---
title: "Gli embedding dei documenti aziendali sono dati riservati? Che cosa si può ricostruire da quei numeri"
description: "Per cercarli, un assistente trasforma i documenti in numeri. Da quei numeri si risale in buona parte al testo: le misure, e come tenerli in casa a pesi aperti."
url: https://csidia.com/note-operative/embedding-documenti-aziendali-dati-riservati/
lang: it
date: 2026-11-07
label: "Sicurezza"
publisher: CSIDIA S.r.l. (https://csidia.com/)
---

# Gli embedding dei documenti aziendali sono dati riservati? Che cosa si può ricostruire da quei numeri

Se state preparando un assistente che risponde sui documenti aziendali, o qualcuno ve lo sta proponendo, prima o poi vi sentirete dire: nel database non ci sono i documenti, ci sono solo numeri. Sembra una garanzia. Le misure pubblicate dicono di no: da quei numeri si torna, in buona parte, al testo.

## Che cosa sono gli embedding

Per cercare per significato, e non solo per parole, i documenti si dividono in pezzi e un modello trasforma ogni pezzo in una lunga serie di numeri, un vettore: l’embedding. Due pezzi che dicono cose simili hanno vettori vicini, così una domanda trova il pezzo giusto anche se usa parole diverse. È uno dei passi di un assistente sui documenti (RAG), quelli che abbiamo descritto in [come fa un’AI a rispondere sui documenti aziendali](https://csidia.com/note-operative/ai-risponde-documenti-aziendali-cita-pagina/). I vettori si salvano in un archivio apposito, il database vettoriale, spesso insieme al testo del pezzo.

## Dai numeri si torna al testo

Nel 2023 quattro ricercatori della Cornell University hanno presentato alla conferenza EMNLP un metodo, Vec2Text, che parte dal vettore, scrive un testo, lo ritrasforma in vettore, lo confronta con quello di partenza e lo corregge, un passo dopo l’altro. Sui vettori di un primo modello di embedding, GTR-base, il metodo «can recover 92% of 32-token text inputs from their embeddings exactly», *ricostruisce esattamente il 92% dei testi di 32 token*, cioè di 32 pezzi di parola.

Hanno provato anche i vettori di un servizio in cloud, il modello text-embedding-ada-002 di OpenAI: sui testi della stessa lunghezza ne hanno ricostruiti esattamente il 61%. Su testi di circa 80 token la ricostruzione esatta scende all’8%, ma gran parte delle parole torna lo stesso.

La prova più vicina ai dati riservati di un’azienda è quella sulle note cliniche della banca dati MIMIC-III, tagliate a 32 token, con nomi finti messi al posto di quelli tolti. Dai soli vettori, Vec2Text ha ritrovato il 94% dei nomi, il 95% dei cognomi e l’89% dei nomi completi.

La conclusione degli autori è che gli embedding «should be treated as highly sensitive private data and protected, technically and perhaps legally, in the same way as one would protect raw text», *vanno trattati come dati privati molto sensibili, e protetti come il testo da cui vengono, sul piano tecnico e forse anche su quello giuridico*.

Lo stesso rischio è nella lista 2025 dei dieci rischi principali delle applicazioni con modelli linguistici, pubblicata dall’OWASP, un progetto aperto sulla sicurezza del software. Alla voce sulle debolezze di vettori ed embedding si legge: «Attackers can exploit vulnerabilities to invert embeddings and recover significant amounts of source information, compromising data confidentiality», *invertendo gli embedding si recupera una parte significativa delle informazioni di partenza*.

## Dove finiscono i vostri testi

Con un servizio in cloud gli embedding si calcolano fuori dall’azienda: il testo di ogni pezzo va al fornitore, e tornano indietro i numeri. Un esempio concreto è OpenAI. Per le sue API dichiara che i dati inviati non servono ad addestrare i suoi modelli, salvo che il cliente scelga di condividerli; ma di base i registri per il controllo degli abusi, che possono contenere i contenuti inviati, si conservano «for up to 30 days», *fino a 30 giorni*, anche per gli embedding, e più a lungo se lo chiede la legge o per prevenire danni. I clienti che OpenAI approva possono farli escludere da quei registri.

Poi c’è il database vettoriale: se è un servizio in cloud, vettori e pezzi di testo stanno lì. Per la stessa ricerca, i posti fuori dall’azienda diventano due. È lo stesso schema che abbiamo visto per [Copilot e Gemini sui documenti aziendali](https://csidia.com/note-operative/copilot-gemini-documenti-aziendali-dove-vanno-chi-li-vede/).

## Si possono calcolare in casa

Il modello che calcola gli embedding è piccolo rispetto a quello che scrive le risposte, e ce ne sono a pesi aperti. Un esempio è Qwen3-Embedding: tre taglie, da 0,6 a 8 miliardi di parametri, licenza Apache 2.0, più di 100 lingue. Per confronto, il modello grande a pesi aperti che usiamo noi ha circa 180 miliardi di parametri in tutto.

Essendo a pesi aperti, si può anche rifinire (fine-tuning) sui vostri documenti. La documentazione della libreria Sentence Transformers, con cui si addestrano modelli di questo tipo, lo spiega così: «Finetuning Sentence Transformer models often heavily improves the performance of the model on your use case, because each task requires a different notion of similarity», *rifinire questi modelli spesso migliora molto i risultati sul vostro caso, perché ogni compito ha la sua idea di somiglianza*. È la nostra idea, applicata alla ricerca: *un modello a pesi aperti, rifinito sui vostri documenti, su quel compito trova meglio di un modello generale, e quello che impara resta vostro.*

CSIDIA, che pubblica queste note, addestra e rifinisce modelli a pesi aperti sul compito di aziende ed enti che hanno dati da non far uscire, e li fa lavorare sulla propria infrastruttura di calcolo o presso il cliente (on-premise). Nel nostro progetto di lettura dei documenti, al 20 ottobre 2026, a leggere erano solo modelli a pesi aperti: modelli piccoli su una nostra workstation con due schede NVIDIA RTX PRO 6000 da 96 GB di memoria ciascuna per il testo e le tabelle, il modello grande per figure e disegni.

## Che cosa chiedere prima di scegliere

1. Dove si calcolano gli embedding, e dove sta il database vettoriale: sono due domande, e servono due risposte.
2. Chi può leggere vettori e pezzi di testo. Valgono gli stessi permessi dei documenti da cui vengono: l’OWASP chiede «permission-aware vector and embedding stores», *archivi di vettori che rispettano i permessi*.
3. Che cosa succede quando cancellate un documento: devono sparire anche i suoi vettori e i suoi pezzi di testo.
4. Se i documenti non possono uscire dall’azienda, non devono uscire nemmeno per diventare numeri: il modello che calcola gli embedding deve lavorare dove lavora il resto.

*Scritto con l’aiuto dell’AI e verificato da CSIDIA.*

## Fonti

- [Morris, Kuleshov, Shmatikov e Rush (Cornell University), «Text Embeddings Reveal (Almost) As Much As Text», EMNLP 2023 (arXiv)](https://arxiv.org/abs/2310.06816)
- [OWASP, «LLM08:2025 Vector and Embedding Weaknesses», dalla lista 2025 dei rischi delle applicazioni con modelli linguistici](https://genai.owasp.org/llmrisk/llm082025-vector-and-embedding-weaknesses/)
- [OpenAI, «Data controls in the OpenAI platform»: uso dei dati e conservazione per ogni endpoint, embedding compresi (documentazione delle API)](https://developers.openai.com/api/docs/guides/your-data)
- [Qwen, Qwen3-Embedding-0.6B: scheda del modello, licenza Apache 2.0 (Hugging Face)](https://huggingface.co/Qwen/Qwen3-Embedding-0.6B)
- [Sentence Transformers, «Training Overview» (documentazione)](https://sbert.net/docs/sentence_transformer/training_overview.html)

Nota di CSIDIA S.r.l. (Vignola, MO): https://csidia.com/note-operative/embedding-documenti-aziendali-dati-riservati/ · Chi siamo e che cosa facciamo: https://csidia.com/in-breve/ · engagement@csidia.com