Il backup non è più solo un obbligo: diventa la fonte di verità per l’AI
La protezione dati aziendali ha appena cambiato significato. Per anni il backup è stato percepito dalle PMI italiane come una voce di costo da mettere a bilancio per dormire sonni tranquilli e per rispondere ai requisiti normativi. Oggi, con l’arrivo di agenti AI che prendono decisioni operative al posto nostro, quella stessa copia dei dati diventa qualcosa di diverso: la base su cui l’intelligenza artificiale costruisce le proprie risposte.
Il vendor danese Keepit ha presentato AI Truth Cloud, una piattaforma che parte proprio da questa intuizione. L’idea è trasformare il backup da adempimento di conformità a quello che l’azienda definisce l’asset dati strategicamente più prezioso che un’organizzazione possa possedere. Quando gli agenti AI iniziano a gestire decisioni critiche per il business, la domanda non è più soltanto “ho una copia dei miei dati?” ma “l’AI sta leggendo i dati giusti?”.
È un cambio di prospettiva che riguarda anche le piccole e medie imprese, non solo le multinazionali. Perché gli strumenti AI stanno entrando nelle PMI molto più velocemente di quanto siano entrate, in passato, le tecnologie enterprise.
Cosa succede quando un agente AI lavora su dati sbagliati
Immaginiamo un caso concreto. Un’azienda manifatturiera da 60 dipendenti usa un assistente AI collegato a SharePoint e alla posta aziendale per preparare preventivi e rispondere ai clienti. Qualcuno, sei mesi fa, ha caricato per errore un listino prezzi obsoleto che non è mai stato rimosso. L’agente lo trova, lo considera valido e inizia a sfornare offerte sottocosto.
Nessun attacco informatico, nessun ransomware. Solo dati non governati che diventano decisioni sbagliate su scala industriale. Il problema si amplifica perché un agente AI non si ferma a chiedere conferma: esegue, e lo fa in pochi secondi su centinaia di pratiche.
Questo è il punto che rende il tema “backup e intelligenza artificiale” molto più interessante del solito discorso sul disaster recovery. Il backup, se ben strutturato, è l’unico archivio che conserva lo stato dei dati in ogni momento nel tempo, con i permessi originali, le versioni precedenti e la cronologia delle modifiche. È, letteralmente, una fonte di verità storica.
Il nodo dei dati SaaS: chi li protegge davvero
C’è un equivoco diffuso tra gli imprenditori italiani ed è forse il più pericoloso: l’idea che Microsoft 365, Google Workspace o Salesforce facciano il backup dei dati aziendali. Non è così, e non si tratta di una sfumatura contrattuale.
Il modello è quello della responsabilità condivisa: il fornitore cloud garantisce la disponibilità dell’infrastruttura, il cliente resta responsabile dei propri dati. Se un dipendente cancella una cartella condivisa, se un attacco compromette un account, se un’applicazione di terze parti scrive male su un database, il recupero è un problema dell’azienda. Microsoft stesso lo scrive nei propri termini di servizio, raccomandando soluzioni di backup di terze parti.
Le statistiche aiutano a inquadrare il rischio. Secondo diverse rilevazioni di settore, oltre il 70% delle perdite di dati su piattaforme SaaS è causato da errore umano o da cancellazioni accidentali, non da attacchi esterni. E il cestino di Microsoft 365 trattiene gli elementi eliminati per 93 giorni: oltre quel termine, il dato non esiste più. Se un’AI aziendale viene addestrata o interrogata su un patrimonio informativo incompleto, i buchi non si vedono ma pesano.
Protezione dati aziendali nell’era degli agenti AI: cosa cambia per le PMI
La vera novità che emerge dall’annuncio di Keepit non è tecnologica in senso stretto. È concettuale: i dati di backup smettono di essere un archivio passivo e diventano un contesto interrogabile, verificabile e a prova di manomissione da dare in pasto ai sistemi AI.
Per una PMI italiana questo si traduce in tre priorità operative molto concrete.
1. Sapere dove sono i dati prima di collegare l’AI
Prima di attivare un copilota o un agente AI sui propri sistemi, serve una mappa. Quali repository contengono dati aggiornati? Quali cartelle sono residui di progetti chiusi? Chi ha accesso a cosa?
Nella maggior parte delle PMI questa mappa non esiste, e il risultato è che l’AI eredita anni di disordine digitale. Un’adozione dell’intelligenza artificiale che parte senza governance dei dati produce risultati mediocri nel migliore dei casi e danni economici nel peggiore. Se stai valutando come introdurre questi strumenti in modo strutturato, parti dai nostri servizi di AI per PMI, dove il tema della qualità del dato viene affrontato prima di quello degli algoritmi.
2. Rendere il backup immutabile e indipendente dal fornitore cloud
Un backup che risiede nello stesso ambiente dei dati di produzione non è un backup, è una copia. Se l’account amministrativo di Microsoft 365 viene compromesso, l’attaccante raggiunge anche le copie conservate nello stesso tenant.
Il principio da applicare è quello dell’immutabilità: le copie non devono poter essere modificate o cancellate, nemmeno da chi possiede le credenziali più alte, per un periodo definito. A questo si aggiunge la separazione del fornitore, cioè conservare i backup presso un soggetto diverso da chi eroga il servizio cloud. È la stessa logica della regola 3-2-1 applicata al mondo SaaS, ed è il cuore dei servizi di backup e disaster recovery che implementiamo per le aziende clienti.
3. Monitorare chi accede ai dati, comprese le AI
Gli agenti AI sono, dal punto di vista della sicurezza, delle identità a tutti gli effetti. Hanno credenziali, permessi, token di accesso. E spesso quei permessi vengono concessi in modo troppo ampio, perché “così funziona meglio”.
Serve quindi lo stesso livello di controllo che si applica agli utenti umani: principio del privilegio minimo, revisione periodica degli accessi, log di tutte le operazioni. La sicurezza dei dati con agenti AI non è una disciplina separata dalla cybersecurity tradizionale, ne è un’estensione naturale. Cambia la velocità con cui un errore si propaga, non la natura del controllo.
Il contesto normativo italiano ed europeo
Non è solo una questione di buon senso operativo. Il quadro regolatorio si sta stringendo e tocca direttamente le PMI.
La direttiva NIS2, recepita in Italia con il D.lgs. 138/2024, estende gli obblighi di sicurezza a migliaia di imprese che prima ne erano escluse, comprese molte realtà di medie dimensioni nella manifattura, nei servizi digitali, nella logistica e nella gestione rifiuti. Tra i requisiti espliciti figurano la continuità operativa e la gestione dei backup.
L’AI Act europeo, entrato in applicazione progressiva dal 2025, introduce invece obblighi di trasparenza e tracciabilità sui sistemi di intelligenza artificiale. Per i sistemi considerati ad alto rischio è richiesta la governance dei dati di addestramento e la conservazione dei log. Anche le aziende che si limitano a usare strumenti AI di terze parti hanno responsabilità, sia pure più leggere.
E poi c’è il GDPR, che non è andato in pensione. Se un agente AI accede a dati personali, servono base giuridica, minimizzazione e capacità di rispondere alle richieste degli interessati, inclusa la cancellazione. Un backup che non consente di individuare e gestire un singolo dato personale diventa un problema di conformità.
Come proteggere i dati aziendali dall’AI senza bloccare l’innovazione
La risposta non è rinunciare all’intelligenza artificiale. Le PMI italiane che la stanno adottando con criterio registrano guadagni di produttività reali, soprattutto nelle attività amministrative, commerciali e di supporto al cliente.
La risposta è costruire le fondamenta prima di salire ai piani alti. In pratica significa quattro cose.
Fare un inventario dei dati e dei sistemi, identificando cosa è critico e cosa è obsoleto. Attivare un backup dei dati per AI e sistemi aziendali che copra anche le piattaforme SaaS, con retention adeguata e copie immutabili. Definire una policy di accesso scritta, che valga per le persone e per gli agenti automatici. Verificare periodicamente che i ripristini funzionino davvero, perché un backup mai testato è una speranza, non una garanzia.
Molte PMI non hanno in casa le competenze per presidiare tutto questo in continuo, ed è normale. È il motivo per cui il monitoraggio gestito, come quello che eroghiamo attraverso il NOC10, si sta affermando come modello sostenibile: controllo costante senza dover costruire un reparto IT interno.
Da costo a vantaggio competitivo
L’annuncio di Keepit va letto come un segnale di direzione più che come una soluzione universale. Il messaggio è che il valore dei dati di backup sta crescendo, perché crescono gli usi che se ne possono fare.
Un’azienda che sa esattamente quali dati possiede, dove si trovano, chi vi accede e com’erano sei mesi fa, è un’azienda che può adottare l’AI con fiducia. Chi invece ha copie parziali sparse tra NAS dimenticati e account personali si troverà a scegliere tra rinunciare all’innovazione e correre rischi non quantificati.
Per le PMI italiane, che spesso competono su qualità e rapidità di risposta più che su scala, questa differenza può pesare molto. La protezione dati aziendali smette di essere una polizza assicurativa e diventa un abilitatore: la condizione per usare l’intelligenza artificiale senza che sia l’intelligenza artificiale a usare noi.