1️⃣ PROTEGGI

Il computer, tablet o smartphone dal quale lavoriamo è il primo punto di accesso a documenti, posta elettronica, archivi cloud e servizi di Intelligenza Artificiale.

Alcune pratiche essenziali:

• mantieni sistema operativo, browser e applicazioni aggiornati;

• utilizza il blocco automatico dello schermo;

• non lasciare una postazione di lavoro sbloccata e incustodita;

• evita di installare software o estensioni di provenienza incerta;

• presta particolare attenzione quando utilizzi dispositivi condivisi;

• verifica dove vengono salvati i file scaricati;

• utilizza le configurazioni e gli strumenti di sicurezza previsti dal tuo Ente.

Un dispositivo non aggiornato o utilizzato senza attenzione può compromettere anche le migliori impostazioni di sicurezza del servizio che stiamo utilizzando.

Che cos’è un browser?

Il browser è il programma che utilizziamo per navigare sul web e accedere a servizi online.
Alcuni esempi sono: Chrome (Google), Edge (Microsoft), Safari (Apple), Firefox, Brave, Opera, Duckduckgo, Vivaldi.

Il browser non è Internet.
È la porta d'accesso.

È l’applicazione attraverso la quale accediamo a Internet e, nel farlo, può gestire molte informazioni:

• cronologia di navigazione;

• cookie;

• account collegati;

• password;

• preferiti;

• download;

• moduli compilati;

• estensioni;

• autorizzazioni concesse ai siti;

• dati sincronizzati con altri dispositivi.

Quando utilizzi un servizio di IA dal browser, quindi, non stai entrando in un ambiente isolato.

Stai utilizzando uno strumento all’interno di un ecosistema digitale più ampio.

Una domanda utile

Prima di iniziare un’attività di lavoro, in generale, chiediti:

Quale browser sto utilizzando e come è configurato?

Molti browser permettono di creare diversi profili, in maniera semplice, tramite le impostazioni del browser.

Un profilo può contenere:

• account collegati;

• preferiti;

• password;

• cronologia;

• estensioni;

• impostazioni;

• sessioni aperte;

• dati sincronizzati.

Potremmo quindi avere, sullo stesso computer:

• Profilo personale
  collegato, ad esempio, a un account privato.

• Profilo professionale
  utilizzato per le attività di lavoro, collegato a un account di lavoro.

Separare questi ambienti può rendere più semplice evitare spiacevoli sovrapposizioni involontarie.

⚠️ Attenzione alla sincronizzazione

Quando un browser è collegato a un account, alcune informazioni possono essere sincronizzate attraverso il cloud e diventare disponibili su altri dispositivi. Tra queste: password, cronologia, dati della compilazione automatica, info carte di pagamento, accesso a risorse protette, etc.

Ad esempio:

salvo una password sul browser del computer di lavoro → il browser è sincronizzato con il mio account personale → quella password potrebbe essere resa disponibile anche sugli altri dispositivi collegati allo stesso account.

La sincronizzazione non è un problema.

Il problema è non sapere che sta avvenendo.

🕶️ Navigazione privata

La modalità “In incognito”, “Privata” o equivalente riduce principalmente le tracce conservate localmente sul dispositivo al termine della sessione.

Non rende anonimi online.

E soprattutto:

non modifica in alcun modo le condizioni con cui il servizio di IA tratta i dati che gli inviamo.

Utilizzare una finestra in incognito non rende quindi automaticamente sicuro l’inserimento di informazioni riservate in un servizio esterno.

🔐 Autenticazione a più fattori

Quando disponibile, attiva l’autenticazione a più fattori — MFA o 2FA.

Significa che, oltre alla password, per accedere serve un secondo elemento di verifica.

Può essere:

• un’app di autenticazione;

• una chiave di sicurezza;

• una passkey;

• un codice temporaneo;

• altri sistemi previsti dall’organizzazione.

Una password compromessa diventa così meno facilmente utilizzabile da sola.
Puoi sempre controllare se la tua mail è stata compromessa sul sito haveibeenpwned.com

Ricordare password lunghe e diverse per decine di servizi è difficile, soprattutto se vogliamo renderle davvero sicure.

Per questo esistono i password manager, strumenti progettati per conservare le credenziali in modo protetto.

Possono essere:

• integrati nel browser;

• applicazioni dedicate;

• servizi centralizzati messi a disposizione dall’organizzazione.

Quando l’Ente mette a disposizione un gestore di password, è opportuno utilizzare la soluzione e le procedure previste.

Non tutti gli Enti, però, dispongono già di uno strumento centralizzato.

In assenza di indicazioni specifiche, utilizzare consapevolmente un gestore di password affidabile è generalmente preferibile rispetto a riutilizzare la stessa password o conservarla in documenti e appunti non protetti.

Anche in questo caso bisogna però sapere:

• quale account protegge il password manager;

• su quali dispositivi è sincronizzato;

• come viene protetto l’accesso principale;

• se è attiva l’autenticazione a più fattori;

• quali indicazioni organizzative devono essere rispettate.

Un password manager non elimina la necessità di prendersi cura della sicurezza: rende possibile gestirla meglio.

Prima di chiedere a un sistema di IA di comprendere i nostri documenti, dobbiamo essere in grado di comprenderli noi.

Un archivio ordinato ci permette di sapere:

• che cosa contiene un file;

• a quale attività si riferisce;

• chi lo ha prodotto;

• quando è stato aggiornato;

• quale versione è valida;

• dove si trova la fonte ufficiale.

I nomi dei file contano

Confronta:

delibera definitiva nuova ultima CORRETTA 2.docx

con:

2026-11-18_Delibera_ServizioX_v03.docx

*La convenzione concreta può cambiare da organizzazione a organizzazione.

Proviamo a ragionare: 

• Come si ordinerebbero i file, nella cartella, in questo modo?

• Diventerebbe più efficace utilizzare la ricerca per trovarli?

Il principio, in sostanza, è semplice:

Un’altra persona dovrebbe poter capire che cosa contiene un file senza doverlo aprire.

Le cartelle contano

Un buon archivio rende comprensibile anche il contesto:

Servizio X / 2026 / Atti / Delibere

è diverso da:

Desktop / Nuova cartella (7)

L’ordine non serve soltanto a “trovare prima i file”.

Serve a mantenere il controllo sull’informazione.

Uno dei rischi più semplici da evitare quando utilizziamo l’IA è fornire allo strumento la versione sbagliata di un documento.

Prima di utilizzare un file chiediti:

Questa è davvero la versione corrente?

Quando possibile:

• distingui chiaramente bozze e documenti definitivi;

• utilizza sistemi che mantengano la cronologia delle versioni;

• evita copie inutili dello stesso documento;

• identifica il documento ufficiale;

• elimina o archivia correttamente le versioni obsolete secondo le procedure previste.

Un sistema di IA non può sapere automaticamente che:

regolamento_definitivo.pdf

è stato sostituito sei mesi dopo da:

regolamento_corretto_finale.pdf.

Se gli forniamo entrambi senza spiegazioni, stiamo costruendo un contesto ambiguo.
E nell'ambiguità si crea lo spazio ideale per le allucinazioni 👽

Non tutti i documenti hanno lo stesso valore.

Una legge, una pagina istituzionale, una bozza interna, un articolo di giornale e una risposta prodotta da un chatbot sono oggetti differenti.

Prima di utilizzare una fonte prova a chiederti:

• Chi l’ha prodotta?

• Quando è stata pubblicata o aggiornata?

• È una fonte primaria?

• È ancora vigente?

• Posso verificarne la provenienza?

• È autorevole rispetto al compito che devo svolgere?

Individua la “fonte di riferimento”

Per alcune informazioni dovrebbe essere possibile identificare chiaramente quale sia il luogo autorevole dal quale ricavarle.

Può essere:

• un gestionale;

• un albo;

• un archivio documentale;

• una banca dati normativa;

• un sito istituzionale;

• un documento approvato;

• una cartella condivisa ufficiale.

Questo concetto viene spesso chiamato source of truth: la fonte considerata autorevole per una determinata informazione.

Quando costruiremo un contesto per l’IA dovremo sapere quali fonti inserire e perché proprio quelle.

Fonte ≠ output IA

Mantieni sempre una distinzione chiara:

• ⛲ FONTE = informazione originale e verificabile

• 👾 OUTPUT IA = contenuto prodotto o rielaborato dal sistema

Una risposta dell’IA non dovrebbe diventare automaticamente una fonte soltanto perché appare convincente. Questo è un rischio reale.

Prima di copiare un testo, allegare un file o collegare un archivio a un servizio di IA, controlla che cosa contiene.

Potresti avere a che fare con:

• informazioni già pubbliche;

• informazioni interne;

• dati personali;

• categorie particolari di dati personali;

• informazioni riservate;

• credenziali;

• dati relativi a procedimenti;

• documenti ricevuti da terzi.

Non è necessario diventare esperti di diritto della protezione dei dati per acquisire una buona abitudine: 

prima di caricare, guarda che cosa stai caricando.

E soprattutto:

il fatto che tu possa accedere a un documento non significa automaticamente che tu possa inserirlo in qualsiasi servizio esterno.

Un buon principio è utilizzare soltanto le informazioni necessarie.

Chiediti:

Il sistema ha davvero bisogno di conoscere tutto questo per svolgere il compito?

Se devi migliorare la chiarezza di una comunicazione, potrebbero non servire:

• nomi;

• codici fiscali;

• recapiti;

• firme;

• protocolli;

• allegati;

• informazioni personali.

Se devi creare una struttura, potrebbe essere sufficiente utilizzare un modello vuoto invece di un fascicolo reale.

Se devi sperimentare una procedura, puoi utilizzare un caso simulato.

Quando possibile:

• elimina le informazioni non necessarie;

• oscura gli elementi che non servono;

• utilizza esempi fittizi;

• evita di caricare interi fascicoli quando bastano poche informazioni selezionate.

Condividere meno dati può anche migliorare la qualità del contesto.

La sicurezza non riguarda soltanto dispositivo, file e account.

Riguarda anche il modo in cui svolgiamo un’attività.

Quando un utilizzo dell’IA diventa ricorrente, dovrebbe essere possibile capire:

• chi può utilizzare lo strumento;

• per quali attività;

• con quali categorie di informazioni;

• quali fonti devono essere utilizzate;

• quali verifiche sono necessarie;

• chi approva il risultato finale.

L’obiettivo non è creare una procedura complessa per ogni prompt.

È evitare che un’attività utile dipenda esclusivamente dalla prudenza, dalla memoria o dalle abitudini del singolo operatore.