Dati e AI: il richiamo del Garante alla protezione fin dalla progettazione

Il Garante, nella Relazione 2025, mette in guardia dal rischio di raccolta massiva di dati dal web per l’addestramento dell’AI generativa, in un anno che registra migliaia di violazioni e 37,7 milioni di euro di sanzioni GDPR. La NIS2 (d.lgs. 138/2024) fissa al 31 ottobre 2026 il termine per le misure di sicurezza di base. Certiblok, piattaforma italiana di Document Relationship Management, risponde applicando il principio privacy by design: cifratura, frammentazione e distribuzione su cloud decentralizzato rendono i documenti illeggibili a crawler e bot di scraping, con audit room virtuali per dimostrare la conformità in tempo reale. C’è un passaggio del documento che merita l’attenzione di chiunque gestisca documenti aziendali. L’Autorità richiama sviluppatori di sistemi di intelligenza artificiale e operatori sui “rischi derivanti dalla raccolta massiva di dati personali dal web per finalità di addestramento dei modelli di AI generativa”, rinviando alle indicazioni della propria nota informativa sul web scraping. Tradotto in termini operativi: tutto ciò che è esposto in rete, dalle pagine web agli archivi e ai portali documentali non adeguatamente protetti, può finire nei dataset di addestramento di qualche modello, fuori da ogni controllo del titolare.

Numeri e compliance

I numeri della stessa Relazione completano il quadro: 2.415 violazioni di dati personali notificate in un anno, per oltre tre quarti da soggetti privati, e 37,7 milioni di euro di sanzioni riscosse, in crescita di oltre il 50% sull’esercizio precedente. Pesano i provvedimenti in ambito sanitario, dove attacchi ransomware con esfiltrazioni fino a 650 gigabyte hanno portato a sanzioni motivate anche dalla violazione del principio di protezione dei dati fin dalla progettazione (privacy by design), l’articolo 25 del GDPR. La conformità inoltre (ed è il punto centrale) non si ottiene a valle, con policy e informative, ma a monte, scegliendo architetture che rendano i dati inaccessibili a chi non è autorizzato, bot di scraping compresi. Una direzione confermata dalla direttiva NIS2, recepita con il d.lgs. 138/2024, che fissa al 31 ottobre 2026 il termine entro cui i soggetti censiti dall’ACN devono rendere operative le misure di sicurezza di base, con evidenze documentali alla mano.

Dentro la piattaforma Certiblok

Su questo terreno opera Certiblok, piattaforma italiana di Document Relationship Management che applica alla gestione documentale la logica della sicurezza by design, la stessa richiamata dal Garante. Ogni file caricato viene cifrato con algoritmo AES-256, frammentato in 80 parti e distribuito su una rete di 26.000 nodi governata da blockchain: non esiste un server centrale da violare né un archivio leggibile da un crawler, e il documento è ricostruibile soltanto dal legittimo titolare e da chi ha ricevuto un permesso esplicito, tracciato e revocabile in qualsiasi momento. Attorno a questo nucleo la piattaforma costruisce gli strumenti del lavoro quotidiano: condivisione controllata con clienti, fornitori e consulenti, monitoraggio delle scadenze di certificati e documenti, audit room virtuali in cui gli enti di certificazione verificano la documentazione in tempo reale e generano report automatici.
I casi d’uso attraversano settori quali: manifatturiero, con certificazioni e disegni tecnici che restano allineati all’ultima revisione approvata; studi professionali e strutture sanitarie private, dove i fascicoli viaggiano cifrati anziché come allegati di posta elettronica; filiere dove il fornitore dimostra la propria conformità aprendo una stanza di verifica anziché duplicando archivi. Con un beneficio ulteriore: ogni operazione resta notarizzata, e in caso di contestazione l’azienda dispone di una prova di integrità e data certa del documento. In definitiva Certiblok dimostra che sicurezza by design e semplicità operativa possono convivere, offrendo alle aziende italiane uno strumento concreto per essere conformi e al sicuro.