La tua AI sa troppo: l’AI confidenziale non è più opzionale

I modelli generativi stanno passando dai laboratori di ricerca ai processi aziendali regolari — e una debolezza strutturale silenziosa sta crescendo proprio accanto a loro.

Prendiamo questo esempio: Microsoft Copilot ha accesso a quasi tre milioni di record sensibili per organizzazione nel primo semestre del 2025. Tali numeri significano che c’è un problema sistemico su come si approccia l’AI. Le aziende hanno costruito potenti motori per l’elaborazione dei dati, ma non hanno messo in atto sufficienti protezioni per i dati che utilizzano.

I grandi modelli linguistici e gli strumenti di assistenza spesso elaborano documenti, messaggi e database senza alcuna protezione basata su hardware. Questa lacuna, che rivela i “dati in uso” durante l’inferenza, ora minaccia direttamente le aziende che danno priorità alla privacy, alla conformità e alla fiducia dei clienti.

È qui che entra in gioco l’elaborazione confidenziale. Il processo utilizza ambienti di esecuzione attendibili (TEEs) assistiti da hardware per mantenere il codice e i dati al sicuro mentre sono in uso. Questi TEEs sono aree di memoria isolate protette dal sistema operativo host e dall’ipervisore.

Questa protezione cambia il modello di sicurezza, consentendo di elaborare segreti senza esporli al resto dello stack. Microsoft e altri provider di servizi cloud offrono ora inferenza privata e macchine virtuali (VM) che integrano l’inferenza all’interno dei TEEs.

Perché la privacy è importante per le regole e la governance

La crittografia convenzionale di solito protegge i dati che sono fermi o in transito, con i dati che sono attivamente elaborati che non godono della stessa protezione, anche se è lì che l’AI generativa interagisce di più con gli input privati.

All’inizio dell’anno, uno studio condotto da ricercatori della Cornell University su Unità di calcolo attendibili ha rivelato come l’isolamento e l’attestazione supportati da hardware possano aiutare a ridurre la necessità di fiducia tra le parti. Inoltre, gli analisti hanno stimato che il valore dell’infrastruttura di calcolo privata era di oltre 13 miliardi di dollari, con previsioni che indicano una crescita ancora più rapida fino a 350,04 miliardi di dollari entro il 2032.

In poche parole, più persone stanno utilizzando la tecnologia, portando i regolatori e i team di conformità a mostrare più interesse per i sistemi di AI che mai. Di conseguenza, un framework che garantisce che i dati sensibili non lascino mai l’esecuzione protetta durante le query del modello renderà le tracce di audit molto più facili da seguire, riducendo il rischio di problemi legali.

Tuttavia, se le protezioni di runtime non diventano la norma, quella differenza potrebbe far sì che i regolatori impieghino più tempo ad accettare l’AI in campi strettamente regolamentati.

Situazioni reali in cui la privacy è fondamentale

Ci sono diverse scenari aziendali che mostrano perché l’AI confidenziale non è un lusso, ma qualcosa che ogni organizzazione deve avere.

Ad esempio, nel settore finanziario, ciò potrebbe applicarsi a istituzioni che devono eseguire modelli di rilevamento delle frodi e di valutazione del rischio contro la storia delle transazioni dei clienti senza dare agli operatori del modello esterni l’accesso ai record grezzi.

Nel settore sanitario, potrebbero esserci situazioni in cui i modelli diagnostici devono operare su dati clinici protetti mantenendo la privacy dei pazienti e rispettando gli obblighi regolamentari stretti. Inoltre, i governi e le agenzie di difesa possono richiedere l’esecuzione attestata per eseguire carichi di lavoro sensibili su cloud di terze parti.

Ci sono anche pipeline di ricerca che combinano set di dati da diverse fonti, in particolare la ricerca sanitaria federata che può procedere solo se ogni partecipante è convinto che i propri input rimarranno illeggibili durante il calcolo.

C’è anche la ricerca accademica e industriale che continua a documentare gli approcci di apprendimento automatico che preservano la privacy per i flussi di lavoro sanitari che si abbinano bene all’esecuzione confidenziale.

Come l’esecuzione confidenziale protegge effettivamente i dati in uso

L’esecuzione confidenziale dipende da due sistemi collegati: l’isolamento hardware e l’attestazione. L’isolamento hardware impedisce al software esterno all’enclave di leggere la memoria dell’enclave.

L’attestazione è un modo verificabile per controllare il codice in esecuzione all’interno dell’enclave e che l’enclave stesso sia autentico. Queste funzionalità consentono al proprietario del modello di dimostrare che un modello funzionerà con input in un ambiente verificato e sigillato e che gli output verranno rilasciati solo dopo che le regole dell’enclave siano state seguite.

Il risultato è un contratto tra i proprietari dei dati, gli operatori del modello e i provider di servizi cloud che rende meno probabile che abbiano bisogno di soluzioni legali avversarie o di escamotage politici fragili.

Limiti e ostacoli realistici

Naturalmente, l’adozione dell’AI confidenziale presenta le sue sfide. L’attestazione e l’hardware che possono funzionare all’interno degli enclavi rendono la distribuzione più complessa, dato che c’è un gap nell’ecosistema tra gli strumenti di servizio del modello tradizionali e gli ambienti di runtime consapevoli degli enclavi. Alcuni ambienti di runtime degli enclavi impongono sovraccarichi pesanti, costando fino a dieci volte di più per eseguire, e potrebbero esserci compromessi in termini di prestazioni a seconda del carico di lavoro.

Inoltre, i costi sono più alti rispetto a quelli dell’inferenza cloud standard, il che potrebbe rendere difficile per le piccole imprese capire i numeri. C’è anche il problema degli standard di interoperabilità in evoluzione, che potrebbe lasciare alcuni early adopter a rischio di essere bloccati con i propri fornitori.

Tuttavia, questi problemi sono solo problemi di ingegneria transitori che possono essere risolti. I provider di servizi cloud e i produttori di chip continuano a lanciare nuovi prodotti, e i progetti software stanno creando middleware che collega gli attuali stack di apprendimento automatico e i TEEs.

Se mai, le aziende che pensano che la crittografia standard e i controlli di accesso siano sufficienti sono a maggior rischio perché saranno vulnerabili quando i modelli elaboreranno grandi quantità di record sensibili.

Un appello per cambiare le pratiche aziendali

I team di gestione del rischio devono cambiare le regole per l’acquisto e l’utilizzo dell’AI. La classificazione dei dati e la governance sono ancora importanti, ma devono essere supportate da garanzie tecniche quando sono in uso.

I contratti con i fornitori di modelli di terze parti dovrebbero richiedere loro di dimostrare l’attestazione. I team di approvvigionamento dovrebbero chiedere baseline di prestazioni e opzioni auditate per l’esecuzione confidenziale. Gli esercizi di red team dovrebbero includere test consapevoli degli enclavi come parte del loro lavoro. Questi passaggi spostano la responsabilità da impegni ad hoc a controlli che possono essere verificati.

Inoltre, i gruppi di politica pubblica e di standard dell’industria devono stabilire aspettative. Gli auditor, gli ufficiali di conformità e i regolatori dovrebbero richiedere salvaguardie di runtime verificabili per categorie di carichi di lavoro che elaborano dati regolamentati.

Queste regole ridurranno il numero di violazioni che si verificheranno in seguito e daranno al settore la libertà di innovare senza preoccuparsi di problemi legali. Ciò consentirà ai flussi di lavoro del settore finanziario, sanitario e pubblico di utilizzare nuovi modelli senza alcun ostacolo regolamentare.

La riservatezza come standard

L’AI generativa è diventata uno strumento utile per le aziende che trattano informazioni private. Questa realtà significa che l’esecuzione confidenziale non è più solo un’opzione di nicchia; deve essere una pratica standard per qualsiasi sistema di AI che gestisce dati regolamentati, proprietari o personali.

Ci sono già strumenti disponibili, come i TEEs, i servizi di attestazione e le offerte di VM private, e l’economia sta migliorando molto rapidamente. L’altra opzione è mantenere gli asset sensibili aperti a perdite di inferenza, il che potrebbe avere effetti legali, finanziari e di reputazione che le aziende non possono più permettersi. Ad esempio, secondo il rapporto IBM 2025 sul costo delle violazioni dei dati, il costo medio globale di una violazione ha raggiunto quasi 5 milioni di dollari, con regolamenti come il GDPR che impone multe fino a 20 milioni di euro per violazioni gravi.

Le aziende che danno priorità alla privacy nella governance dell’AI avranno un vantaggio: potranno eseguire test più completi e conformi e utilizzare modelli in aree in cui l’innovazione esterna era un tempo off-limits. In breve, proteggere i dati mentre i modelli sono in esecuzione non è un ostacolo all’adozione; è la base per un’AI responsabile e scalabile nel business e nel governo.