AI Security: l'AI è già nei vostri uffici. Sapete cosa ci finisce dentro? /secAI
Una giornata per tutto il personale: quali dati non dare all'AI, come riconoscere phishing e deepfake fatti con l'AI, e una policy aziendale scritta insieme, pronta da adottare.
Tre persone su quattro incollano dati di lavoro nei chatbot. Quasi sempre da account personali.
- 25 mln $
persi da Arup in una sola videochiamata. Il direttore finanziario e i colleghi sullo schermo erano deepfake.
Fortune, maggio 2024 ↗ - 54%
di clic sulle email di phishing scritte dall'AI: quanto quelle degli esperti, più di quattro volte quelle generiche.
Heiding, Schneier e altri, 2024 ↗
Il rischio non è l'AI. È non sapere dove finiscono i dati.
Che cos'è la sicurezza nell'uso dell'AI, e cos'è la shadow AI
La sicurezza nell'uso dell'AI è l'insieme di regole e abitudini che evitano che l'intelligenza artificiale diventi una via d'uscita per i dati aziendali, o una porta d'ingresso per le truffe. Comprende la shadow AI, cioè gli strumenti usati senza che l'azienda lo sappia, e gli attacchi costruiti con l'AI, come phishing e deepfake.
- contratto incollato
- account personale
- estensione sconosciuta
- «urgente» dal CEO
- bonifico fatto
- ???
- 1
Dati
Cosa non si incolla mai.
- 2
Strumenti
Quali sono approvati, e perché.
- 3
Shadow AI
Cosa si usa già, senza saperlo.
mappa-rischi.md - 4
Truffe
Phishing e deepfake, riconosciuti.
- 5
Regole
GDPR e AI Act, in pratica.
- 6
Policy
Permesso, da chiedere, vietato.
policy-uso-ai.md
Stessa email «urgente». Una persona paga, l'altra la segnala.
«Sono il CEO. Serve un bonifico riservato entro oggi, ti chiamo in video fra cinque minuti.»
- Urgenza e segretezza prese per buone
- In videochiamata «è proprio lui»
- Bonifico fatto, nessuna verifica
- Lo si scopre una settimana dopo
- Urgenza più segreto: segnale d'allarme
- Verifica su un canale già noto
- Nessun pagamento senza doppio controllo
- Segnalata subito, come dice la policy
Cosa ci guadagna l'azienda
- 1
policy pronta da adottare
Scritta in aula con chi la dovrà seguire: cosa è permesso, cosa va chiesto, cosa è vietato.
- 3
rischi che tutti riconoscono
Dati che escono, strumenti nell'ombra, truffe fatte con l'AI. Prima che costino.
- 8 ore
per tutto il personale
In sede o a distanza, senza prerequisiti tecnici. Gli stessi criteri per tutti, dal giorno dopo.
Una giornata. Quattro moduli. Nessun allarmismo.
Esempi veri, prove pratiche, e alla fine regole che si possono seguire davvero. Pensata per chi non è tecnico.
- M1
Dove finiscono i dati
- Cosa succede a ciò che si incolla in un chatbot
- Account personali, aziendali, a pagamento: le differenze
- Dati personali, riservati, pubblici: come distinguerli
- Esercizi sui documenti di ogni giorno
Si esce concosa non incollare
- M2
Shadow AI
- Estensioni, app e strumenti usati senza dirlo
- La mappa di cosa si usa già in azienda
- Strumenti approvati: come sceglierli
Si esce conla mappa dei rischi
- M3
Phishing e deepfake
- Email perfette scritte dall'AI
- Voci clonate e videochiamate false
- I segnali che non cambiano: urgenza, segreto, eccezione
- Prove pratiche: riconoscere il falso
Si esce conl'occhio allenato
- M4
Regole e policy
- GDPR e AI Act: quello che serve sapere
- Permesso, da chiedere, vietato: si decide insieme
- Cosa fare se qualcosa va storto
Si esce conla policy pronta
Alla fine avete una policy. Scritta da chi la deve seguire.
Si scrive in aula, con le persone che la useranno: è per questo che poi la rispettano. Insieme alla mappa dei rischi di ciò che in azienda si usa già.
Sugli strumenti che il personale usa davvero
Si guarda cosa succede ai dati in ognuno, versione gratuita contro versione aziendale.
- ChatGPT
- Microsoft Copilot
- Gemini
- Claude
- DeepSeek
- Perplexity
È per voi se…
- Il personale usa l'AI, e non sapete con quali dati
- Non avete ancora una policy d'uso dell'AI
- Gestite pagamenti, dati di clienti o documenti riservati
- Volete prevenire, non rincorrere un incidente
- Non è per voi se: Cercate un penetration test o un assessment tecnico
- Non è per voi se: Cercate una consulenza legale sul GDPR
Chi insegna
Ciao, sono Elia 👋
Costruisco prodotti, faccio consulenza e formo team.
In aula porto quello che uso ogni giorno: lo stesso metodo con cui sviluppo i miei prodotti e affianco le aziende, applicato ai vostri casi veri.
Chi sono ↗Costa meno di quanto pensate
Preventivo scritto dopo una call di mezz'ora. Anche per gruppi ampi, senza sorprese.
Deducibile
La formazione del personale è un costo deducibile per l'impresa.
Senza IVA
Regime forfettario: per banche, assicurazioni e sanità è un risparmio vero.
Fondimpresa
Per le aziende aderenti, finanziabile con il Conto Formazione.
Domande frequenti
Aggiornato al
Cos'è la shadow AI?
È l'uso di strumenti di intelligenza artificiale che l'azienda non conosce e non ha approvato: chatbot gratuiti, estensioni del browser, app sul telefono. Il rischio è che dati aziendali escano senza che nessuno lo sappia.
Quali dati non bisogna mai dare a ChatGPT?
Dati personali di clienti e dipendenti, contratti, listini riservati, codice sorgente, credenziali, tutto ciò che è coperto da riservatezza. Soprattutto negli account gratuiti o personali. Il corso insegna a distinguere, caso per caso.
Come si riconosce un deepfake?
Sempre meno dall'immagine o dalla voce, che ormai sono credibili. Si riconosce dal contesto: urgenza, segretezza, una richiesta fuori dalle regole. La difesa è una verifica su un canale già noto, prevista dalla policy.
Ci lasciate una policy d'uso dell'AI?
Sì: si scrive in aula, insieme alle persone che la seguiranno. Dice cosa è permesso, cosa va chiesto e cosa è vietato, e si può adottare dal giorno dopo.
Sostituisce un assessment di sicurezza?
No. Forma le persone e lascia una policy, ma non verifica sistemi, reti o codice. Se serve una verifica tecnica, lavoriamo con un partner specializzato.
Serve essere tecnici?
No. È pensato per tutto il personale: chi usa l'AI per scrivere, riassumere, cercare. Nessun prerequisito.
In sede o a distanza? Per quante persone?
Tutte e due le formule. Una giornata, anche per gruppi ampi.
Quanto costa?
Dipende dal numero di persone e dal formato. Dopo una call di mezz'ora ricevete un preventivo scritto. La formazione è deducibile, la fattura è senza IVA e, per le aziende aderenti, finanziabile con Fondimpresa.