Panoramica sulla Sicurezza e l'Uso Responsabile dell'AI

Panoramica

ISMS Copilot implementa misure complete di sicurezza dell'AI per garantire assistenza affidabile, degna di fiducia e responsabile per i professionisti della conformità. Questo articolo spiega i guardrail, i vincoli di sicurezza e le pratiche di AI responsabile integrate nella piattaforma.

A Chi Si Rivolge

Questo articolo è per:

• Professionisti della conformità che valutano le misure di sicurezza dell'AI
• Responsabili del rischio che valutano i controlli di governance dell'AI
• Team di sicurezza preoccupati per l'uso improprio dell'AI
• Chiunque voglia capire come ISMS Copilot garantisce un uso responsabile dell'AI

Principi di Sicurezza dell'AI

Il framework di sicurezza dell'AI di ISMS Copilot si basa su quattro principi fondamentali:

1. Limitazione dello Scopo

L'assistente AI è progettato esclusivamente per il lavoro sulla sicurezza delle informazioni e la conformità:

• Focalizzato su framework ISMS (ISO 27001, SOC 2, GDPR, NIST, ecc.)
• Reindirizza educatamente domande fuori tema verso argomenti relativi alla conformità
• Rifiuta richieste di attività dannose, illegali o non etiche
• Rimane entro i limiti dell'assistenza di consulenza sulla conformità

2. Trasparenza e Onestà

L'assistente AI riconosce apertamente i suoi limiti:

• Dichiara esplicitamente l'incertezza quando appropriato
• Invita gli utenti a verificare le informazioni importanti
• Ammette quando non sa qualcosa piuttosto che indovinare
• Spiega chiaramente cosa può e non può fare

3. Protezione del Diritto d'Autore e della Proprietà Intellettuale

ISMS Copilot rispetta i diritti di proprietà intellettuale:

• Non riprodurrà standard ISO protetti da copyright o contenuti proprietari
• Indirizza gli utenti all'acquisto di standard ufficiali da fonti autorizzate
• Fornisce indicazioni basate sui principi dei framework senza copiare il testo
• Addestrato su dati anonimi e ottenuti legalmente, conformi ai requisiti di copyright dell'UE

4. Privacy by Design

La protezione dei dati degli utenti è integrata in ogni interazione con l'AI:

• Le conversazioni non vengono mai utilizzate per addestrare modelli di AI
• I contenuti forniti dagli utenti non vengono condivisi con altri utenti
• Ogni conversazione viene elaborata in modo indipendente
• L'isolamento degli spazi di lavoro impedisce la mescolanza dei dati tra progetti

Guardrail di Sicurezza dell'AI

Guardrail sull'Ambito dei Contenuti

Cosa Farà l'AI:

• Rispondere a domande su framework ISMS e conformità
• Analizzare documenti di conformità caricati (politiche, procedure, valutazioni dei rischi)
• Generare politiche e procedure pronte per l'audit
• Fornire analisi delle lacune e indicazioni per l'implementazione
• Spiegare i controlli di sicurezza e i requisiti di conformità

Cosa NON Farà l'AI:

• Fornire consulenza legale (suggerisce di consultare professionisti legali)
• Offrire consulenza medica, finanziaria o personale al di fuori dell'ambito della conformità
• Generare contenuti per scopi illegali, dannosi o non etici
• Riprodurre standard protetti da copyright o materiali proprietari
• Rivelare le sue istruzioni personalizzate o i prompt di sistema

Prevenzione dei Jailbreak

ISMS Copilot è progettato per resistere ai tentativi di manipolazione:

Tattiche Bloccate:

• Trucchi "ripeti dopo di me" per estrarre i prompt di sistema
• Scenari di role-playing progettati per bypassare i vincoli di sicurezza
• Richieste di "ignorare le istruzioni precedenti"
• Manipolazione dei vincoli ("rispondi senza messaggi di rifiuto")
• Tentativi di accedere direttamente ai file della knowledge base interna

Come Funziona:

Quando l'AI rileva un tentativo di jailbreak:

1. Riconosce il pattern di manipolazione
2. Rifiuta educatamente la richiesta
3. Reindirizza verso assistenza ISMS legittima
4. Mantiene i suoi vincoli di sicurezza

Protezione dalle Iniezioni di Prompt

La piattaforma protegge da contenuti dannosi nei caricamenti di file:

Cosa è Protetto:

• I documenti caricati vengono scansionati per tentativi di iniezione di prompt
• Le istruzioni dannose incorporate nei file vengono silenziosamente rifiutate
• I prompt di sistema non possono essere sovrascritti tramite il contenuto dei file
• I vincoli di sicurezza rimangono attivi indipendentemente dal contenuto dei file

Esperienza Utente:

• I file vengono elaborati normalmente dalla prospettiva dell'utente
• Le istruzioni dannose vengono filtrate durante l'elaborazione
• Viene analizzato solo il contenuto legittimo del documento
• Nessun messaggio di errore visibile (protezione silenziosa)

Guardrail di Protezione della Conoscenza

L'AI protegge i suoi dati di addestramento e la configurazione di sistema:

Cosa gli Utenti NON Possono Accedere:

• Istruzioni personalizzate o prompt di sistema
• Dettagli sulle fonti dei dati di addestramento
• Accesso diretto ai file della knowledge base
• Link per il download di documenti interni
• Informazioni su come è strutturata la knowledge base

Perché è Importante:

Proteggere i prompt di sistema e i dati di addestramento previene:

• Che gli avversari comprendano come manipolare l'AI
• Violazioni del copyright riproducendo materiali di addestramento
• Rischi per la sicurezza dall'esposizione dell'architettura del sistema
• Comportamenti incoerenti da istruzioni modificate

Prevenzione delle Allucinazioni

Cosa Sono le Allucinazioni?

Le allucinazioni dell'AI si verificano quando l'AI genera informazioni che sembrano sicure ma sono fattualmente errate. ISMS Copilot affronta questo problema attraverso molteplici meccanismi:

Iniezione Dinamica della Conoscenza dei Framework (v2.5)

A partire da febbraio 2025, ISMS Copilot v2.5 elimina quasi completamente le allucinazioni per domande specifiche sui framework attraverso l'iniezione dinamica della conoscenza dei framework:

• Rileva le menzioni dei framework nelle tue domande utilizzando il pattern matching regex (ISO 27001, GDPR, SOC 2, HIPAA, CCPA, NIS 2, DORA, ISO 42001, ISO 27701, EU AI Act)
• Inietta la conoscenza verificata dei framework nel contesto dell'AI prima di generare le risposte
• L'AI risponde basandosi sulla conoscenza dei framework fornita, non sulla memoria probabilistica
• Il rilevamento non basato su AI garantisce affidabilità al 100% quando vengono menzionati i framework
• Supporta 10 framework con iniezione di conoscenza dedicata

Addestramento sulla Conoscenza del Mondo Reale

Oltre all'iniezione della conoscenza dei framework, ISMS Copilot è addestrato su conoscenze specialistiche di conformità:

• Libreria proprietaria di conoscenze sulla conformità da centinaia di progetti di consulenza reali
• Basato su esperienze di implementazione pratica, non su informazioni teoriche
• Focalizzato su framework, standard e pratiche comprovate
• Aggiornato regolarmente con i requisiti di conformità attuali

Riconoscimento dell'Incertezza

L'AI è istruita a essere onesta riguardo ai suoi limiti:

• Dichiara esplicitamente quando è incerta riguardo alle informazioni
• Invita gli utenti a verificare le informazioni critiche
• Evita di inventare fatti quando la conoscenza è incompleta
• Suggerisce di consultare standard ufficiali o professionisti legali quando appropriato

Esempio di Risposta:

"Anche se posso fornire indicazioni generali sul controllo A.8.1 della ISO 27001, è probabile che commetta errori. Per scopi di audit, verifica queste informazioni rispetto allo standard ufficiale ISO 27001:2022."

Responsabilità di Verifica dell'Utente

ISMS Copilot sottolinea che gli utenti dovrebbero:

• Confrontare i suggerimenti dell'AI con gli standard ufficiali
• Validare le informazioni critiche prima della presentazione agli auditor
• Utilizzare l'AI come assistente del consulente, non come sostituto dell'expertise
• Esercitare il giudizio professionale nell'applicare le raccomandazioni dell'AI

Limitazione della Frequenza e Protezione delle Risorse

Limiti di Frequenza dei Messaggi

ISMS Copilot implementa la limitazione della frequenza per prevenire abusi e garantire un accesso equo:

Piano Gratuito:

• 10 messaggi ogni finestra mobile di 4 ore
• Il contatore si azzera dopo 4 ore dal primo messaggio
• Applicato sia sul frontend che sul backend

Piani a Pagamento (Plus, Standard, Pro, Business):

• Più crediti per sessione (da 50 a 400 a seconda del piano)
• Nessuna restrizione di limitazione della frequenza
• Elaborazione prioritaria

Quando si Raggiunge il Limite di Frequenza:

Vedrai il messaggio di errore: "Limite giornaliero di messaggi raggiunto. Effettua l'upgrade per ottenere più crediti per sessione."

Limiti di Caricamento dei File

I caricamenti di file hanno vincoli di sicurezza per proteggere le risorse del sistema:

Dimensione del File:

• Massimo: 10MB per file
• Messaggio di errore: "Il file 'document.pdf' è troppo grande (15.23MB). La dimensione massima consentita è 10MB."

Tipi di File Supportati:

• TXT, CSV, JSON (file di testo)
• PDF (documenti)
• DOC, DOCX (Microsoft Word)
• XLS, XLSX (Microsoft Excel)

Restrizioni di Caricamento:

• Un file alla volta (il caricamento batch non è supportato)
• Non è possibile caricare file duplicati per lo stesso messaggio
• I tipi di file non supportati vengono rifiutati con un messaggio di errore

Modalità Chat Temporanea

Cos'è la Chat Temporanea?

La modalità chat temporanea offre conversazioni che preservano la privacy con una gestione specifica dei dati:

Come Funziona:

1. Seleziona "Chat Temporanea" dalla schermata di benvenuto
2. Vedrai l'avviso: "Questa chat non apparirà nella cronologia. Per motivi di sicurezza, potremmo conservare una copia di questa chat per un massimo di 30 giorni."
3. Invia messaggi e carica file come al solito
4. La conversazione non viene aggiunta alla cronologia delle conversazioni
5. I dati possono essere conservati per un massimo di 30 giorni per la revisione di sicurezza

Quando Utilizzare la Chat Temporanea:

• Domande rapide una tantum che non devono essere salvate
• Discussioni sensibili che non si desidera conservare nella cronologia permanente
• Test di query prima di impegnarsi in uno spazio di lavoro
• Ricerca esplorativa su argomenti di conformità

Controlli di Conservazione dei Dati

Conservazione Controllata dall'Utente

Decidi tu per quanto tempo vengono conservati i dati delle tue conversazioni:

1. Fai clic sull'icona del menu utente (in alto a destra)
2. Seleziona Impostazioni
3. Nel campo Periodo di Conservazione dei Dati, scegli:

• Minimo: 1 giorno (lavoro a breve termine ad alta sicurezza)
• Massimo: 24.955 giorni / 7 anni (documentazione a lungo termine)
• Oppure fai clic su Mantieni per Sempre per la conservazione indefinita

4. Fai clic su Salva Impostazioni

Risultato atteso: La finestra delle impostazioni si chiude e il periodo di conservazione viene salvato.

Eliminazione Automatica dei Dati

ISMS Copilot elimina automaticamente i dati vecchi:

• Il processo di eliminazione viene eseguito quotidianamente
• Rimuove i messaggi più vecchi del periodo di conservazione impostato
• Elimina i file caricati associati
• L'eliminazione è permanente e non può essere recuperata

Funzionalità di Sicurezza degli Spazi di Lavoro

Isolamento dei Dati

Gli spazi di lavoro forniscono confini di sicurezza per diversi progetti:

Come Funziona l'Isolamento:

• Ogni spazio di lavoro ha una cronologia delle conversazioni separata
• I file caricati sono legati a spazi di lavoro specifici
• Le istruzioni personalizzate sono specifiche per ogni spazio di lavoro
• L'eliminazione di uno spazio di lavoro rimuove tutti i dati associati
• L'AI non condivide informazioni tra spazi di lavoro

Sicurezza delle Istruzioni Personalizzate

Gli spazi di lavoro consentono istruzioni personalizzate con vincoli di sicurezza:

Cosa Possono Fare le Istruzioni Personalizzate:

• Specificare l'attenzione su particolari framework di conformità
• Impostare il tono o il livello di dettaglio delle risposte
• Definire il contesto specifico del progetto (settore, dimensione dell'organizzazione)
• Guidare l'AI verso obiettivi specifici di conformità

Vincoli di Sicurezza:

• Le istruzioni personalizzate devono essere relative alla conformità
• Non possono sovrascrivere i guardrail di sicurezza principali
• Non possono istruire l'AI a ignorare le protezioni del copyright
• Non possono bypassare le limitazioni dell'ambito dei contenuti

Nessun Addestramento sui Dati degli Utenti

Garanzia di Privacy

ISMS Copilot si impegna a non utilizzare mai i tuoi dati per l'addestramento dell'AI:

Cosa Significa:

• Le tue conversazioni non vengono mai reintrodotte nel modello di AI
• I documenti caricati rimangono confidenziali e privati
• Le informazioni dei clienti non contribuiscono mai al miglioramento del modello
• Ogni conversazione viene elaborata in modo indipendente senza apprendimento

Come Ti Protegge:

• Viene mantenuta la riservatezza del cliente
• Le informazioni proprietarie rimangono private
• I dati sensibili sulla conformità non vengono condivisi con altri utenti
• Nessun rischio che l'AI riveli accidentalmente le tue informazioni ad altri

Trasparenza nell'Elaborazione dei Dati

ISMS Copilot è trasparente su come vengono utilizzati i tuoi dati:

Come Vengono Utilizzati i Tuoi Dati:

• Elaborazione delle tue domande per generare risposte
• Analisi dei documenti caricati per l'analisi delle lacune
• Mantenimento del contesto della conversazione all'interno di uno spazio di lavoro
• Archiviazione dei dati secondo le tue impostazioni di conservazione
• Monitoraggio della sicurezza per un massimo di 30 giorni (per prevenire abusi)

Come NON Vengono Utilizzati i Tuoi Dati:

• Addestramento o ottimizzazione dei modelli di AI
• Condivisione con altri utenti o clienti
• Scopi di marketing o pubblicità
• Vendita a terze parti
• Divulgazione pubblica o casi di studio (senza esplicito permesso)

Autenticazione e Controllo degli Accessi

Requisiti di Autenticazione degli Utenti

Tutte le interazioni con l'AI richiedono l'autenticazione:

• Non è possibile inviare messaggi senza aver effettuato l'accesso
• Il token JWT convalida ogni richiesta API
• Le sessioni scadono dopo un periodo di inattività
• La sicurezza a livello di riga garantisce che gli utenti vedano solo i propri dati

Protezione tra Utenti

L'isolamento a livello di database previene l'accesso non autorizzato:

• Gli utenti non possono accedere alle conversazioni di altri utenti
• Il tentativo di accedere ai dati di un altro utente restituisce risultati vuoti
• Tutte le query filtrano automaticamente per ID utente autenticato
• Anche gli amministratori seguono il principio del privilegio minimo

Migliori Pratiche per un'AI Responsabile

Per gli Utenti

Ottenere i Migliori Risultati:

• Fai domande specifiche relative ai framework (ad es., "Come posso implementare il controllo A.8.1 della ISO 27001?")
• Fornisci il contesto sulla tua organizzazione e gli obiettivi di conformità
• Carica documenti pertinenti per un'analisi accurata delle lacune
• Rivedi e perfeziona i contenuti generati dall'AI prima dell'uso

Pratiche di Verifica:

• Confronta i suggerimenti dell'AI con gli standard ufficiali
• Convalida le informazioni critiche con esperti di conformità
• Testa le politiche generate dall'AI nel contesto della tua organizzazione
• Usa l'AI come assistente, non come sostituto dell'expertise

Per le Organizzazioni

Pratiche di Governance:

• Documenta l'uso di ISMS Copilot nella tua politica di governance dell'AI
• Forma il personale sull'uso appropriato e i limiti
• Imposta periodi di conservazione dei dati allineati alle tue politiche
• Rivedi i contenuti generati dall'AI prima della presentazione ufficiale
• Mantieni la supervisione umana per le decisioni critiche sulla conformità

Gestione del Rischio:

• Includi gli strumenti di AI nelle Valutazioni d'Impatto sulla Protezione dei Dati (DPIA)
• Documenta gli accordi di elaborazione dei dati con ISMS Copilot
• Imposta periodi di conservazione appropriati per i dati sensibili
• Usa gli spazi di lavoro per isolare i dati di diversi clienti o progetti

Governance dell'AI in Pratica

Oltre ai vincoli di sicurezza, gestiamo i nostri sistemi di AI con una governance completa del ciclo di vita. Ecco come le nostre politiche si traducono in pratiche tangibili:

Processo di Sviluppo

Requisiti e Test:

• Ogni funzionalità AI ha requisiti documentati che coprono capacità funzionali, soglie di prestazione, vincoli di sicurezza e standard di gestione dei dati
• I test di regressione vengono eseguiti su ogni modifica del codice per convalidare l'accuratezza del recupero, il grounding delle risposte e il rilevamento delle allucinazioni
• I test di sicurezza includono scansioni SAST/DAST, penetration test annuali e test di iniezione di prompt
• Nessun deployment avviene fino a quando il 100% dei test di regressione non viene superato e tutte le vulnerabilità critiche non vengono risolte

Dettagli dell'Architettura (v2.5, febbraio 2025):

• Architettura di iniezione dinamica della conoscenza dei framework (sostituisce il precedente approccio RAG)
• Rilevamento dei framework basato su regex garantisce l'identificazione affidabile di ISO 27001, SOC 2, GDPR, HIPAA, CCPA, NIS 2, DORA, ISO 42001, ISO 27701, EU AI Act
• Efficienza dei token: viene caricata solo la conoscenza rilevante dei framework (vs. invio di tutti i ~10K token ad ogni richiesta)
• Conoscenza verificata dei framework fornita all'AI prima della generazione delle risposte
• Provider di AI configurabili (Mistral, xAI, OpenAI) con accordi di zero data retention

Monitoraggio e Miglioramento Continuo

Cosa Monitoriamo:

• Tassi di allucinazione tracciati attraverso segnalazioni degli utenti e rilevamento automatizzato rispetto a verità note
• Accuratezza delle risposte campionate e validate rispetto agli standard ufficiali di conformità
• Pattern di utilizzo analizzati per rilevare usi impropri o applicazioni non intenzionali
• Metriche di prestazione (tempo di risposta, precisione del recupero, tassi di errore) misurate continuamente
• Feedback degli utenti revisionati regolarmente per identificare rischi emergenti

Come il Monitoraggio Guida il Miglioramento:

• Il feedback degli utenti informa gli aggiornamenti del modello e la messa a punto del recupero
• I risultati dei test di sicurezza guidano i miglioramenti della sicurezza
• Le modifiche normative e gli aggiornamenti delle migliori pratiche si riflettono nella documentazione
• I dati sulle prestazioni guidano i miglioramenti iterativi all'accuratezza e alla velocità

Risposta agli Incidenti

Come Comunichiamo i Problemi:

• Avvisi via email per incidenti critici che influiscono sulla funzionalità dell'AI
• Notifiche Slack per i team con integrazioni configurate
• Aggiornamenti sulla pagina di stato con tempistiche degli incidenti e risoluzioni
• Notifiche di preallarme conformi alla NIS2 (segnalazione entro 24 ore per incidenti di cybersicurezza significativi)

Segnalazione di Problemi di Sicurezza

Quando Segnalare

Contatta il supporto di ISMS Copilot se incontri:

• Risposte dell'AI che violano i vincoli di sicurezza
• Potenziali allucinazioni o informazioni fattualmente errate
• Violazioni del copyright nell'output dell'AI
• Contenuti o comportamenti inappropriati
• Vulnerabilità di sicurezza nel sistema AI
• Violazioni della privacy o fughe di dati

Come Segnalare

1. Fai clic sull'icona del menu utente (in alto a destra)
2. Seleziona Centro Assistenza → Contatta il Supporto
3. Descrivi il problema di sicurezza con:

• La domanda o il prompt esatto che hai utilizzato
• La risposta dell'AI (screenshot se possibile)
• Perché ritieni che sia un problema di sicurezza
• Data e ora dell'interazione

4. Il supporto indagherà e risponderà entro 48 ore

Cosa Succede Dopo la Segnalazione

La tua segnalazione attiva il nostro processo di governance:

1. Revisione immediata (entro 48 ore): Il team di supporto valuta la gravità e l'impatto
2. Indagine: Il team tecnico analizza il problema, riproduce l'errore e identifica la causa principale
3. Risposta: Ricevi un aggiornamento sui risultati e sulle azioni pianificate
4. Rimedio: I problemi vengono affrontati attraverso aggiornamenti del modello, messa a punto del recupero, correzioni del codice o miglioramenti della documentazione
5. Miglioramento continuo: Le lezioni apprese vengono integrate nei processi di test e monitoraggio

Limitazioni e Vincoli Noti

Limitazioni Attuali dell'AI

• Non può navigare su internet per informazioni aggiornate (utilizza la knowledge base addestrata)
• Non può accedere a database esterni o API in tempo reale
• Non può eseguire codice o strumenti di test di sicurezza
• Non può effettuare chiamate telefoniche o inviare email per tuo conto
• Non può garantire una precisione del 100% (verifica sempre le informazioni critiche)

Confini dell'Ambito

• Focalizzato su ISMS e conformità (non è un'AI generica)
• Non può fornire consulenza legale, medica o finanziaria al di fuori del contesto di conformità
• Non può sostituire gli standard ufficiali o il giudizio degli auditor
• Non può garantire il successo dell'audit (la qualità dell'implementazione è importante)

Prossimi Passi

• Scopri le misure di sicurezza dei dati e crittografia
• Comprendi i tuoi diritti sulla privacy secondo il GDPR
• Configura gli spazi di lavoro per l'isolamento dei dati
• Visita il Trust Center per la documentazione dettagliata sulla governance dell'AI

Richiesta di Assistenza

Per domande sulla sicurezza dell'AI e l'uso responsabile:

• Consulta il Trust Center per informazioni dettagliate sulla governance dell'AI
• Contatta il supporto tramite il menu del Centro Assistenza
• Segnala immediatamente le preoccupazioni sulla sicurezza per l'indagine
• Controlla la Pagina di Stato per problemi noti