quali leggi e tramite quale fornitore? | Scelta del modello, impegni a livello regionale, modelli privati o self-hosted per i dati soggetti a regolamentazione |
| 4. Risultato e azione | Vengono generate delle risposte, oppure un agente reinserisce i dati nei sistemi | Chi verifica i risultati prima che raggiungano i clienti o vengano registrati? | Revisione con intervento umano, tracciati di audit |
| 5. Conservazione, riutilizzo e addestramento | I log, le cache, gli embedding e i set di fine-tuning vengono conservati | Viene conservato o utilizzato qualcosa per addestrare i modelli, e può essere eliminato? | Condizioni di «no-training», limiti di conservazione, diritti di cancellazione ed esportazione |
Se la tua organizzazione esegue il fine-tuning o l'addestramento dei propri modelli, tratta i dati di addestramento come una copia permanente con regole di classificazione, accesso e cancellazione proprie.
Un controllo rigoroso in quattro punti di verifica non compensa una lacuna nel quinto.
Mantenere la sovranità dei dati significa costruire il proprio stack di IA?
No. Possedere l’intero stack di IA non è né necessario né sufficiente.
Sebbene assumere il pieno controllo a partire dal livello fisico abbia senso per alcuni carichi di lavoro governativi e relativi alle infrastrutture critiche, per la maggior parte delle aziende è complesso, immobilizza risorse informatiche e ingegneristiche e isola i team dai rapidi progressi nei modelli di base. Un approccio più pratico consiste nell’adattare l’infrastruttura di IA alla sensibilità dei dati, riservando i modelli self-hosted o privati ai dati regolamentati, come le cartelle cliniche, e utilizzando modelli gestiti in outsourcing per casi d’uso a basso rischio.
Un modello privato può comunque esporre dati sensibili attraverso integrazioni, accessi amministrativi, fonti di recupero e log conservati.
È così che funziona la trasformazione senza dover ricominciare da zero. Si ottiene un controllo maggiore dove conta davvero, sfruttando al massimo i sistemi già disponibili.
In che modo le aziende possono mantenere la sovranità dei dati quando utilizzano l’IA?
Questi sei passaggi integrano la governance dell’IA nelle tue iniziative di IA, consentendo loro di scalare senza perdere il controllo.
1. Mappare e classificare i dati utilizzati dall’IA
Estendi le tue attuali pratiche di gestione dei dati all’IA. Mappa ogni caso d’uso dell’IA in base ai cinque punti di controllo, classifica i dati regolamentati e sensibili e definisci quali modelli possono gestire ciascuna categoria. Applica il principio di minimizzazione dei dati in modo che ogni attività riceva solo i dati di cui ha bisogno.
2. Adattare i modelli e l’implementazione alla sensibilità dei dati
Valuta le opzioni cloud, private, ibride e self-hosted in base a dove avvengono l’archiviazione e l’elaborazione dei dati, chi gestisce l’infrastruttura e chi può accedere ai dati. Mantieni la libertà di cambiare fornitore in un secondo momento, in modo che un cambiamento normativo non costringa a ricostruire il sistema da zero.
3. Applicare le politiche di accesso e utilizzo esistenti all’IA
Le integrazioni di IA dovrebbero ereditare le regole aziendali relative all’identità e all’autorizzazione, e solo i modelli e i servizi approvati dovrebbero avere accesso ai dati sensibili. Per quanto riguarda gli agenti, una buona governance degli agenti di IA inizia con la consapevolezza di chi ha concesso a ciascuno di essi l’accesso a quali dati.
4. Inserire la sovranità nei contratti con i fornitori
Cerca clausole chiare relative alla proprietà dei dati, alle sedi di trattamento, all’addestramento dei modelli, alla conservazione e alla cancellazione, nonché alle notifiche di cambio di subappaltatori, all’accesso amministrativo e ai meccanismi di trasferimento transfrontaliero. Richiedi la documentazione che dimostri il controllo durante le verifiche di sicurezza e conformità.
5. Effettuare una fase pilota con dati sintetici
Non testare le versioni di anteprima o di prova degli strumenti di IA con dati reali dei clienti. Utilizza dati sintetici o anonimizzati fino a quando uno strumento non abbia superato la verifica di sicurezza e quella legale, e conferma per iscritto se qualsiasi dato inviato durante una fase di prova venga conservato o utilizzato per l’addestramento.
6. Assegnare la titolarità e rivalutare continuamente
Tenere un registro delle interazioni dell’IA e degli accessi ai dati, con supervisione umana sui risultati. I quadri normativi lo richiedono sempre più spesso e l’AI Act dell’UE prevede che i sistemi di IA ad alto rischio consentano la registrazione automatica degli eventi per tutta la loro durata di vita. Condividi la responsabilità tra i team IT, legale, di sicurezza e di governance dei dati, e rivaluta ogni volta che i casi d’uso si ampliano o i fornitori aggiungono funzionalità. La sovranità è un requisito operativo continuo, non un’operazione una tantum.
Cosa dovresti chiedere a una piattaforma o a un fornitore di IA prima dell’adozione?
Poni queste domande durante qualsiasi valutazione di un fornitore di IA, sia che tu stia esaminando un fornitore di modelli, una piattaforma o una funzionalità di IA all’interno di un software che già utilizzi. Le risposte indicano quanto controllo manterrai effettivamente dopo la messa in funzione, e le risposte convincenti sono accompagnate da documentazione verificabile piuttosto che da semplici assicurazioni verbali.
| Domanda | Come dovrebbe essere una buona risposta |
| Dove vengono elaborati e archiviati i prompt, i dati recuperati, i risultati e i log? È possibile vincolare l’elaborazione a una regione specifica? | Regioni specificate per ogni fase, con garanzia contrattuale |
| I nostri dati vengono utilizzati per l’addestramento? | No per impostazione predefinita, solo su richiesta espressa e specificato nel contratto |
| L’IA rispetta le autorizzazioni utente già esistenti? | L’IA accede solo ai dati che l’utente richiedente è autorizzato a visualizzare |
| Cosa garantisce il fornitore e cosa rimane di nostra competenza? | Un modello scritto di responsabilità condivisa |
| Quali prove potete fornire? | Certificazioni attuali, diritti di audit e preavviso in caso di nuovi sub-responsabili del trattamento |
| Possiamo cambiare modello o hosting in un secondo momento ed esportare o cancellare i nostri dati? | Scelta del modello, opzioni di implementazione multiple ed esportazione e cancellazione documentate |
Valuta l’intera architettura di IA, comprese le integrazioni e i servizi di terze parti, non un prodotto di IA preso isolatamente. È questo che distingue le soluzioni di IA pronte per le aziende dalle demo che sembrano sicure.
In che modo Liferay DXP aiuta le aziende a mantenere il controllo sui dati utilizzati dall’IA?
Liferay DXP offre al tuo team diverse opzioni nei punti in cui si decide della sovranità, tra cui dove viene eseguita la piattaforma, a quali modelli di IA si collega e cosa possono vedere tali modelli.
- Scelta di implementazione. Le opzioni di implementazione di Liferay, tra cui SaaS, PaaS e Self-Hosted, girano tutte sulla stessa piattaforma, e Liferay DXP può anche essere eseguito su infrastrutture gestite dal cliente o con provider cloud regionali e sovrani. Con l’opzione Self-Hosted, Liferay DXP non elabora dati personali per conto dell’utente, mentre nelle offerte cloud è l’utente a scegliere la regione di hosting.
- Scelta del modello. Nell’ambito dell’approccio «Bring Your Own AI», è possibile collegare modelli propri o di terze parti tramite API supportate, rimanendo responsabili di tale integrazione e dei termini relativi al modello.
- Nessun addestramento sui dati dell’utente. Liferay DXP non utilizza i dati forniti dal cliente per addestrare modelli di IA, né consente a terze parti di farlo senza l’autorizzazione dell’utente.
- Agenti che ereditano le autorizzazioni. Liferay AI Hub esegue agenti per conto degli utenti autenticati di Liferay DXP, in modo che vedano solo ciò a cui hanno accesso tali utenti.
- Governance certificata. Il sistema di gestione dell’IA di Liferay è certificato ISO/IEC 42001, allineato a quadri normativi quali l’AI Act dell’UE e guidato da standard etici quali equità, trasparenza e supervisione umana. I clienti cloud ricevono un preavviso in merito a nuovi sub-responsabili del trattamento e possono opporsi.
Le funzionalità della piattaforma supportano la governance, ma non sostituiscono la tua valutazione dei modelli, dei servizi esterni e delle configurazioni che scegli. Liferay DXP e i suoi partner collaborano direttamente con i tuoi team tecnici e legali su tali decisioni.
Come è possibile sviluppare una strategia di IA che mantenga i dati sotto controllo?
L’espansione dell’IA e il mantenimento della sovranità dei dati vanno di pari passo quando si controllano i flussi di dati anziché cercare di possedere l’intero stack. Ciò richiede visibilità sui flussi di dati dell’IA, misure di salvaguardia in ogni punto di controllo e la flessibilità necessaria per modificare modelli e implementazioni al variare delle regole. Se questi aspetti vengono gestiti correttamente, la sovranità diventa una fonte di fiducia per i clienti anziché un freno all’innovazione.
Scopri come Liferay AI Hub e Liferay DXP integrano l’IA nei tuoi sistemi esistenti
, consentendoti al contempo di mantenere il controllo sui dati sensibili.
Domande frequenti
Le aziende possono mantenere la sovranità dei dati quando utilizzano l'IA basata sul cloud?
Sì. L’IA basata sul cloud può soddisfare i requisiti di sovranità quando si ha il controllo operativo su dove vengono elaborati i dati, dove vengono archiviati, chi può accedervi e per quanto tempo vengono conservati. Gli impegni che è possibile verificare e far rispettare contano più del tipo di cloud utilizzato.
Chi è responsabile della conformità quando un modello di terze parti viene collegato tramite una piattaforma?
La responsabilità è condivisa. La piattaforma garantisce la sicurezza del proprio livello, mentre la tua organizzazione gestisce la scelta del modello, l’integrazione e i termini del fornitore del modello. Una piattaforma che documenta chiaramente questa suddivisione rende il rischio più facile da gestire.
In che modo la sovranità dei dati nell’IA si collega al GDPR e alla legge UE sull’IA?
Il trattamento dei dati nell’ambito dell’IA rientra nelle norme vigenti in materia di protezione dei dati, comprese le restrizioni del GDPR sui trasferimenti internazionali. La legge UE sull’IA aggiunge obblighi di governance per i sistemi ad alto rischio, quali la registrazione delle attività e la supervisione umana. I requisiti variano notevolmente da un paese all’altro, pertanto è utile comprendere in che modo la conformità alla sovranità dei dati differisca a seconda della regione.
