Il perimetro della protezione dei dati personali si è spostato. Le raccomandazioni classiche (password robuste, antivirus, aggiornamenti) rimangono una base, ma non coprono più i vettori di fuga più attivi. L’uso massiccio di strumenti di IA generativa, la moltiplicazione dei trasferimenti al di fuori dell’Unione europea e l’aumento delle esfiltrazioni documentato dall’ANSSI impongono di rivedere la gerarchia delle priorità per garantire la sicurezza dei vostri dati e la vostra privacy online.
Fughe di dati tramite i prompt di IA generativa: un vettore sottovalutato
Ogni richiesta inviata a un servizio di IA generativa può contenere informazioni personali, estratti di documenti interni o identificativi. Quando il fornitore si riserva il diritto di riutilizzare le richieste per addestrare i suoi modelli, questi dati escono definitivamente dal controllo dell’utente.
La CNIL ha pubblicato nel 2025 raccomandazioni specifiche sull’IA e il RGPD. Raccomanda di pseudonimizzare i documenti prima di sottoporli a un modello e di vietare l’invio di dati riservati quando il contratto di servizio non garantisce la loro non-riutilizzazione. Per un privato, ciò significa non incollare mai un estratto conto bancario, un documento d’identità o una cartella clinica in un chatbot di uso pubblico.
Raccomandiamo di verificare sistematicamente le condizioni d’uso del servizio di IA. Due punti da controllare: la clausola di riutilizzo dei prompt per l’addestramento e la localizzazione dei server di trattamento. Una guida completa su la sicurezza su Wiki Dark dettaglia i meccanismi di esfiltrazione legati agli strumenti conversazionali.
Hosting locale, cloud europeo o servizio pubblico: decidere in base alla sensibilità dei dati
La CNIL distingue ora tre livelli di hosting per gli strumenti di IA, e questo ragionamento si applica a qualsiasi applicazione che tratta dati personali. La scelta del modo di hosting condiziona direttamente il livello di protezione della privacy.
- Distribuzione locale (on-premise): i dati non lasciano mai l’infrastruttura dell’utente o dell’azienda. È l’opzione più protettiva per informazioni sensibili (salute, finanze, dati HR).
- Cloud europeo regolato da un contratto di subappalto RGPD: il fornitore si impegna contrattualmente sulla localizzazione, la durata di conservazione e l’assenza di trasferimenti al di fuori dell’UE. È il compromesso più comune per le PMI.
- Servizio pubblico (ChatGPT, Gemini, Copilot in versione gratuita): le garanzie variano a seconda degli aggiornamenti delle condizioni generali. I trasferimenti al di fuori dell’Unione europea sono frequenti e raramente segnalati in modo esplicito.
Prima di affidare dati personali a un servizio online, la domanda pertinente non è più “questo servizio è sicuro?” ma “dove sono memorizzati i miei dati e chi può accedervi contrattualmente?”. Il RGPD conferisce agli utenti il diritto di ottenere queste informazioni da qualsiasi titolare del trattamento.
Aumento delle esfiltrazioni di dati: cosa rivela il Panorama ANSSI 2025
Il Panorama della minaccia informatica 2025 pubblicato dall’ANSSI segnala un forte aumento degli incidenti legati all’esfiltrazione di dati rispetto al 2024, mentre il volume globale di incidenti confermati rimane praticamente stabile. Questo scostamento ha un’implicazione diretta: gli aggressori mirano maggiormente al furto di dati piuttosto che al blocco dei sistemi.
Per un privato, ciò cambia la strategia di difesa. Un ransomware si rileva immediatamente (file crittografati, richiesta di riscatto). Un’esfiltrazione silenziosa può passare inosservata per mesi. I dati rubati alimentano poi campagne di phishing personalizzato o usurpazioni di identità.
Osserviamo che le misure preventive più efficaci contro l’esfiltrazione sono raramente quelle messe in evidenza nelle guide per il grande pubblico:
- Attivare le notifiche di accesso su ogni servizio critico (messaggistica, banca, cloud). Un accesso da un dispositivo o una localizzazione insoliti deve attivare un allerta.
- Segmentare i propri indirizzi email: un indirizzo per i servizi finanziari, uno per i social media, uno per le iscrizioni occasionali. In caso di fuga, la superficie di esposizione rimane limitata a un solo perimetro.
- Controllare regolarmente se le proprie credenziali compaiono in database compromessi, tramite servizi come Have I Been Pwned.
Privacy sul web: oltre il VPN
Il VPN cripta il traffico tra il tuo dispositivo e un server remoto. Maschera il tuo indirizzo IP rispetto ai siti visitati. Tuttavia, non protegge contro il fingerprinting (impronta digitale del browser), il tracciamento tramite cookie di terze parti, né la raccolta di dati da parte delle applicazioni installate sul tuo telefono.
Un VPN associato a un browser che non è configurato per bloccare i tracker lascia un’impronta quasi altrettanto identificabile quanto una navigazione senza VPN. La protezione della privacy online si basa su un insieme di impostazioni complementari: disattivazione dei cookie di terze parti, blocco del fingerprinting e restrizione delle autorizzazioni delle applicazioni.
Per quanto riguarda il telefono, la CNIL ricorda che ogni applicazione che richiede accesso al GPS, al microfono o ai contatti deve giustificare questo accesso con uno scopo preciso. Rifiutare le autorizzazioni non necessarie riduce la quantità di dati personali raccolti in background, spesso senza che l’utente ne sia consapevole.
Diritti RGPD: leve concrete ancora poco utilizzate
Il diritto di accesso, il diritto all’eliminazione e il diritto alla portabilità esistono dal 2018. Il loro utilizzo rimane marginale tra i privati. Esercitare il proprio diritto di accesso presso un servizio consente di visualizzare esattamente quali informazioni sono detenute e con chi sono state condivise.
Il diritto di opposizione al profiling, previsto dall’articolo 21 del RGPD, consente a qualsiasi utente di rifiutare che i propri dati vengano utilizzati per costruire un profilo pubblicitario o comportamentale. Questo diritto si esercita con semplice richiesta scritta al titolare del trattamento, che ha un mese di tempo per rispondere. In caso di mancata risposta, la CNIL può essere contattata direttamente online.
La sicurezza dei dati e la protezione della privacy online non si riducono più a una semplice igiene digitale di base. Il quadro normativo offre strumenti giuridici precisi, e le minacce attuali richiedono di combinarli con scelte tecniche informate su hosting, crittografia e segmentazione delle identità digitali.
