01Qual è il rischio vero
Il rischio non è l'AI in sé, ma dove finiscono i dati. Incollare contratti o dati di clienti in un account personale di un chatbot significa affidarli a un servizio con condizioni pensate per i consumatori, fuori dai controlli aziendali. Per un'azienda serve sapere chi vede cosa, dove sono conservati i dati e se vengono usati per addestrare modelli.
02Come funziona il RAG, in breve
- i documenti vengono divisi in passaggi e indicizzati in un archivio sotto il tuo controllo;
- a ogni domanda il sistema recupera solo i passaggi pertinenti, rispettando i permessi dell'utente;
- il modello risponde basandosi su quei passaggi e cita le fonti;
- ogni domanda e risposta viene registrata per controllo.
03Dove può girare il modello
- Opzione
- API aziendale di un grande fornitore
- Dati
- Escono verso il fornitore, con impegni contrattuali di non addestramento
- Qualità
- La più alta
- Costo
- A consumo
- Opzione
- Modello in cloud europeo
- Dati
- Restano in UE, presso il cloud scelto
- Qualità
- Alta
- Costo
- A consumo o a noleggio
- Opzione
- Modello privato sui tuoi server
- Dati
- Non escono mai
- Qualità
- Buona, un gradino sotto sui compiti più complessi
- Costo
- Hardware e gestione
Spesso si combinano: modello privato per i documenti più riservati, API per il resto. Approfondimento in LLM privati e on-premise.
04GDPR e regole italiane
- serve una base giuridica e un'informativa che citi il trattamento con strumenti di AI;
- con un fornitore esterno serve un accordo sul trattamento dei dati e attenzione ai trasferimenti fuori UE;
- dal 10 ottobre 2025 la legge italiana sull'AI (L. 132/2025) chiede ai professionisti di informare i clienti quando usano sistemi di AI (Il Diritto);
- dal 2 agosto 2026 l'AI Act chiede di dichiarare agli utenti che stanno parlando con un sistema di AI: vedi la checklist per PMI.
Domande frequenti
ChatGPT usa i miei documenti per addestrarsi?
Dipende dal piano e dalle impostazioni: i piani aziendali e le API dei principali fornitori prevedono che i dati non vengano usati per l'addestramento, i piani personali possono farlo salvo opt-out. Per dati aziendali serve comunque un piano aziendale o una soluzione controllata.
Un sistema RAG è sicuro?
È sicuro quanto è progettato: permessi per utente, registrazione degli accessi, archivio sotto il tuo controllo e scelta consapevole del modello. Il vantaggio è che ogni risposta è verificabile sulle fonti.