Distillazione cognitiva dell’utente: cosa rischiano le imprese con l’AI esterna

La governance dell’AI protegge ciò che sa classificare e lascia uscire ciò che vale di più. Il GDPR tutela l’identità, le policy di Data Loss Prevention intercettano pattern riconoscibili, la cifratura protegge contenuti a riposo o in transito: tutto l’apparato presuppone che l’oggetto da difendere sia un dato. Ma chi usa un sistema di AI esterno per strutturare una trattativa, impostare un’analisi di marginalità o costruire una difesa legale non trasmette dati; trasmette il modo in cui la sua organizzazione ragiona. Quel flusso non attiva alcun controllo. Nessuno lo intercetta.

Questo documento dà un nome al fenomeno e ne propone la definizione al vocabolario della governance: distillazione cognitiva dell’utente.

Come avviene la distillazione cognitiva dell’utente

Il fenomeno non richiede violazioni. Avviene per adesione contrattuale, dentro clausole conformi al GDPR, e sopravvive all’opt-out dall’addestramento, perché opera in uno strato che l’interruttore non raggiunge. La conformità del contenitore è precisamente ciò che distoglie l’attenzione dal contenuto.

Non tutto il ragionamento merita lo stesso presidio. Il criterio è l’esposizione competitiva: un metodo la cui conoscenza da parte di un concorrente eroderebbe un vantaggio significativo richiede sovranità; un ragionamento che chiunque nel medesimo ruolo condurrebbe allo stesso modo tollera regimi aperti. Su questo criterio il documento costruisce una classificazione del capitale cognitivo in quattro livelli e una posizione: al paradigma della protezione del dato, necessario ma strutturalmente insufficiente, va affiancata la sovranità del ragionamento, che non chiede come il metodo esce dal perimetro; chiede se debba uscire.

La governance dell’AI e il capitale cognitivo

Coloro che progettano la sicurezza informatica di un’impresa lavorano su oggetti identificabili, un file, un record, un numero di carta di credito, un nominativo, perché tutto l’apparato normativo e tecnico ad oggi in essere presuppone che il valore principale da proteggere sia un contenuto classificabile.

Il GDPR tutela la persona identificata e/o identificabile, le policy di Data Loss Prevention intercettano pattern riconoscibili come un codice fiscale, un IBAN, un allegato marcato riservato, e la cifratura protegge un contenuto a riposo o in transito.

Anche sotto il profilo giuridico la musica non cambia. L’oggetto della tutela giuridica è qualcosa di fisicamente identificato, circoscritto e quindi richiamabile nel corpo normativo.

Nessuno di questi strumenti si attiva quando ciò che esce dall’organizzazione non è un dato, ma è, invece, un metodo. Eppure un soggetto che chiede a un modello di AI di aiutarlo a strutturare una trattativa non trasmette un dato sensibile, trasmette la logica con cui la sua azienda conduce le trattative, così come un controller che imposta un’analisi di marginalità dialogando con un assistente, non espone i numeri, ma il modo in cui l’azienda legge i propri numeri. Il primo è un dato ed è protetto, mentre il secondo è capitale cognitivo e non lo intercetta niente.

La ragione è strutturale, non accidentale, perché il capitale cognitivo non ha le proprietà che rendono un dato governabile. Non è localizzato in un archivio, poiché risiede distribuito nelle teste delle persone e affiora solo quando viene messo in forma, cioè quando viene digitato in un prompt; non è discreto, essendo un pattern, una regolarità che si manifesta lungo molte interazioni; e non è identificabile come personale, perché una strategia negoziale non appartiene in esclusiva a nessun individuo in senso proprio. Per tutte queste ragioni sfugge alla presa degli strumenti esistenti e la governance dell’AI, allo stato attuale, protegge il contenitore mentre lascia uscire il contenuto.

La questione è che il contenuto spesso ha più valore del contenitore, ma nessuno sembra aver centrato la propria attenzione su questo punto.

Come nasce la distillazione cognitiva dell’utente

La dimostrazione che una capacità cognitiva è estraibile per interrogazione non è teorica, poiché è stata fornita dagli stessi laboratori di AI. Nel febbraio 2026 Anthropic ha documentato una campagna in cui reti di account fraudolenti avevano generato milioni di scambi con un suo modello allo scopo di addestrare i propri a riprodurne le capacità. La tecnica, secondo la ricostruzione di Anthropic, si basava su una richiesta al sistema bersaglio di articolare passo per passo il ragionamento che era alla base delle risposte già fornite, per raccoglierlo come materiale. Questa pratica, la distillazione, nella sua forma legittima è ingegneria ordinaria, giacché un modello grande ne addestra uno piccolo a riprodurne il comportamento, mentre nella sua forma contesa diventa estrazione non autorizzata di una capacità altrui; in entrambi i casi dimostra un principio, ovverossia che ciò che un sistema sa fare, si può apprendere osservando abbastanza a lungo come risponde ed i ragionamenti che segue.

Il principio non si ferma ai modelli, perché ovunque esista un flusso costante di risposte prodotte da un’intelligenza, quel flusso è materiale da cui un pattern può essere appreso. Vale per un modello interrogato da un altro modello, vale per una persona che interroga un modello, poiché nel farlo produce un flusso di pensiero e di ragionamento altrettanto costante e altrettanto strutturato, fatto delle sue domande, delle sue correzioni, delle sue sequenze decisionali.

Occorre qui una precisazione tecnica, perché è ciò che separa un’analisi rigorosa da un allarme generico: mentre una persona usa un modello il sistema in fase di inferenza è congelato: risponde, ma non si modifica nel frattempo. Quello che l’utente scrive durante la conversazione non entra nei parametri dell’IA utilizzata. Il fenomeno si colloca su un altro piano, quello del trattamento successivo dei contenuti immessi, ed è regolato interamente dalle clausole contrattuali.

Sui piani consumer l’impostazione contrattuale predefinita è, nella maggior parte dei casi, favorevole all’addestramento. Anthropic, dopo l’aggiornamento del settembre 2025, usa gli input e gli output delle conversazioni consumer per addestrare i modelli futuri salvo opt-out, con conservazione che sale a cinque anni per chi non disattiva l’opzione. Se anche il consumatore/utente avesse letto il contratto, non è detto che avrebbe fatto attenzione a quell’elemento particolare; e sotto il profilo giuridico non si tratta di una clausola per la quale l’art. 1341, comma 2, c.c. richiede la specifica approvazione per iscritto, dato il carattere tassativo dell’elenco.

OpenAI si addestra sulle conversazioni consumer di ChatGPT salvo opt-out. Perplexity ha la ritenzione per l’addestramento attiva per default sugli account personali. Google, sulle app Gemini, conserva le conversazioni e ne sottopone un campione a revisori umani, con conservazione fino a tre anni.

Sui piani business la logica si inverte, e per i prodotti enterprise e le API i fornitori dichiarano di non usare per default i contenuti dei clienti per l’addestramento, ed è la distinzione che ogni impresa dovrebbe conoscere e presidiare, benché sia anche la distinzione che, da sola, non chiude la questione.

De-identificazione, opt-out e capitale cognitivo

Sotto il piano dell’addestramento, che l’opt-out può disattivare, esiste uno strato ulteriore che l’interruttore non raggiunge. È lo strato dove il capitale cognitivo viene effettivamente separato dalla persona.

Le clausole sono esplicite e convergenti. OpenAI dichiara nella propria privacy policy di conservare e usare le informazioni de-identificate senza tentare di re-identificarle, e di aggregare o de-identificare i dati personali per condividerli con terzi al fine di migliorare i propri servizi. Perplexity stabilisce che l’opt-out vale solo per i dati futuri, mentre le interrogazioni già trattate restano nei dataset in forma anonimizzata e aggregata, fuse in un insieme che continua a modellare il sistema. Anthropic, anche dopo l’opt-out, continua a usare i contenuti segnalati per sicurezza e quelli inviati come feedback. Google conserva fino a tre anni le conversazioni riviste dai revisori umani, disconnesse dall’account e non eliminate quando l’utente cancella la propria attività, e avverte esplicitamente di non immettere informazioni riservate che non si vorrebbe un revisore vedesse o che Google possa usare per migliorare i propri servizi, incluse le tecnologie di apprendimento automatico.

Il passaggio al piano enterprise non chiude del tutto questo strato. OpenAI, nella propria informativa, si riserva di continuare a trattare versioni de-identificate o aggregate delle informazioni anche quando queste non sono più qualificabili come dati personali; se e in quale misura clausole di tenore analogo compaiano nei singoli accordi enterprise degli altri fornitori è una verifica che ogni organizzazione dovrebbe condurre sul proprio contratto, prima di considerare chiuso questo strato. La clausola è redatta per la conformità alla normativa privacy, e sotto quel profilo è ineccepibile. Ma protegge precisamente ciò che la normativa considera protetto, l’identità, e lascia fuori ciò che la normativa non contempla, il metodo. Proprio la sua conformità alle norme GDPR svia l’attenzione da un punto fondamentale.

Osserviamo l’operazione nella sua sostanza: de-identificare una conversazione significa anonimizzare chi l’ha prodotta, e aggregarla significa fonderla nell’insieme di tutte le altre, cosicché ciò che viene tolto è l’identità della persona, mentre ciò che resta è la struttura del suo ragionamento. È qui che la simmetria con la distillazione tra modelli diventa esatta, perché la distillazione tra sistemi estrae il ragionamento di un modello interrogandolo e spogliando le risposte di ciò che è accessorio, mentre la de-identificazione aggregata estrae il ragionamento di una persona spogliandolo del suo nome. Il meccanismo di partenza differisce, ma il prodotto coincide, un metodo separato da chi lo possedeva, conservato come pattern, funzionale al miglioramento di un sistema.

Vi è una differenza che rende la seconda più efficiente della prima, poiché la distillazione tra laboratori richiede account fraudolenti, reti proxy, milioni di interrogazioni costruite ad arte, ed è faticosa, illecita, destinata a restare nascosta, mentre la versione che accade nello strato de-identificato non richiede nulla di tutto questo, non un attaccante, non una violazione, non un colpevole, perché il capitale cognitivo si separa dalla persona per clausola contrattuale, con il consenso della persona stessa, che ha accettato senza leggere. Ciò che i laboratori hanno dovuto sottrarre con uno sforzo straordinario, l’utente comune lo trasferisce per adesione ordinaria, spesso senza rendersene conto, anzi sovente col pieno consenso di chi ha spuntato tutte le accettazioni contrattuali.

Le prove sul campo della distillazione cognitiva

Il precedente più noto di dispersione attraverso strumenti di AI è documentato e istruttivo, benché riguardi i dati e non il metodo. Nell’aprile 2023 Samsung ha vietato l’uso di ChatGPT dopo che, in meno di venti giorni, alcuni ingegneri della divisione semiconduttori vi avevano immesso codice sorgente proprietario, algoritmi di rilevamento dei difetti e la trascrizione di una riunione riservata, in tre episodi distinti. Nessuno di quei dipendenti agiva in malafede, poiché cercavano soltanto di lavorare meglio e più in fretta, ma il dato riservato era ormai uscito, su server esterni, senza possibilità di recupero, e l’episodio ha innescato una serie di divieti analoghi in Apple, JPMorgan, Amazon, Verizon e diverse banche d’investimento.

Samsung illustra il confine, non il cuore del problema qui in esame, perché ciò che era uscito era un contenuto identificabile, codice, verbali, informazioni classificabili, cioè precisamente gli oggetti che la governance sa riconoscere e, con gli strumenti giusti, intercettare. Ma sotto la soglia della fuga di dati, e assai più diffusa di essa, corre una dispersione che nessuna statistica sui data breach cattura, ed è quella del ragionamento.

L’analisi

La scala del fenomeno è documentata. Un’analisi di Cyberhaven su un milione e seicentomila lavoratori ha rilevato che l’11 per cento di ciò che i dipendenti incollano in ChatGPT è materiale riservato, con il codice sorgente e i dati dei clienti tra le categorie più frequenti. Il rapporto Enterprise AI and SaaS Data Security di LayerX ha stimato che il 77 per cento di chi usa strumenti di AI generativa vi incolla dati aziendali, e che l’82 per cento di questi inserimenti proviene da account personali non gestiti, cioè fuori da ogni controllo aziendale. Le categorie che emergono da questi rilevamenti non sono solo numeri e anagrafiche, ma documenti di strategia, materiali per il consiglio di amministrazione, roadmap di prodotto, contratti sottoposti a riservatezza, ossia proprio le forme in cui il capitale cognitivo si mette per iscritto.

Il punto tecnico che dà il nome a questo documento è stato osservato esplicitamente da chi studia la sicurezza di questi sistemi. L’esperto Daniel Kelley, in un’analisi riportata da ITPro, ha rilevato che ChatGPT non espone soltanto il contenuto dell’informazione, ma il ragionamento che la sottende, che può essere ricostruito attraverso interrogazioni sequenziali. È la formulazione esterna della tesi qui sostenuta: ciò che l’interrogazione paziente estrae non è il dato, è il metodo con cui il dato viene pensato.

E qui la simmetria con la distillazione tra laboratori si chiude. Gli stessi rilievi convergono su una constatazione che ricorre in ogni fonte, ossia che gli strumenti di sicurezza tradizionali non vedono nulla di tutto questo, perché il ragionamento non esce come un file da intercettare ma come testo incollato in una finestra di conversazione, indistinguibile per un sistema di prevenzione dal menu di un ristorante o da un piano di acquisizione. Il dato riservato di Samsung ha fatto scattare un allarme e un divieto.

Il metodo che ogni giorno transita per prompt non fa scattare niente, perché non è un dato personale, non è un contenuto classificabile, non attiva alcun controllo. Il controllo di gestione che ragiona di marginalità con un modello, l’ufficio legale interno che imposta la logica di una difesa, il product manager che espone i criteri con cui l’azienda decide cosa costruire condividono tutti la stessa dinamica, per cui il dato resta dentro e il metodo esce, e la stessa assunzione implicita, che finché non escono i numeri non esca nulla di prezioso. È l’assunzione da rovesciare.

Definizione della distillazione cognitiva dell’utente

Il fenomeno si distingue dalla distillazione tra modelli per l’assenza di un atto di sottrazione: il trasferimento del capitale cognitivo avviene infatti per adesione contrattuale, non per violazione. Si distingue dalla violazione dei dati personali perché il suo oggetto, la struttura del ragionamento, non costituisce dato personale e non è tutelato dagli strumenti concepiti per esso.

Questa è la coniazione che il documento propone al vocabolario della governance. Non descrive un abuso da parte dei fornitori, descrive una proprietà strutturale del modo in cui oggi il lavoro cognitivo incontra i sistemi di AI. Nominare il fenomeno è la condizione per poterlo individuare e governare, auspicabilmente anche sotto il profilo giuridico.

Resta da giustificare l’analogia: se la distillazione tra modelli è illecita e questa è consensuale, perché chiamarle con lo stesso nome? La risposta sta nel risultato, non nel movente. Ciò che rende la distillazione tra laboratori un problema non è soltanto la frode negli accessi, è il risultato: una capacità costruita da altri, con anni di lavoro e ingenti risorse, che finisce riprodotta altrove senza il costo di produrla. Il danno competitivo risiede nel trasferimento della capacità, non nell’illegalità del mezzo. La distillazione cognitiva dell’utente produce lo stesso tipo di trasferimento, un metodo che si sposta da chi lo ha costruito a un sistema che lo riutilizza, con la differenza che qui il mezzo è lecito. L’estensione del termine tecnico dal piano dei modelli a quello contrattuale è, dunque, deliberata: come privacy by design ha portato un concetto ingegneristico nel lessico del diritto, qui un concetto dell’ingegneria dei modelli viene esteso a un fenomeno che ne condivide il risultato.

Occorre però una distinzione che eviti un fraintendimento. Il trasferimento fuori dal perimetro è più efficiente di quello tra laboratori, perché non incontra resistenza: nessuna frode da compiere, nessuna difesa da aggirare, il flusso esce per adesione contrattuale. Ma trasferimento non è appropriazione. Che il metodo esca con facilità non significa che chi lo riceve ne ricavi un vantaggio equivalente, perché l’aggregazione con il ragionamento di innumerevoli altri utenti può diluirlo fino a renderlo poco riconoscibile. L’analogia con la distillazione riguarda il primo momento, l’uscita del capitale cognitivo dal controllo di chi lo possiede, non necessariamente il secondo, la sua ricomposizione utile altrove. È su questo primo momento che si gioca la perdita rilevante, come si vedrà più avanti.

Capitale cognitivo e tutela del segreto commerciale

A rafforzare la tesi interviene un elemento giuridico che merita attenzione, per quanto non costituisca il cuore dell’argomento. L’ordinamento italiano, all’articolo 98 del Codice della Proprietà Industriale, in recepimento della Direttiva UE 2016/943, protegge come segreto commerciale il know-how aziendale a tre condizioni cumulative: che sia segreto, che abbia valore economico in quanto segreto, e che sia sottoposto dal detentore a misure ragionevolmente adeguate a mantenerlo tale.

Il terzo requisito è quello dirimente. La dottrina è concorde nel ritenere che la mancata adozione di misure adeguate esponga l’informazione al rischio di perdere il carattere segreto e con esso la tutela: informazioni pur dotate di oggettivi caratteri di segretezza e valore economico possono perdere tutela ove la loro dispersione sia dovuta alla scarsa attenzione del loro titolare o a divulgazioni non dovute a fatti illeciti o violazioni altrui, o omissione di chi doveva proteggerle. La Direttiva europea muove dallo stesso principio, richiedendo misure ragionevoli come condizione della protezione.

Ne discende una conseguenza concreta. Immettere il proprio know-how negoziale, gestionale o strategico in un sistema esterno che, per clausola, lo tratterà in forma aggregata per migliorare i propri servizi, difficilmente si qualifica come misura ragionevolmente adeguata a mantenerlo segreto. Il capitale cognitivo che esce così dal perimetro non solo si disperde: rischia di perdere, nel farlo, la stessa qualifica giuridica che lo renderebbe difendibile. La distillazione cognitiva dell’utente ha quindi un costo che non è soltanto competitivo, è anche legale.

Quando la distillazione cognitiva dell’utente conta davvero

Una lettura onesta del fenomeno deve rispondere a un’obiezione legittima. Non tutte le organizzazioni possiedono un capitale cognitivo distintivo. Il modo in cui una piccola impresa gestisce una funzione ordinaria somiglia, con ogni probabilità, al modo in cui la gestiscono mille imprese simili. Se il metodo non è distintivo, la sua dispersione non è una perdita competitiva, e predicare urgenza a chi non ha un tesoro da difendere sarebbe soltanto allarme ingiustificato.

L’obiezione è fondata, e restringe il campo anziché indebolirlo. La distillazione cognitiva dell’utente conta dove il capitale cognitivo è effettivamente distintivo, cioè dove il modo di ragionare costituisce parte del vantaggio competitivo. Un fondo che ha affinato in anni una logica di valutazione, uno studio professionale con una metodologia propria, un’impresa manifatturiera con un know-how negoziale che le consente margini superiori alla media: qui il metodo è l’asset, e la sua dispersione conta. Altrove conta meno, o non conta.

Vi è però una precisazione che sposta il baricentro dell’argomento, e lo rende più solido. La tesi di questo documento non è, in senso stretto, che la distillazione cognitiva sottragga il vantaggio competitivo. L’aggregazione con il ragionamento di innumerevoli altri utenti diluisce il metodo del singolo, e un critico potrebbe sostenere che nell’insieme il vantaggio individuale svanisca. Il punto non è la quantità di metodo che sopravvive nell’aggregato. Il punto è la perdita di titolarità e di controllo. Nel momento in cui il ragionamento di un’organizzazione esce dal suo perimetro ed entra in un sistema che lo conserva e lo riutilizza, quell’organizzazione ha cessato di essere l’unica a controllare il proprio capitale cognitivo, a prescindere da quanto di esso resti riconoscibile a valle. Per un asset la cui protezione giuridica dipende, come si è visto, dal controllo che il detentore esercita su di esso, la perdita di controllo è già di per sé la perdita rilevante.

Dalla protezione del dato alla sovranità del ragionamento

La perdita di controllo sul proprio sapere affidandolo a un terzo non è una novità assoluta. È accaduto con l’esternalizzazione dei processi, con la migrazione al cloud, con i consulenti che portavano da un’azienda alla concorrente il metodo appreso. Ogni volta, l’affidamento a un fornitore esterno ha comportato una cessione di controllo, governata poi da contratti, clausole di riservatezza, misure tecniche. La distillazione cognitiva dell’utente appartiene a questa continuità, non a una rottura. Ciò che cambia è la scala, la velocità e, soprattutto, la percezione: mai prima il trasferimento era stato così esteso, così rapido e così invisibile a chi lo compie. Inquadrare il fenomeno in questa storia lo sottrae al sensazionalismo e lo colloca dove va affrontato, tra i problemi noti di governance dell’esternalizzazione, con una difficoltà nuova, l’assenza di consapevolezza nel punto in cui avviene.

La conclusione che questo documento sostiene è netta. Il paradigma della protezione del dato, per quanto necessario, è strutturalmente insufficiente a difendere il capitale cognitivo, perché è concepito per un oggetto che il capitale cognitivo non è. Nessuna misura costruita attorno al dato personale, per quanto rigorosa, intercetta un metodo che esce sotto forma di prompt. Serve un secondo paradigma, complementare e non sostitutivo: la sovranità del ragionamento.

Sovranità del ragionamento significa che, quando il capitale cognitivo ha valore competitivo, l’obiettivo della governance non è consentire al ragionamento di uscire in forma protetta, ma impedire che esca dal perimetro controllato dall’organizzazione. La differenza è radicale. La protezione del dato lavora sul come del trasferimento, cifrando, anonimizzando, tracciando. La sovranità del ragionamento lavora sul se, chiedendo se quel flusso debba lasciare il perimetro. Sposta la questione dalla clausola contrattuale, che l’utente non controlla, all’infrastruttura, che l’organizzazione può controllare.

Questo implica una gerarchia di trattamento del capitale cognitivo per livelli di sensibilità, analoga a quella che già si applica ai dati ma fondata su un criterio diverso, il valore strategico del ragionamento anziché la riservatezza del contenuto. Ai livelli più alti, dove il metodo esposto coincide con il vantaggio competitivo, l’unica difesa strutturalmente adeguata è che l’elaborazione avvenga su infrastruttura sovrana, sotto il controllo diretto dell’organizzazione, con tracciabilità e governance native.

I livelli di sovranità del capitale cognitivo

La protezione dei dati conosce da tempo il principio della classificazione: non tutte le informazioni hanno lo stesso grado di riservatezza, e a ciascun grado corrisponde un regime di trattamento. Il capitale cognitivo richiede una classificazione propria, che non si sovrappone a quella dei dati perché ne usa un criterio differente. Non la riservatezza del contenuto, ma il valore competitivo del ragionamento che viene messo in forma. Se ne possono distinguere quattro livelli.

Livello 1: ragionamento pubblico o generico

Un professionista che chiede a un modello di spiegargli una norma nota, di riassumere un concetto, di correggere un testo, non espone alcun metodo distintivo. Il valore competitivo del ragionamento è nullo o prossimo a zero, perché chiunque nel suo ruolo ragionerebbe allo stesso modo. A questo livello l’uso di sistemi esterni, anche consumer, non comporta dispersione di capitale cognitivo, e imporre restrizioni sarebbe soltanto un freno all’adozione.

Livello 2: ragionamento operativo

La struttura con cui si imposta un documento ricorrente, la sequenza di controlli di una procedura standard, il modo abituale di organizzare un’analisi. Vi è qui una regolarità che appartiene all’organizzazione, ma è una regolarità diffusa nel settore, replicabile, non decisiva sul piano competitivo. La sua dispersione ha un costo, ma contenuto. Il regime adeguato è quello dei piani business, che escludono l’addestramento diretto, con la consapevolezza che lo strato de-identificato resta comunque attivo.

Livello 3: ragionamento di processo

I criteri con cui l’organizzazione prende decisioni ricorrenti che la distinguono dai concorrenti: come valuta un investimento, come prioritizza, come struttura una trattativa complessa. Qui il metodo comincia a coincidere con il vantaggio, e la sua uscita dal perimetro, anche in forma de-identificata, costituisce una perdita di controllo su un asset strategico. Il regime adeguato non è più soltanto contrattuale, richiede infrastruttura controllata o modelli proprietari, con audit trail e governance sul flusso.

Livello 4: ragionamento strategico

La logica con cui l’organizzazione decide la propria direzione, il modo di pensare che costituisce la sua ragione competitiva più profonda, ciò che la rende quella che è e non un’altra. A questo livello la distillazione cognitiva dell’utente non è un rischio accettabile a fronte di un beneficio di produttività, è una cessione dell’identità competitiva dell’impresa. L’unico regime adeguato è la sovranità piena: elaborazione su infrastruttura interna o privata, ragionamento che non lascia mai il perimetro.

Gli ultimi due sono quelli che più probabilmente possono rientrare nella definizione dell’art. 98 c.p.i.

Il principio che attraversa i quattro livelli è che più alto è il valore competitivo del ragionamento, maggiore è la sovranità richiesta. La classificazione non serve a bloccare l’adozione, serve a renderla selettiva: aperta dove il ragionamento è generico, sovrana dove è strategico. Confondere i livelli è l’errore in entrambe le direzioni, perché blindare il livello uno paralizza l’organizzazione senza proteggere nulla, ed esporre il livello quattro protegge la produttività quotidiana sacrificando l’asset che vale di più.

Per collocare un processo nel livello giusto è sufficiente una domanda, che funziona da test operativo: se un concorrente conoscesse il modo in cui questo ragionamento viene condotto, ne ricaverebbe un vantaggio a mie spese. Se la risposta è no, il ragionamento è di primo o secondo livello e tollera regimi aperti. Se la risposta è sì, e il vantaggio eroso sarebbe significativo, il ragionamento è di terzo o quarto livello e richiede sovranità. La domanda sposta la classificazione da un giudizio astratto di valore a una valutazione concreta di esposizione competitiva, che chi conosce la propria attività è in grado di dare.

Sovranità e capacità: il falso dilemma

A questo punto un decisore esperto solleva l’obiezione decisiva. I modelli che si installano in sede, sotto controllo dell’organizzazione, sono meno capaci di quelli di frontiera accessibili solo dal cloud. Chiedere sovranità sembra chiedere di rinunciare al modello migliore, e quindi di scegliere tra proteggere il capitale cognitivo e lavorare con lo strumento più potente. Il dilemma è reale, ma è mal posto, perché presuppone che l’organizzazione debba scegliere un solo modello per ogni attività.

La soluzione è il routing semantico. Non tutte le richieste che un’organizzazione rivolge all’AI hanno lo stesso livello di sensibilità cognitiva, e non devono seguire lo stesso percorso. Un sistema di instradamento valuta la natura di ciascuna richiesta e la indirizza all’infrastruttura adeguata: le attività di primo e secondo livello, dove il ragionamento è generico e la capacità del modello conta di più, verso i modelli di frontiera in cloud; le attività di terzo e quarto livello, dove il metodo è strategico e la sovranità conta di più, verso i modelli che operano dentro il perimetro. La scelta non è più tra sovranità e capacità, è l’allocazione dell’una o dell’altra secondo ciò che ogni attività richiede. Si usa il modello più potente dove il rischio cognitivo è basso, e il modello sovrano dove il rischio è alto.

Resta la domanda se un modello che gira in sede sia sufficiente per il lavoro riservato che gli viene affidato. La risposta, maturata nell’esperienza diretta degli autori su progetti di adozione e audit in contesti regolamentati, è che la capacità richiesta per le attività riservate è quasi sempre inferiore a quella che si immagina. Un modello di dimensioni contenute, dell’ordine di alcune decine di miliardi di parametri, collegato a una base di conoscenza aziendale tramite recupero contestuale delle informazioni, copre la larghissima parte delle esigenze operative di un’organizzazione. La ragione è che, per il lavoro riservato, la competenza decisiva non risiede nella conoscenza generale del mondo incorporata nei modelli più grandi, ma nella conoscenza specifica dell’azienda, che vive nei suoi documenti e nei suoi processi. Un modello di frontiera sa moltissime cose che non servono a redigere un parere interno o a strutturare una trattativa; ciò che serve è che il modello ragioni bene sui dati dell’azienda, e per questo un modello medio ben orchestrato, che attinge alla base di conoscenza interna, è adeguato. La sofisticazione del modello più grande diventa dirimente per compiti di creatività aperta o di ragionamento generale complesso, che raramente coincidono con le attività a più alto valore cognitivo riservato. Il compromesso in capacità, dove esiste, si concentra proprio là dove la sovranità conta meno, e si annulla là dove conta di più.

Raccomandazioni per proteggere il capitale cognitivo

Alle organizzazioni che vogliono presidiare il proprio capitale cognitivo il documento propone quattro linee d’azione.

Mappatura degli strumenti e dei flussi di ragionamento

La prima è la mappatura. Gli strumenti di AI adottati dal basso, gli account consumer non censiti, vanno rilevati non solo per il rischio sui dati personali, ma per il flusso di ragionamento che vi transita. La domanda da porsi non è quali dati escono, è quale metodo esce. In pratica, questo significa affiancare all’inventario degli strumenti una ricognizione delle funzioni che li usano per ragionare e non solo per produrre: chi negozia, chi decide, chi prioritizza, chi analizza. Sono queste le funzioni la cui esposizione va valutata per prima, perché sono quelle il cui output è metodo prima che contenuto.

Regime contrattuale e piani di utilizzo

La seconda è la deliberazione del regime contrattuale. La scelta tra piani consumer e piani enterprise non è una questione di budget, è la linea che separa il metodo esposto dal metodo relativamente protetto. Va decisa a livello aziendale e non lasciata all’iniziativa del singolo, perché un solo dipendente che accetta termini consumer vincola di fatto l’organizzazione a un trattamento che nessun organo ha deliberato. Concretamente, l’organizzazione dovrebbe stabilire quali strumenti sono ammessi, su quali piani, e rendere indisponibili per default le versioni consumer sugli account professionali, così che l’adozione sicura sia la strada di minor resistenza e non un adempimento che grava sulla diligenza individuale.

Classificazione per livelli di sovranità

La terza è la classificazione del capitale cognitivo per livelli di sovranità, secondo la gerarchia proposta in questo documento. Non tutto il ragionamento ha lo stesso valore: quello a più alto valore competitivo richiede che l’elaborazione non lasci il perimetro, quello a valore ordinario tollera regimi più aperti. In termini operativi, ciò comporta assegnare a ciascuna funzione o processo un livello, dal ragionamento generico a quello strategico, e associare a ogni livello un regime tecnologico ammesso, dai sistemi esterni per il primo livello all’infrastruttura sovrana per il quarto. È la traduzione, sul terreno del capitale cognitivo, della classificazione delle informazioni che ogni organizzazione matura già applica ai propri dati.

Formazione e consapevolezza organizzativa

La quarta è la formazione. La consapevolezza è la prima misura di protezione, e nel caso della distillazione cognitiva dell’utente è anche l’unica che agisce nel punto esatto in cui il fenomeno si genera, cioè la decisione della singola persona su cosa immettere e dove. Un’organizzazione i cui membri sanno riconoscere quando stanno versando il proprio metodo ha già ridotto l’esposizione più di quanto possa qualsiasi controllo a valle. La formazione efficace non è un richiamo generico alla prudenza, è l’addestramento a distinguere, nel proprio lavoro quotidiano, il momento in cui si sta trasmettendo un dato dal momento in cui si sta trasmettendo un metodo, perché è solo il secondo che richiede cautela sul dove.

Queste quattro linee non richiedono un impianto di governance nuovo. La mappatura e la classificazione trovano collocazione naturale nel sistema di gestione dell’AI delineato dalla ISO/IEC 42001, che chiede all’organizzazione un inventario dei sistemi e una valutazione dei rischi e degli impatti; la deliberazione del regime contrattuale rientra tra i presidi che l’AI Act richiede ai soggetti che impiegano sistemi di AI, a partire dall’obbligo di alfabetizzazione previsto dall’articolo 4; e per le organizzazioni italiane la Legge 132/2025 offre il quadro interno entro cui collocare le scelte di sovranità dell’infrastruttura. Il capitale cognitivo non chiede una governance parallela; chiede che quella esistente impari a vederlo.

Nota di citazione

Per citare questo documento: V.M. Affer, C. Redona, La distillazione cognitiva dell’utente. Perché la governance dell’AI protegge il dato e lascia scoperto il capitale cognitivo, position paper, agosto 2026. URL canonico e identificativo permanente in corso di attribuzione.

Bibliografia

Anthropic, “Detecting and preventing distillation attacks”, 2026: https://www.anthropic.com/news/detecting-and-preventing-distillation-attacks

Anthropic, “Is my data used for model training?”, Privacy Center, 2026: https://privacy.claude.com/en/articles/7996868-is-my-data-used-for-model-training

OpenAI, “Privacy Policy”, 2026: https://openai.com/policies/row-privacy-policy/

OpenAI, “How your data is used to improve model performance”, 2026: https://help.openai.com/en/articles/5722486-how-your-data-is-used-to-improve-model-performance

Perplexity, “Data Collection at Perplexity”, Help Center, 2026: https://www.perplexity.ai/help-center/en/articles/11564572-data-collection-at-perplexity

Google, “Gemini Apps Privacy Hub”, 2026: https://support.google.com/gemini/answer/13594961

Bloomberg, “Samsung bans ChatGPT and other generative AI use by staff after leak”, 2023: https://www.bloomberg.com/news/articles/2023-05-02/samsung-bans-chatgpt-and-other-generative-ai-use-by-staff-after-leak

Cyberhaven, “11% of data employees paste into ChatGPT is confidential”, 2023 (agg. 2025): https://www.cyberhaven.com/blog/4-2-of-workers-have-pasted-company-data-into-chatgpt

LayerX, Enterprise AI and SaaS Data Security Report, “AI Is Now the #1 Data Exfiltration Vector in the Enterprise”, 2025: https://layerxsecurity.com/blog/ai-is-now-the-1-data-exfiltration-vector-in-the-enterprise-and-nobodys-watching/

ITPro, “AI conversations security blind spot” (fonte secondaria che riporta l’analisi di D. Kelley): https://www.itpro.com/technology/artificial-intelligence/ai-conversations-security-blind-spot

Codice della Proprietà Industriale, art. 98, Oggetto della tutela: https://www.brocardi.it/codice-della-proprieta-industriale/capo-ii/sezione-vii/art98.html

Direttiva (UE) 2016/943 sulla protezione del know-how e delle informazioni commerciali riservate: https://eur-lex.europa.eu/eli/dir/2016/943/oj/eng

S. Brighenti, “Le misure adeguate a mantenere il segreto secondo l’art. 98 c.p.i.”: http://www.rivistaodc.eu/Article/Archive/index_html?ida=226&idn=30&idi=-1&idu=-1