AIIntelligenza artificiale

Assistente AI collegato ai sistemi aziendali: permessi, registri e dati senza falle

Collegato a posta, archivi e gestionale, un assistente AI trova tutto ciò che i permessi lasciano aperto. Le regole su accessi, registri e percorso dei dati da fissare prima dell’avvio.

Redazione Strategic 16 settembre 2026 8 min di lettura

Copertina: «Un assistente AI nei sistemi, senza falle», Intelligenza artificiale

Un assistente di intelligenza artificiale si collega ai sistemi aziendali senza aprire falle se, prima dell’avvio, si decidono tre cose: con quali permessi legge i dati, che cosa resta registrato di ogni domanda e di ogni azione, e per quali strade passano le informazioni. Il modello scelto conta meno di quanto si creda. Nella maggior parte dei casi i problemi nascono dai collegamenti: una delega su una casella condivisa mai revocata, un’utenza tecnica con troppi privilegi, un registro che nessuno ha deciso chi possa leggere.

Perché un assistente collegato ai sistemi cambia il rischio?

Finché un assistente AI lavora da solo, riceve soltanto ciò che la persona gli incolla. Quando viene collegato alla posta, agli archivi documentali, al CRM o al gestionale, cerca da sé. È proprio questo il suo valore, ed è anche la ragione per cui ogni disordine nei permessi diventa visibile.

La documentazione di Microsoft sul suo assistente per l’ufficio lo dice con chiarezza: il sistema mostra soltanto i dati aziendali che ciascun utente ha almeno il permesso di visualizzare, ed è quindi importante usare bene i modelli di autorizzazione già esistenti. Tradotto: l’assistente eredita esattamente i permessi che ci sono, compresi quelli sbagliati.

Uno scenario tipico. Dopo la fusione tra due società del gruppo, gli utenti della società incorporata sono stati inseriti in blocco in un gruppo «Tutti», che aveva accesso alla casella condivisa dell’ufficio acquisti. Nessuno ha rivisto le deleghe: due ex responsabili, passati ad altri incarichi, conservano l’accesso a quella casella da tre anni. Il giorno in cui l’assistente viene collegato alla posta con i permessi di ciascun utente, una domanda generica sulle condizioni di un fornitore restituisce estratti di offerte riservate a persone che non dovrebbero vederle. Il sistema ha rispettato le autorizzazioni alla lettera: erano le autorizzazioni a essere sbagliate.

Con quali permessi deve lavorare l’assistente?

La regola è il minimo privilegio: ogni componente riceve solo gli accessi indispensabili al suo compito, e nient’altro. Nella pratica le architetture possibili sono due.

L’assistente agisce con l’identità di chi chiede. Ogni ricerca passa dai controlli del sistema d’origine: se la persona non può aprire un documento, l’assistente non lo legge.
L’assistente usa un’utenza tecnica unica e filtra da solo. Vede tutto e decide che cosa mostrare. È più semplice da costruire, ma la protezione dipende da un solo filtro software.

La prima strada è quella indicata dall’OWASP, la comunità internazionale che pubblica linee guida sulla sicurezza delle applicazioni: nella classifica 2025 dei rischi delle applicazioni basate su modelli linguistici raccomanda di eseguire le estensioni nel contesto dell’utente e di lasciare i controlli di autorizzazione ai sistemi a valle, senza affidarsi al giudizio del modello. Anche il Model Context Protocol (MCP), lo standard sempre più usato per collegare gli assistenti agli strumenti aziendali, vieta ai server di accettare credenziali che non siano state emesse espressamente per loro.

Per partire, questa tabella aiuta a fissare i livelli di accesso.

Sistema	Accesso iniziale consigliato	Da decidere prima dell’avvio
Archivi e cartelle condivise	Sola lettura, con i permessi di chi chiede	Pulizia delle condivisioni aperte a tutti
Posta elettronica	Solo la casella di chi chiede	Caselle condivise e deleghe
CRM	Lettura di anagrafiche e attività	Note riservate e trattative in corso
Gestionale ed ERP	Viste in sola lettura preparate dall’IT	Se e dove consentire la scrittura
Database	Utenza che può solo leggere viste definite	Nessuna utenza amministrativa, in nessun caso

Prima dell’avvio conviene anche una ricognizione: deleghe sulle caselle condivise, gruppi ereditati da fusioni e riorganizzazioni, collegamenti aperti a «chiunque abbia il link», account di persone che hanno lasciato l’azienda o cambiato ruolo. Correggere i permessi alla fonte protegge anche tutti gli altri strumenti che li usano, mentre un filtro aggiunto all’assistente protegge solo l’assistente.

Che cosa deve restare registrato?

Il registro permette di rispondere, a distanza di settimane, a domande molto concrete: chi ha chiesto che cosa, quali documenti sono stati consultati, quale risposta è stata data, quali azioni sono state compiute e con quale identità. Senza questa traccia non si ricostruisce un incidente, esattamente come accade con i file di log dei sistemi tradizionali, e non si capisce perché una risposta era sbagliata.

Per alcuni sistemi il registro è un obbligo. L’AI Act, il regolamento europeo sull’intelligenza artificiale, chiede a chi utilizza sistemi classificati ad alto rischio di conservare i log generati automaticamente per almeno sei mesi, salvo norme diverse. Dopo le modifiche introdotte dal Regolamento (UE) 2026/1744, gli obblighi per i sistemi ad alto rischio elencati nell’allegato III si applicano dal 2 dicembre 2027. Per gli altri assistenti non esiste un obbligo specifico, ma le ragioni pratiche restano tutte.

C’è però un limite da rispettare. Un registro delle domande contiene dati personali e racconta molto del lavoro di chi le fa. In Italia il Garante per la protezione dei dati personali, occupandosi dei metadati della posta elettronica dei dipendenti, ha indicato una conservazione di norma limitata a pochi giorni e, a titolo orientativo, non superiore a 21. Una raccolta generalizzata più lunga può comportare un controllo a distanza dell’attività e richiede le garanzie dell’articolo 4 dello Statuto dei lavoratori: un accordo sindacale oppure l’autorizzazione dell’Ispettorato. Il caso è diverso, ma il criterio è utile anche per gli assistenti AI. Per le imprese sammarinesi il quadro è diverso e va valutato caso per caso.

Per questo il registro si progetta con il responsabile della protezione dei dati (DPO) e con il legale:

finalità scritte, come sicurezza, qualità delle risposte e verifiche, e mai la valutazione delle persone;
accesso riservato a pochi ruoli, a loro volta tracciati;
tempi di conservazione definiti e motivati;
contenuti ridotti al necessario, per esempio i riferimenti ai documenti consultati invece del loro testo integrale.

Per quali strade passano i dati?

Ogni domanda viaggia: dall’utente al servizio, dal servizio al modello, a volte verso altri subfornitori. Prima dell’avvio vanno messi per iscritto il luogo di elaborazione, l’elenco dei subfornitori, i tempi di conservazione di domande e risposte e l’eventuale uso dei contenuti per addestrare modelli.

Un esempio mostra perché i dettagli contano. Microsoft dichiara che domande, risposte e dati letti dal suo assistente non servono ad addestrare i modelli di base e che il traffico degli utenti dell’Unione europea resta nel suo confine dei dati europeo. La stessa pagina, aggiornata nell’agosto 2026, precisa però che i modelli forniti da Anthropic come subfornitore sono al momento esclusi da quel confine. Dentro lo stesso prodotto, quindi, una scelta di configurazione cambia la strada che fanno i dati: va presa consapevolmente e annotata.

Sul piano delle regole, il fornitore che tratta dati personali per conto dell’azienda va designato responsabile del trattamento con un contratto conforme all’articolo 28 del GDPR; le misure di sicurezza si valutano secondo l’articolo 32; se il trattamento può presentare un rischio elevato, serve una valutazione d’impatto (articolo 35).

Che cosa si prova prima dell’avvio?

Il collaudo di un assistente collegato ai sistemi non si limita a controllare che le risposte siano buone. Servono prove mirate.

Prove per ruolo. Con utenze di prova di reparti diversi si fanno domande che non dovrebbero avere risposta: il magazzino chiede delle retribuzioni, un commerciale chiede i contratti di un’altra area. La risposta corretta è che l’informazione non è disponibile.
Istruzioni nascoste. Si inseriscono in un’email o in un documento frasi rivolte all’assistente, per verificare che non le esegua. Non è un’ipotesi di scuola: nel giugno 2025 Microsoft ha corretto una vulnerabilità del suo assistente (CVE-2025-32711, valutata 9,3 su 10 dalla stessa Microsoft) che consentiva di sottrarre dati con una sola email costruita ad arte, senza alcuna azione dell’utente.
Revoca. Si disattiva un’utenza e si controlla che l’assistente smetta subito di leggere per suo conto.
Interruttore. Si verifica di poter scollegare una singola fonte senza fermare l’intero servizio.
Ricostruzione. Si prende una domanda della settimana precedente e si controlla che il registro permetta di risalire a fonti, risposta e identità.

Chi decide, e chi controlla?

In un’organizzazione con più reparti il progetto regge se le responsabilità sono chiare fin dall’inizio.

Decisione	Chi decide	Chi verifica
Quali fonti collegare	Responsabile dell’area che le produce	IT e sicurezza
Livelli di accesso per ruolo	Responsabile di area, con l’IT	Collaudo con utenze di prova
Contenuto e durata dei registri	Titolare del trattamento, con DPO e legale	Revisione periodica
Fornitori e luogo dei dati	Direzione, su proposta dell’IT	Legale e DPO
Sospensione in caso di anomalia	Responsabile della sicurezza	Direzione, a posteriori

In sintesi

Un assistente collegato ai sistemi rende visibile ogni permesso troppo largo: la pulizia delle condivisioni viene prima di tutto.
L’architettura più solida fa lavorare l’assistente con l’identità di chi chiede e lascia i controlli ai sistemi d’origine.
Il registro serve alla sicurezza e alla qualità, ma contiene dati personali: finalità, accessi e durata si decidono con DPO e legale.
La strada dei dati, subfornitori compresi, va scritta e ricontrollata a ogni cambio di configurazione.
Il collaudo comprende prove per ruolo, istruzioni nascoste, revoca degli accessi e ricostruzione dal registro.

Domande frequenti

L’assistente può mostrare documenti che la persona non potrebbe aprire?

Dipende dall’architettura. Se l’assistente lavora con l’identità di chi chiede, no: valgono i permessi del sistema d’origine. Se usa un’utenza tecnica con accesso ampio, la protezione dipende dal filtro del software, ed è la ragione per cui questa soluzione richiede prove più severe.

Per quanto tempo si conservano i registri delle domande?

Non esiste un termine unico. Si fissa in base alle finalità, alle norme applicabili e agli eventuali accordi con le rappresentanze dei lavoratori, con il parere del responsabile della protezione dei dati. Per i sistemi ad alto rischio l’AI Act indica almeno sei mesi.

Mettere ordine nei permessi, nei registri e nei fornitori prima che un assistente legga i dati aziendali è il lavoro della nostra area sicurezza e governance dell’intelligenza artificiale. Quando l’obiettivo è rendere consultabili procedure e documenti con una domanda, lo stesso metodo è alla base del Company Brain per organizzazioni.

Fonti

Fonti consultate il 16 settembre 2026.

ApprofondisciIntelligenza artificiale per le aziendeL’intelligenza artificiale portata dentro i sistemi che l’azienda usa già: si scelgono i processi giusti, si collegano i dati, si decidono prima sicurezza e regole.