Che cosa comporta far trattare informazioni classificate a un sistema di IA?

Prima di mettere un sistema di intelligenza artificiale su un archivio di informazioni classificate conviene rileggere due articoli di legge. Non per adempimento: perché il modo in cui la legge italiana costruisce la segretezza rende impossibili alcune architetture che oggi si danno per scontate.

La classifica non sta sul documento, sta sulle parti

La disciplina è nella legge 3 agosto 2007, n. 124. L’articolo 42, comma 1 dice a che cosa servono le classifiche: «circoscrivere la conoscenza di informazioni, documenti, atti, attività o cose ai soli soggetti che abbiano necessità di accedervi in ragione delle proprie funzioni istituzionali». Il comma 3 elenca i quattro livelli — «segretissimo, segreto, riservatissimo, riservato» — attribuiti «sulla base dei criteri ordinariamente seguiti nelle relazioni internazionali». Il comma 2 dice chi classifica: l’autorità che forma il documento o acquisisce per prima la notizia, che può anche elevare il grado.

Il comma che cambia tutto è il 4: chi appone la classifica «individua, all’interno di ogni atto o documento, le parti che devono essere classificate e fissa specificamente il grado di classifica corrispondente ad ogni singola parte». La segretezza è granulare per legge. Un documento non è «segreto»: contiene parti segrete, parti riservate e parti non classificate, ciascuna con la propria etichetta.

Prima conseguenza: chi sintetizza deve saper classificare l’esito

Un sistema che ingerisce documenti e restituisce una sintesi lavora esattamente contro quella granularità: fonde parti di grado diverso in un testo nuovo, che nessuno ha mai classificato. La conseguenza operativa è secca: l’esito eredita il grado più alto fra le parti da cui ha attinto. Perché qualcuno possa apporgli la classifica corrispondente, come vuole il comma 4, bisogna sapere da quali parti abbia attinto. Un motore che non è in grado di dirlo non è vietato: è inutilizzabile, perché rende impossibile adempiere. Non è un rischio da mitigare: è un requisito da soddisfare.

Seconda: il need-to-know riguarda la persona, non l’archivio

Il comma 1 lega la conoscibilità alla «necessità di accedervi in ragione delle proprie funzioni istituzionali»: è un criterio per persona e per funzione, non per raccolta di documenti. Un indice, o una base vettoriale costruita sull’intero corpus, collassa quel criterio in un oggetto unico che sa tutto: chi interroga l’oggetto interroga il corpus. Il controllo non può quindi stare a monte, sull’archivio; deve stare al momento del recupero, valutato per utente e per livello di abilitazione, e deve essere dimostrabile a posteriori. Un filtro scritto nelle istruzioni del modello non è un controllo: è una richiesta di collaborazione.

Terza: il NOS riguarda anche il personale del fornitore

L’articolo 42, comma 1-bis stabilisce che «per la trattazione di informazioni classificate segretissimo, segreto e riservatissimo è necessario altresì il possesso del nulla osta di sicurezza (NOS)». «Riservato» non lo richiede: è l’unico dei quattro livelli a restarne fuori. L’articolo 9 completa il quadro. Il NOS dura cinque anni per segretissimo e dieci per segreto e riservatissimo, «fatte salve diverse disposizioni contenute in trattati internazionali ratificati dall’Italia», e «a ciascuna delle tre classifiche di segretezza citate corrisponde un distinto livello di NOS» (comma 3). Il rilascio è subordinato a un accertamento preventivo diretto a escludere «ogni soggetto che non dia sicuro affidamento di scrupolosa fedeltà alle istituzioni della Repubblica» (comma 4).

Da qui la conseguenza che quasi nessuno mette a capitolato: chi gestisce, aggiorna o assiste il sistema tratta quelle informazioni, se nel farlo può vedere richieste, registri, indici o supporti. Un contratto di assistenza remota che non regoli l’abilitazione del personale del fornitore non è un dettaglio amministrativo: è sicurezza, e si scrive accanto ai limiti verificabili sull’uso dei dati.

Quarta: il grado cambia da solo, gli oggetti derivati no

Il comma 5: la classifica «è automaticamente declassificata a livello inferiore quando sono trascorsi cinque anni dalla data di apposizione; decorso un ulteriore periodo di cinque anni, cessa comunque ogni vincolo di classifica». Il comma 6 ammette la proroga con provvedimento motivato, disposta da chi ha classificato o, oltre i quindici anni, dal Presidente del Consiglio. Per il livello «riservato» il decreto-legge 22 giugno 2023, n. 75 ha aggiunto un’interpretazione autentica (art. 1, comma 4): trascorsi cinque anni cessa ogni vincolo, senza passaggio intermedio.

Un archivio vivo questa dinamica la gestisce. Un indice, un modello riaddestrato su quel materiale, una copia di salvataggio, no: restano all’etichetta del giorno in cui sono nati. Chi rietichetta gli oggetti derivati quando la fonte è declassificata? E, all’inverso, che cosa succede quando una parte viene elevata di grado ai sensi del comma 2 dopo essere già finita in un indice? La seconda domanda è la più scomoda.

Quinta: non è materia che si autocertifica

Il comma 7 affida al Presidente del Consiglio la verifica del rispetto delle norme sulle classifiche e rinvia a un apposito regolamento per l’ambito dei singoli livelli, i soggetti con potere di classifica e gli uffici collegati. L’articolo 9, comma 1 istituisce presso il DIS l’Ufficio centrale per la segretezza (UCSe), con funzioni direttive, di coordinamento, consulenza e controllo, estese espressamente «alla produzione industriale» (comma 2, lettera b); alla lettera a) stanno gli adempimenti istruttori per le funzioni del Presidente del Consiglio quale Autorità nazionale per la sicurezza. Per le informazioni classificate UE vale invece la decisione 2013/488/UE del Consiglio, in vigore nella versione consolidata dal 14 agosto 2025.

Sono binari distinti da la valutazione delle forniture ICT nel perimetro cibernetico e la qualificazione cloud per i dati critici: là si decide che cosa entra in un sistema e dove sta un dato, qui chi può conoscere che cosa.

Che cosa deve saper dimostrare un sistema

Propagazione del grado dall’origine all’esito, con la regola del massimo fra le parti attinte.
Filtro al recupero, legato all’abilitazione della singola persona, non alla configurazione dell’archivio.
Registro di chi ha chiesto che cosa e di che cosa gli è stato mostrato.
Rietichettatura degli oggetti derivati — indici, copie, artefatti di addestramento — quando il grado della fonte scende o sale.
Perimetro fisico e logico dell’ambiente e delle copie: dove stanno le macchine, chi vi accede e come.
Regime del personale del fornitore: quale abilitazione serve per gestione, aggiornamento e assistenza.

Come lo risolviamo noi

Nessuno di questi requisiti si soddisfa con un servizio agganciato al web aperto. Servono sistemi dedicati e chiusi, e li consegniamo in due modalità, mai una sola: on-premise, dentro l’ambiente del cliente; oppure su cloud dedicato, ambiente riservato al singolo cliente, accesso via VPN dedicata, data center residente in Italia e locali che presidiamo direttamente. In entrambi i casi il grado si propaga, il recupero si filtra per persona e ogni interrogazione lascia traccia: è il metodo con cui costruiamo la piattaforma, non un livello di servizio da listino.

Dovete scrivere i requisiti di un sistema destinato a materiale classificato? Mezz’ora con un nostro esperto per la prima lettura di quello che dovrete poter dimostrare.