--- title: Data classification perché è cruciale nell'era dell'AI description: Cos’è la data classification e come aiuta a proteggere i dati, governare l’AI, applicare DLP e accessi coerenti e supportare la compliance. image: https://blog.quanture.com/hubfs/86-1.png --- [![quanture](https://blog.quanture.com/hubfs/quanture-pictogram-new.png)](https://quanture.com) - [WE ARE](https://www.quanture.com/we-are/) - [WE CARE](https://www.quanture.com/we-care/) - [JOIN US](https://www.quanture.com/join-us/) - [SUCCESS STORIES](https://www.quanture.com/case-studies/) - [DOT](https://blog.quanture.com/) - [MY.QUANTURE](https://www.quanture.com/myquanture/) - IT Design & Engineering ### [IT Design & Engineering](https://www.quanture.com/it-infrastructure/) Massimizza l’efficienza e la sicurezza del tuo ecosistema IT. [Scopri di più](https://www.quanture.com/it-infrastructure/) [Scopri i nostri IT services](https://www.quanture.com/it-services/) [Hybrid Infrastructure](https://www.quanture.com/it-infrastructure/hybrid-infrastructure/) - [Infrastructure as a Service](https://www.quanture.com/managed-service/infrastructure-as-a-service/) - [On Premise | Server & Storage, Iperconvergenza, Virtualizzazione](https://www.quanture.com/it-solutions/on-premises-virtualizzazione-iperconvergenza-server-storage/) - [Azure Public Cloud](https://www.quanture.com/it-solutions/public-cloud-ms-azure/) - [ArQive | Storage your data](https://www.quanture.com/managed-service/object-storage-s3/) - [Infrastructure Assesment](https://www.quanture.com/it-consultancy-services/infrastructure-assesment/) - [Cloud Readiness Assessment](https://www.quanture.com/it-consultancy-services/cloud-readiness-assessment/) [Networking](https://www.quanture.com/it-infrastructure/networking/) - [Data Center Networking](https://www.quanture.com/it-solutions/data-center-networking/) - [Wired e Wireless](https://www.quanture.com/it-solutions/reti-lan-wlan/) - [WAN e SD-WAN](https://www.quanture.com/it-solutions/sd-wan/) - [Network Security](https://www.quanture.com/it-solutions/network-security/) - [Network Assessment](https://www.quanture.com/it-consultancy-services/network-assessment/) - [Wi-fi Site Survey](https://www.quanture.com/it-consultancy-services/wifi-site-survey/) [Business Continuity](https://www.quanture.com/it-infrastructure/business-continuity/) - [Data Resiliency](https://www.quanture.com/it-solutions/data-resiliency/) - [Business Continuity](https://www.quanture.com/it-solutions/business-continuity/) - [Zero Time – RPO & RTO Assessment](https://www.quanture.com/it-consultancy-services/disaster-recovery-assessment/) [Monitoraggio delle risorse](https://www.quanture.com/managed-service/it-monitoring/) [Business & Technical Consultancy](https://www.quanture.com/it-consultancy-services/) [Support Services](https://www.quanture.com/support-services/) [Presidio as a Service](https://www.quanture.com/managed-service/presidio-informatico/) [Scopri di più](https://www.quanture.com/it-infrastructure/) [Scopri i nostri IT services](https://www.quanture.com/it-services/) - Smart Productivity ### [Smart Productivity](https://www.quanture.com/smart-productivity/) Sfrutta appieno le tue risorse, ottimizza i flussi di lavoro e incrementa la produttività. [Scopri di più](https://www.quanture.com/smart-productivity/) [Scopri i nostri IT services](https://www.quanture.com/it-services/) [Collaboration and Communication](https://www.quanture.com/smart-productivity/collaboration-and-communication/) - [Productivity Suite](https://www.quanture.com/it-solutions/productivity-suite/) - [Enterprise Collaboration](https://www.quanture.com/it-solutions/enterprise-collaboration/) - [Enterprise Voice](https://www.quanture.com/it-solutions/enterprise-voice/) - [Data Governance& AI:Copilot Suite](https://www.quanture.com/it-solutions/copilot-ai/) [Workplace](https://www.quanture.com/smart-productivity/postazioni-lavoro/) - [Mobile Device Management](https://www.quanture.com/it-solutions/mobile-device-management/) - [Virtual Workplace](https://www.quanture.com/it-solutions/virtual-workplace/) - [Workplace as a Service](https://www.quanture.com/managed-service/workplace-as-a-service/) - [E-mail Security](https://www.quanture.com/it-solutions/email-security/) - [End-Point Security](https://www.quanture.com/it-solutions/endpoint-security/) [Printing Solutions](https://www.quanture.com/smart-productivity/printing-solutions/) - [Printing Managed Services](https://www.quanture.com/managed-service/managed-print-services/) [Monitoraggio delle risorse](https://www.quanture.com/managed-service/it-monitoring/) [Business & Technical Consultancy](https://www.quanture.com/it-consultancy-services/) [Support Services](https://www.quanture.com/support-services/) [Presidio as a Service](https://www.quanture.com/managed-service/presidio-informatico/) [Scopri di più](https://www.quanture.com/smart-productivity/) [Scopri i nostri IT services](https://www.quanture.com/it-services/) - Cyber Security ### [Cyber Security](https://www.quanture.com/cyber-security/) Proteggi i tuoi asset digitali e garantisci la sicurezza dei dati e la continuità operativa della tua azienda. [Scopri di più](https://www.quanture.com/cyber-security/) [Scopri i nostri IT services](https://www.quanture.com/it-services/) [Security Platform](https://quanture.com/cyber-security/security-platform/) - [Network Security](https://www.quanture.com/it-solutions/network-security/) - [End-Point Security](https://www.quanture.com/it-solutions/endpoint-security/) - [E-mail Security](https://www.quanture.com/it-solutions/email-security/) - [Data Resiliency](https://www.quanture.com/it-solutions/data-resiliency/) - [Digital Identity & Access Security](https://www.quanture.com/it-solutions/iam-security/) - [Cyber Security Awareness](https://www.quanture.com/it-consultancy-services/cyber-security-awareness/) - [Active Directory Security Assessment](https://www.quanture.com/it-consultancy-services/active-directory-security-assessment/) - [M365 Security Hardening](https://www.quanture.com/it-consultancy-services/m365-security-hardening/) - [Zero Time – RPO & RTO Assessment](https://www.quanture.com/it-consultancy-services/disaster-recovery-assessment/) [Ethical Hacking](https://www.quanture.com/cyber-security/ethical-hacking/) - [Vulnerability Assessment](https://www.quanture.com/it-consultancy-services/vulnerability-assessment/) - [Penetration Test](https://www.quanture.com/it-consultancy-services/penetration-test/) - [Web Application Penetration Test](https://www.quanture.com/it-consultancy-services/wapt/) - [Mobile Application Penetration Test](https://www.quanture.com/it-consultancy-services/mobile-application-penetration-test/) - [Wireless Penetration Test](https://www.quanture.com/it-consultancy-services/wireless-penetration-test/) - [Phising Attack Test](https://www.quanture.com/it-consultancy-services/phishing-attack-test/) [Cyber Security Managed Services](https://quanture.com/cyber-security/managed-services/) - [Vulnerability Monitoring](https://www.quanture.com/managed-service/vulnerability-monitoring/) - [Vulnerability Management](https://www.quanture.com/managed-service/vulnerability-management/) - [Intacto – Backup e Disaster Recovery as a Service](https://www.quanture.com/managed-service/disaster-recovery-as-a-service/) - [EPQ – Endpoint Protection Quanture](https://www.quanture.com/managed-service/endpoint-protection/) - [E-mail Security Complete](https://www.quanture.com/managed-service/vulnerability-monitoring/) [Monitoraggio delle risorse](https://www.quanture.com/managed-service/it-monitoring/) [Business & Technical Consultancy](https://www.quanture.com/it-consultancy-services/) [Support Services](https://www.quanture.com/support-services/) [Presidio as a Service](https://www.quanture.com/managed-service/presidio-informatico/) [Scopri di più](https://www.quanture.com/cyber-security/) [Scopri i nostri IT services](https://www.quanture.com/it-services/) - [Microsoft Advisory Services](https://www.quanture.com/microsoft-advisory-services/) ### [Microsoft Advisory Services](https://www.quanture.com/microsoft-advisory-services/) Tutto il potenziale del Cloud e della suite M365 al servizio del tuo business. [Scopri di più](https://www.quanture.com/microsoft-advisory-services/) [Scopri i nostri IT services](https://www.quanture.com/it-services/) [Active Directory & Domain Services](https://www.quanture.com/microsoft-advisory-services/active-directory-domain-services/) - [Microsoft Active Directory](https://www.quanture.com/it-solutions/microsoft-active-directory/) - [Microsoft ENTRA](https://www.quanture.com/it-solutions/microsoft-entra/) - [Active Directory Security Assessment](https://www.quanture.com/it-consultancy-services/active-directory-security-assessment/) - [Integrazione e separazione di foreste e domini](https://www.quanture.com/it-solutions/active-directory-integration/) [Remotizzazione delle postazioni o delle applicazioni](https://quanture.com/microsoft-advisory-services/remotizzazione-desktop/) - Azure Virtual Desktop [Microsoft Cloud: Infrastructure & Productivity](https://www.quanture.com/microsoft-advisory-services/microsoft-cloud-infrastructure-productivity/) - [Azure Public Cloud](https://www.quanture.com/it-solutions/public-cloud-ms-azure/) - [Collaboration and Communication](https://www.quanture.com/smart-productivity/collaboration-and-communication/) - [Data Governance & AI: Copilot Suite](https://www.quanture.com/it-solutions/copilot-ai/) [SQL Server](https://www.quanture.com/microsoft-advisory-services/server-sql/) [Microsoft Dev Platform](https://www.quanture.com/development/) [Business & Technical Consultancy](https://www.quanture.com/it-consultancy-services/) [Support Services](https://www.quanture.com/support-services/) [Presidio as a Service](https://www.quanture.com/managed-service/presidio-informatico/) [Scopri di più](https://www.quanture.com/microsoft-advisory-services/) [Scopri i nostri IT services](https://www.quanture.com/it-services/) - [Dev & Apps](https://www.quanture.com/development/) # Data classification perché è cruciale nell'era dell'AI 23/09/2026 Tag: [Data Storage](https://blog.quanture.com/tag/data-storage) [Microsoft](https://blog.quanture.com/tag/microsoft) [Intelligenza Artificiale](https://blog.quanture.com/tag/intelligenza-artificiale) [Data Governance](https://blog.quanture.com/tag/data-governance) Oggi, la quantità di **dati prodotti da ogni tipo di realtà**, dalle aziende alle istituzioni, ha importanti implicazioni, che vanno molto al di là della mera gestione tecnica. Siamo di fronte a un cambiamento epocale che ha spinto le istituzioni a intraprendere un processo di **regolamentazione che coinvolge, inevitabilmente, anche i** [sistemi di intelligenza artificiale (AI)](https://blog.quanture.com/ai-agentica-nei-processi-aziendali-valore-casi-duso-e-metodo), i quali, come è noto, necessitano di grandi quantità di dati per l'addestramento. È proprio in questo contesto che **la data classification diventa fondamentale**, poiché permette di affrontare in modo strutturato la gestione di questi dati. ## Key Takeaways - La data classification**[organizza i dati](https://blog.quanture.com/data-classification-perch%C3%A9-%C3%A8-cruciale-nellera-dellai#definizione) in base a sensibilità, valore, rischio e requisiti normativi**, rendendo più efficace la Data Governance. - La classificazione è davvero utile quando [**guida controlli concreti**](https://blog.quanture.com/data-classification-perch%C3%A9-%C3%A8-cruciale-nellera-dellai#principi) come DLP, sensitivity label, retention, crittografia e regole di accesso. - La data classification supporta la [**compliance**](https://blog.quanture.com/data-classification-perch%C3%A9-%C3%A8-cruciale-nellera-dellai#compliance), ma non la garantisce da sola: deve inserirsi in un sistema più ampio di governance, sicurezza e controllo degli accessi. - Con [**AI, Copilot e sistemi agentici**](https://blog.quanture.com/data-classification-perch%C3%A9-%C3%A8-cruciale-nellera-dellai#ai) aumenta l’importanza di governare quali dati possono essere utilizzati, da chi e in quali condizioni. - Un [**percorso**](https://blog.quanture.com/data-classification-perch%C3%A9-%C3%A8-cruciale-nellera-dellai#percorso)efficace parte dai dati a maggiore rischio e valore e richiede il coinvolgimento congiunto di IT, Security, Legal, Compliance e funzioni di business.   ## Data classification: definizione e scopi La data classification è il processo di **organizzazione e gestione degli asset informativi in gruppi rilevanti, classi appunto, sulla base di caratteristiche condivise**, come il livello di sensibilità, il rischio associato, la necessità di protezione in funzione di diverse norme e regolamenti. Parte della più ampia disciplina della [Data Governance](https://blog.quanture.com/governance-dei-dati-come-garantire-sicurezza-e-compliance), la classificazione permette di trattare i dati secondo modalità adeguate ai diversi livelli di sicurezza richiesti. Si tratta quindi di una metodologia che **rende più agile ed efficace l’accesso alle informazioni, la loro protezione e il rispetto degli adempimenti normativi**.     Tuttavia, la classificazione dei dati ha importanti ricadute operative: per esempio, **applicare il massimo livello di sicurezza a tutti i dati aziendali può, paradossalmente, limitarne l'accesso e l'utilizzo, ostacolando così la valorizzazione** delle informazioni. Ecco perché la data classification diventa sempre più parte integrante delle strategie di Data Governance: è una delle basi necessarie per costruire **criteri di** [**Data Loss Prevention**](https://blog.quanture.com/data-loss-prevention-5-mosse-indispensabili-da-adottare)[**(DLP)**](https://blog.quanture.com/data-loss-prevention-5-mosse-indispensabili-da-adottare), che combinino efficacia e flessibilità. Questo vale anche per l'addestramento dei modelli di intelligenza artificiale aziendali, che richiedono l'uso di dati in modo flessibile e immediato. D’altro canto, la data classification offre un vantaggio cruciale: stabilisce **regole precise per l'accesso e l'utilizzo dei dati**. Ciò permette di applicare **politiche di fruizione differenziate** all'interno degli strumenti aziendali che gestiscono i dati, sia direttamente che indirettamente. Il caso più semplice è quello degli **assistenti virtuali** che, grazie a questa disciplina, possono fornire a ciascun operatore risposte e dati **in base ai suoi ruoli, permessi e privilegi**, senza rischio **di accessi o condivisioni non previsti e non governati**.   ## I principi di base della data classification Sebbene la data classification sia una disciplina complessa e articolata, possiamo riassumerla in alcune **linee guida essenzial**i che ne facilitino la comprensione. Il punto di partenza è conoscere il proprio patrimonio informativo: capire quali dati esistono, dove risiedono, quale valore hanno per l’organizzazione, a quali rischi sono esposti e chi può utilizzarli. In particolare, una corretta classificazione dovrebbe considerare almeno questi elementi: - **Tipi di dati**: identificare le diverse categorie di informazioni trattate dall’azienda — ad esempio dati personali, finanziari, contrattuali, tecnici, commerciali o relativi alla proprietà intellettuale — e distinguerle in base a sensibilità, criticità e finalità d’uso. Non tutti i dati, infatti, richiedono lo stesso livello di protezione. - **Posizione dei dati**: sapere dove sono conservate le informazioni e attraverso quali sistemi vengono gestite, considerando ambienti on-premise, cloud, SaaS, repository documentali, endpoint e piattaforme collaborative. La localizzazione è importante anche per comprendere dove vengono create copie, sincronizzazioni o condivisioni che possono aumentare l’esposizione del dato. - **Valore strategico e rischio**: valutare quanto un’informazione sia importante per il business e quali conseguenze potrebbero derivare dalla sua perdita, alterazione, indisponibilità o divulgazione non autorizzata. La classificazione deve quindi tenere conto non solo della riservatezza, ma anche dell’impatto operativo ed economico associato al dato. - **Normative applicabili**: individuare quali dati sono soggetti a obblighi specifici derivanti da normative, standard, contratti o policy interne. La classificazione aiuta così ad associare alle informazioni requisiti coerenti in termini di conservazione, protezione, tracciabilità, condivisione e gestione del ciclo di vita. - [**Accesso autorizzato**](https://blog.quanture.com/identity-and-access-management-funzionalit%C3%A0-chiave-e-vantaggi): definire chi può consultare, modificare, condividere o utilizzare le informazioni e in quali condizioni. L’accesso dovrebbe essere coerente con ruolo, responsabilità e necessità operative dell’utente, secondo il principio del **minimo privilegio**, riducendo il rischio di oversharing e accessi non necessari. La data classification fornisce quindi **una metodologia coerente e ripetibile** che consente di associare al dato un insieme coerente di regole che ne governino accesso, utilizzo, condivisione, protezione e conservazione lungo tutto il ciclo di vita. DATA CLASSIFICATION Quando serve un progetto di data classification ![data classification white](https://blog.quanture.com/hubfs/Blog%20Post%20e%20Rich%20Media/Data%20Classification/data%20classification%20white.png) QUANDO INTERVENIRE 5 segnali che indicano quando partire Alcuni cambiamenti tecnologici, organizzativi o normativi rendono necessario conoscere meglio i dati e applicare livelli di protezione differenti. In questi casi, partire dalla classificazione consente di **costruire una base comune** per Data Governance, sicurezza e utilizzo dell’AI, evitando di applicare gli stessi controlli a informazioni che hanno valore, rischio e finalità differenti. 1 AI e Copilot Introduzione di Microsoft 365 Copilot, agenti AI o altri strumenti che accedono alla knowledge base aziendale. 2 Cloud e migrazioni Migrazioni verso Microsoft 365, cloud, architetture ibride e multicloud, che ampliano i punti di accesso e condivisione. 3 Nuove policy Necessità di applicare DLP, sensitivity label, retention o controlli di accesso in modo coerente. 4 Audit e compliance Audit, adeguamenti normativi o certificazioni che richiedono di dimostrare come vengono gestiti dati e asset informativi. 5 Dati fuori controllo Episodi di oversharing, file sensibili accessibili a troppi utenti, dati duplicati o repository di cui non sono chiare proprietà e criticità. In questi casi, partire dalla classificazione consente di **costruire una base comune** per Data Governance, sicurezza e utilizzo dell’AI, evitando di applicare gli stessi controlli a informazioni che hanno valore, rischio e finalità differenti.   ## La data classification come strumento di compliance Oltre agli aspetti pratici e organizzativi, **la data classification può supportare la conformità a normative e standard in materia di** [**protezione dei dati**](https://blog.quanture.com/data-protection-checklist-tecnica-per-una-strategia-efficace)**, cybersecurity e gestione del rischio**. Non garantisce da sola la compliance, ma permette di: - identificare con precisione le **informazioni soggette a obblighi** legali specifici, - garantire la possibilità di **applicare controlli mirati** con agilità, - documentare le **misure adottate**, rendendo dimostrabile la compliance in sede di **audit** o [in caso di](https://blog.quanture.com/incident-response-dalla-detection-allazione-come-reagire-in-tempo)[protezione dei dati](https://blog.quanture.com/data-protection-checklist-tecnica-per-una-strategia-efficace). Vista la crescente pressione normativa nei confronti della gestione, organizzazione e messa in [sicurezza dei dati](https://blog.quanture.com/sicurezza-informatica-aziendale-come-proteggersi-dalle-vulnerabilit%C3%A0), è facile prevedere un’evoluzione verso criteri ancora più stringenti. L’adozione di una buona politica di data classification permetterà di rispondere in modo più agile ed efficace anche alle necessità future.   ### Quali normative e standard rendono strategica la data classification? | **Normativa / standard** | **Impatto sulla data classification** | | --- | --- | | Data Governance Act (DGA) | Applicabile dal 24 settembre 2023, rafforza la fiducia nella condivisione e nel riuso dei dati e disciplina, tra l’altro, il riuso di determinate categorie di dati pubblici protetti e i servizi di intermediazione. Non impone una tassonomia aziendale di data classification, ma rende centrali governance, tracciabilità e regole coerenti di accesso e utilizzo. | | Data Act Regolamento UE 2023/2854 | Applicabile dal 12 settembre 2025, stabilisce regole sull’accesso e l’uso dei dati, in particolare quelli generati da prodotti connessi e servizi correlati. La classificazione non è un obbligo generale esplicito, ma aiuta a distinguere dati, diritti di accesso, vincoli di riservatezza e condizioni di condivisione. | | Direttiva NIS2 | Entrata in vigore nel gennaio 2023, richiede misure di cybersecurity basate sul rischio, tra cui controllo degli accessi e gestione degli asset. Il Regolamento di esecuzione UE 2024/2690 richiede a specifiche categorie di soggetti [NIS2](https://blog.quanture.com/cose-la-direttiva-nis2-e-quali-obblighi-di-cybersecurity-richiede) di definire livelli di classificazione degli asset, incluse le informazioni, in base a sensibilità, criticità, rischio e valore di business. | | Digital Operational Resilience Act (DORA) | Applicabile dal 17 gennaio 2025, richiede alle entità finanziarie di identificare, classificare e documentare funzioni supportate da ICT e relativi asset informativi e ICT all’interno del framework di gestione del rischio. Prevede inoltre la classificazione degli incidenti in base a criteri di impatto e criticità. | | ISO/IEC 27001 | ISO/IEC 27001:2022 include nell’Annex A il controllo 5.12 dedicato alla classificazione delle informazioni in funzione delle esigenze di sicurezza dell’organizzazione. La versione 2022 resta lo standard di riferimento, con Amendment 1:2024. | | AI Act Regolamento UE 2024/1689 | È applicabile dal 2 agosto 2026, con un calendario differenziato per alcune disposizioni. Non impone una data classification generale, ma l’articolo 10 prevede pratiche appropriate di data governance e gestione per i dataset di training, validazione e test dei sistemi AI ad alto rischio, includendo aspetti quali origine, preparazione, adeguatezza e qualità dei dati, possibili bias e gap informativi. A seguito delle modifiche introdotte nel 2026, i relativi requisiti per i sistemi high-risk dell’Allegato III si applicano dal 2 dicembre 2027, mentre per quelli integrati nei prodotti regolamentati dell’Allegato I dal 2 agosto 2028. | | Fonti normative aggiornate a settembre 2026: [Commissione europea - Data Governance Act](https://digital-strategy.ec.europa.eu/en/policies/data-governance-act); [AI Act](https://digital-strategy.ec.europa.eu/it/policies/regulatory-framework-ai); [EUR-Lex - NIS2](https://eur-lex.europa.eu/eli/dir/2022/2555/oj) e [DORA](https://eur-lex.europa.eu/eli/reg/2022/2554/oj); [ISO/IEC 27001:2022](https://www.iso.org/standard/27001). | | [![WP\_AI Act, NIS2 e Data Act](https://hubspot-no-cache-eu1-prod.s3.amazonaws.com/cta/default/6986587/0398a13c-e4aa-463f-bf48-90c8e373464f.png)](https://hubspot-cta-redirect-eu1-prod.s3.amazonaws.com/cta/redirect/6986587/0398a13c-e4aa-463f-bf48-90c8e373464f)   ## Data classification e intelligenza artificiale, perché è importante Ora che abbiamo più chiaro perché la data classification sia importante in termini generali per le aziende, proviamo a capire meglio perché sia così rilevante quando entra in gioco l’intelligenza artificiale. L’AI Act non impone un obbligo generale di data classification, ma introduce specifici requisiti di data governance, in particolare per i sistemi ad alto rischio. Al di là della compliance, la classificazione dei dati resta comunque uno strumento importante per governare accessi, qualità e utilizzo delle informazioni nei sistemi AI.   ### L'evoluzione degli strumenti AI nelle aziende Le aziende stanno già utilizzando strumenti evoluti, dagli agenti AI ai sistemi conversazionali e di Decision Intelligence. Queste soluzioni possono usare i dati aziendali in modi diversi: per recuperare informazioni, contestualizzare una risposta, generare insight o, in alcuni casi, addestrare o specializzare modelli. In tutti questi scenari, **qualità, provenienza, permessi e classificazione dei dati incidono sulla capacità di usare l’AI in modo affidabile e governabile**.   AI IN ITALIA Intelligenza artificiale e imprese italiane 1,8 mld € Valore del mercato dell’AI in Italia nel 2025 +50% sul 2024 46% Quota del mercato AI rappresentata dalla GenAI e dalle soluzioni ibride La componente GenAI cresce oltre il 60% 71% Delle grandi imprese italiane ha avviato almeno un progetto AI nel 2025 Adozione progettuale 84% Delle grandi imprese utilizza licenze o strumenti di Generative AI ready-to-use +31% rispetto al 2024 8% Delle PMI ha avviato almeno un progetto AI Adozione progettuale 18% Delle PMI utilizza strumenti AI ready-to-use quota circa raddoppiata in un anno L’adozione cresce rapidamente, ma la capacità di governarla resta una delle sfide principali. *Fonte:  Osservatorio Artificial Intelligence – Politecnico di Milano, Artificial Intelligence nel 2025: mercato, adozione e trasformazione delle aziende; Use case AI nelle imprese italiane: focus su processi e settori, Ricerca 2025-2026.*    ### Le sfide legate all’AI e il ruolo della data classification In questo contesto, emergono due sfide distinte: - la prima, più nota e a cui abbiamo già accennato, riguarda **l’accesso ai dati**: occorre stabilire quali informazioni possano essere utilizzate dai sistemi di AI e quali utenti siano autorizzati ad accedere ai dati e agli output che questi sistemi producono; - la seconda riguarda **la qualità, la provenienza e l’adeguatezza dei dati utilizzati dall’AI**. A seconda della soluzione, infatti, le informazioni aziendali possono essere impiegate per attività di **retrieval e grounding, analisi e generazione** oppure, in alcuni casi, per l’**addestramento** o la **specializzazione di modelli**. Una parte importante della soluzione riguarda quindi **l’estensione dei criteri di data classification anche ai contenuti generati o rielaborati dall’AI**. Il principio è quello della **classification inheritance**: quando un nuovo contenuto deriva da informazioni già classificate, anche l’output dovrebbe mantenere un livello di protezione coerente con quello delle fonti da cui proviene. **Microsoft 365 Copilot offre un esempio concreto di come questo principio possa essere applicato.** Attraverso **Microsoft Purview**, negli scenari supportati, un nuovo contenuto generato a partire da documenti già protetti **può ereditare automaticamente ("classification inheritance") la sensitivity label con priorità più elevata** tra quelle presenti nelle fonti utilizzate. La classificazione, quindi, non si ferma al documento originario, ma può accompagnare l’informazione anche quando viene rielaborata dall’AI in un nuovo contenuto.   [![Data classification\_CTA\_02](https://blog.quanture.com/hs-fs/hubfs/Data%20classification_CTA_02.png?width=2500&height=917&name=Data%20classification_CTA_02.png)](https://quanture.com/it-solutions/data-resiliency/) [![Data classification\_05](https://blog.quanture.com/hs-fs/hubfs/Data%20classification_05.png?width=3334&height=2189&name=Data%20classification_05.png)](https://quanture.com/it-solutions/data-resiliency/)   C’è poi il tema della qualità. Il principio **“garbage in, garbage out”** continua a essere valido: dati incompleti, obsoleti, non verificati o di bassa qualità possono compromettere l’affidabilità dei risultati prodotti dall’AI. La data classification può contribuire a **distinguere fonti affidabili da informazioni obsolete o non idonee**, identificare i dati sensibili e stabilire quali informazioni possano essere utilizzate nei diversi casi d’uso. Nel caso dell’addestramento o della specializzazione di un modello, questo significa anche poter **escludere dati di scarsa qualità o provenienti da fonti non controllate**; negli scenari di retrieval e grounding, invece, significa circoscrivere meglio il patrimonio informativo sul quale il sistema può basare le proprie risposte. In entrambi i casi, la classificazione contribuisce a rendere **più controllabile e affidabile la base dati utilizzata dall’AI**. Questi principi diventano ancora più concreti quando l’AI opera direttamente sul patrimonio informativo aziendale e sui contenuti a cui le persone accedono ogni giorno. **Microsoft 365 Copilot è un esempio particolarmente significativo:** in questo scenario il tema non è tanto “addestrare l’AI con i dati aziendali”, quanto governare correttamente **quali informazioni possono essere recuperate, elaborate e trasformate in nuovi contenuti sulla base dei permessi già esistenti**. DATA CLASSIFICATION E AI Microsoft 365 Copilot: partire da permessi e dati sensibili ![Logo\_Microsoft\_Copilot](https://blog.quanture.com/hubfs/Blog%20Post%20e%20Rich%20Media/Data%20Classification/Logo_Microsoft_Copilot.png) MICROSOFT 365 COPILOT Copilot rispetta i permessi già esistenti Copilot può utilizzare il contesto e i dati Microsoft 365 a cui l’utente è già autorizzato ad accedere. Prompt, risposte e dati richiamati tramite Microsoft Graph non vengono utilizzati per addestrare i foundation model.  GOVERNARE PRIMA DI ESTENDERE ACCESSI Verificare permessi e condivisioni Prima di estendere l’adozione di Copilot è importante verificare chi può accedere ai contenuti, individuare eventuali fenomeni di oversharing e correggere autorizzazioni troppo ampie. PROTEZIONE Classificazione, sensitivity label e DLP Le sensitivity label di Microsoft Purview e le policy DLP aiutano a identificare e proteggere le informazioni sensibili e a mantenere coerenti le regole di utilizzo anche quando i contenuti vengono elaborati dall’AI. GOVERNANCE Data classification e identity governance lavorano insieme La classificazione stabilisce il livello di protezione richiesto dall’informazione; identity governance e access control determinano invece chi può accedervi. I due livelli sono complementari e diventano particolarmente importanti negli scenari AI. Verifica se dati, permessi e ambiente sono pronti per Copilot [Scopri Data Governance & AI: Copilot Suite →](https://quanture.com/it-solutions/copilot-ai/) ## Intelligenza artificiale e cybersecurity: proteggere dati e accessi L’intelligenza artificiale sta cambiando anche le modalità con cui vengono condotti gli attacchi informatici. Una [ricerca](https://www.anthropic.com/news/AI-enabled-cyber-threats-mitre-attack) pubblicata da Anthropic nel 2026 ha analizzato 832 account associati ad attività cyber malevole tra marzo 2025 e marzo 2026. **Nel 67,3% dei casi esaminati l’AI era stata utilizzata per attività di preparazione dell’attacco**, come la scrittura di malware, ma la ricerca rileva anche un crescente impiego nelle fasi successive alla compromissione, ad esempio per individuare account, muoversi all’interno della rete e aumentare i privilegi. **La criticità, quindi, non riguarda soltanto la sicurezza del modello AI.** OpenAI osserva a sua volta che gli attori malevoli utilizzano generalmente l’AI insieme a strumenti tradizionali, siti, account online e altri modelli, integrandola nelle diverse fasi del proprio workflow. **La superficie da proteggere comprende quindi l’intero ecosistema in cui l’AI opera: identità, applicazioni, infrastrutture e dati.** In questo scenario, **la data classification contribuisce a riconoscere quali informazioni richiedono maggiore protezione e a collegarle a controlli adeguati**. Permessi basati sul minimo privilegio, DLP, crittografia e monitoraggio possono così essere applicati in modo differenziato ai dati più sensibili o critici. Con AI e agenti capaci di accedere a più sistemi e informazioni, conoscere il valore e la sensibilità dei dati diventa ancora più importante per limitarne l’esposizione in caso di compromissione.   ## Come avviare un progetto di data classification Per evitare che la classificazione resti un esercizio documentale, il progetto deve produrre regole applicabili e verificabili. Un percorso pragmatico può essere articolato in cinque fasi:   **1. Assessment e mappatura:** Individuare repository, tipologie di dati, data owner, flussi, utenti e sistemi che vi accedono, includendo cloud, Microsoft 365, ambienti on-premise e fonti usate dall’AI.   **2. Tassonomia e criteri:** Definire un numero gestibile di livelli di classificazione sulla base di sensibilità, valore di business, requisiti normativi e impatto in caso di perdita, modifica o divulgazione.   **3. Priorità:** Partire dai dati che concentrano rischio e valore: informazioni personali e riservate, proprietà intellettuale, dati contrattuali o regolamentati, credenziali, documenti business-critical e knowledge base utilizzate dai sistemi AI.   **4. Policy e controlli:** Associare a ogni classe regole concrete: chi può accedere, come può condividere il dato, quali sensitivity label applicare, quando attivare DLP, retention, crittografia o limitazioni ulteriori.   **5. Monitoraggio e revisione:** Verificare nel tempo l’efficacia delle policy, gli accessi, le eccezioni, i falsi positivi e l’evoluzione dei repository. La classificazione deve essere aggiornata quando cambiano dati, processi, rischi o tecnologie.   ### Quali dati classificare per primi Non è necessario partire classificando tutto il patrimonio informativo. Un approccio efficace concentra la prima fase sulle **informazioni che hanno maggiore impatto potenziale**: dati personali e sensibili, proprietà intellettuale, documenti soggetti a vincoli contrattuali o normativi, informazioni necessarie alla continuità operativa e repository a cui accedono strumenti AI. In questo modo, si ottengono risultati misurabili senza trasformare il progetto in un censimento infinito.   ### Chi deve essere coinvolto La classificazione non può essere delegata al solo **IT**. **CIO e CISO** definiscono architettura e controlli; **DPO, Legal e Compliance** contribuiscono sui vincoli normativi; i **data owner** e le **funzioni di business** stabiliscono valore, criticità e modalità d’uso delle informazioni. L’obiettivo è arrivare a una tassonomia comprensibile alle persone e applicabile dagli strumenti tecnologici.   ### Dalla classificazione alle policy: DLP, accessi e sicurezza dei dati La tassonomia diventa efficace quando viene tradotta in **controlli**. Le classi di dati devono quindi essere collegate a policy DLP, sensitivity label, retention, crittografia e regole di accesso basate su ruoli e identità. In questo quadro, s**oluzioni di identity management come** [**Microsoft Entra**](https://quanture.com/it-solutions/microsoft-entra/) permettono di governare chi può accedere alle risorse, mentre la classificazione definisce il livello di protezione richiesto dall’informazione. I due livelli sono complementari e diventano ancora più importanti quando applicazioni e agenti AI operano sui dati aziendali.   ## La data classification è uno strumento di sicurezza ed efficienza I **dati** oggi non sono più soltanto il prodotto delle attività aziendali: sono un asset strategico il cui valore cresce ulteriormente quando entra in gioco l’intelligenza artificiale. Organizzarli, gestirli e governarne l’accesso attraverso la Data Governance è indispensabile; classificarli correttamente consente di applicare protezioni proporzionate, supportare gli adempimenti di compliance e rendere più sicuro l’utilizzo delle informazioni nei sistemi AI. La classificazione richiede uno sforzo iniziale, ma questo viene compensato dalla **riduzione dei rischi, sanzionatori oltre che di sicurezza, e da una gestione più efficace e affidabile del patrimonio informativo**.   [![NL\_The future is generative](https://hubspot-no-cache-eu1-prod.s3.amazonaws.com/cta/default/6986587/0ff377e2-e071-403a-9108-5084fab1e33c.png)](https://hubspot-cta-redirect-eu1-prod.s3.amazonaws.com/cta/redirect/6986587/0ff377e2-e071-403a-9108-5084fab1e33c)   Condividilo su: [![Share on facebook](https://blog.quanture.com/hubfs/socials/facebook-social.svg)](http://www.facebook.com/share.php?u=https%3A%2F%2Fblog.quanture.com%2Fdata-classification-perch%C3%A9-%C3%A8-cruciale-nellera-dellai%3Futm_medium%3Dsocial%26utm_source%3Dfacebook) [![Share on twitter](https://blog.quanture.com/hubfs/socials/twitter-social.svg)](https://twitter.com/intent/tweet?original_referer=https%3A%2F%2Fblog.quanture.com%2Fdata-classification-perch%C3%A9-%C3%A8-cruciale-nellera-dellai%3Futm_medium%3Dsocial%26utm_source%3Dtwitter&url=https%3A%2F%2Fblog.quanture.com%2Fdata-classification-perch%C3%A9-%C3%A8-cruciale-nellera-dellai%3Futm_medium%3Dsocial%26utm_source%3Dtwitter&source=tweetbutton&text=) [![Share on linkedin](https://blog.quanture.com/hubfs/socials/linkedin-social.svg)](http://www.linkedin.com/shareArticle?mini=true&url=https%3A%2F%2Fblog.quanture.com%2Fdata-classification-perch%C3%A9-%C3%A8-cruciale-nellera-dellai%3Futm_medium%3Dsocial%26utm_source%3Dlinkedin) [![Share on email](https://blog.quanture.com/hubfs/socials/email-social.svg)](mailto:?subject=Consulta%20https%3A%2F%2Fblog.quanture.com%2Fdata-classification-perch%C3%A9-%C3%A8-cruciale-nellera-dellai%3Futm_medium%3Dsocial%26utm_source%3Demail%20&body=Consulta%20https%3A%2F%2Fblog.quanture.com%2Fdata-classification-perch%C3%A9-%C3%A8-cruciale-nellera-dellai%3Futm_medium%3Dsocial%26utm_source%3Demail) Topic: [Data Storage](https://blog.quanture.com/tag/data-storage), [Microsoft](https://blog.quanture.com/tag/microsoft), [Intelligenza Artificiale](https://blog.quanture.com/tag/intelligenza-artificiale), [Data Governance](https://blog.quanture.com/tag/data-governance) ## Post Correlati [Data classification perché è cruciale nell'era dell'AI](https://blog.quanture.com/data-classification-perché-è-cruciale-nellera-dellai) 23 settembre 2026 [Data observability, come monitorare lo stato di salute dei dati](https://blog.quanture.com/data-observability-come-monitorare-lo-stato-di-salute-dei-dati) 04 dicembre 2025 [Deduplica: compressione dei dati e rimozione delle informazioni ridondanti](https://blog.quanture.com/blog/nuove-tecnologie/deduplica) 23 maggio 2024 ## Iscriviti alla Newsletter ## Post più letti ##### [Crisi della RAM: perché i prezzi stanno esplodendo](https://blog.quanture.com/crisi-della-ram) [News](https://blog.quanture.com/tag/news) - 17/02/2026 ##### [Copilot use case: 7 esempi per aumentare la produttività aziendale](https://blog.quanture.com/copilot-use-case-per-aumentare-la-produttivit%C3%A0) [Microsoft,](https://blog.quanture.com/tag/microsoft) [Intelligenza Artificiale,](https://blog.quanture.com/tag/intelligenza-artificiale) [Quanture.AI](https://blog.quanture.com/tag/quanture-ai) - 09/09/2026 ##### [Patch Management, da anello debole a leva per sicurezza e compliance](https://blog.quanture.com/patch-management-da-anello-debole-a-leva-per-sicurezza-e-compliance) [Cyber Security,](https://blog.quanture.com/tag/cyber-security) [Compliance](https://blog.quanture.com/tag/compliance) - 05/11/2025 ## TOPIC [Cyber Security (65)](https://blog.quanture.com/tag/cyber-security) [Quanture (43)](https://blog.quanture.com/tag/quanture) [Servizi Informatici (36)](https://blog.quanture.com/tag/servizi-informatici) [Cloud (33)](https://blog.quanture.com/tag/cloud) [Microsoft (31)](https://blog.quanture.com/tag/microsoft) [HPE (30)](https://blog.quanture.com/tag/hpe) [Data Storage (29)](https://blog.quanture.com/tag/data-storage) [Business Continuity (28)](https://blog.quanture.com/tag/business-continuity) [Collaboration (24)](https://blog.quanture.com/tag/collaboration) [Microsoft365 (23)](https://blog.quanture.com/tag/microsoft365) [Disaster Recovery (20)](https://blog.quanture.com/tag/disaster-recovery) [Imagine a NEW PLAN (20)](https://blog.quanture.com/tag/imagine-a-new-plan) [Intelligenza Artificiale (17)](https://blog.quanture.com/tag/intelligenza-artificiale) [Virtualizzazione (17)](https://blog.quanture.com/tag/virtualizzazione) [Sustainability (14)](https://blog.quanture.com/tag/sustainability) [Consulting Service (12)](https://blog.quanture.com/tag/consulting-service) [Iperconvergenza (12)](https://blog.quanture.com/tag/iperconvergenza) [Managed Service (10)](https://blog.quanture.com/tag/managed-service) [Compliance (9)](https://blog.quanture.com/tag/compliance) [Quanture.AI (9)](https://blog.quanture.com/tag/quanture-ai) [Ransomware (9)](https://blog.quanture.com/tag/ransomware) [Smart Working aziendale (9)](https://blog.quanture.com/tag/smart-working-aziendale) [Backup aziendale (8)](https://blog.quanture.com/tag/backup-aziendale) [Data Governance (8)](https://blog.quanture.com/tag/data-governance) [Citrix (7)](https://blog.quanture.com/tag/citrix) [Communication (5)](https://blog.quanture.com/tag/communication) [Ethical hacking (5)](https://blog.quanture.com/tag/ethical-hacking) [GDPR (4)](https://blog.quanture.com/tag/gdpr) [HP (4)](https://blog.quanture.com/tag/hp) [Azure Virtual Desktop (3)](https://blog.quanture.com/tag/azure-virtual-desktop) [News (3)](https://blog.quanture.com/tag/news) [Windows 365 (3)](https://blog.quanture.com/tag/windows-365) [Digital Identity (2)](https://blog.quanture.com/tag/digital-identity) [Windows Virtual Desktop (2)](https://blog.quanture.com/tag/windows-virtual-desktop) [CSP (1)](https://blog.quanture.com/tag/csp) [Infrastruttura IT (1)](https://blog.quanture.com/tag/infrastruttura-it) [OpenLicense (1)](https://blog.quanture.com/tag/openlicense) [RPO (1)](https://blog.quanture.com/tag/rpo) [VMware (1)](https://blog.quanture.com/tag/vmware) [Windows11 (1)](https://blog.quanture.com/tag/windows11) ![quanture-pictogram](https://blog.quanture.com/hs-fs/hubfs/quanture-pictogram.png?width=50&height=50&name=quanture-pictogram.png) **QUANTURE HQ**   Via delle Radici, 309-315 41043 Formigine (Modena) Ph. +39 059 557530 **[info@quanture.com](mailto:info@quanture.com)** Contacts Newsletter / AREAS [IT Design & Engineering](https://www.quanture.com/it-infrastructure/) [Smart Productivity](https://www.quanture.com/smart-productivity/) [Cyber security](https://www.quanture.com/cyber-security/) [Microsoft Advisory Services](https://www.quanture.com/microsoft-advisory-services/) [Dev & Apps](https://www.quanture.com/development/) / ABOUT [We are](https://www.quanture.com/we-are/) [We care](https://www.quanture.com/we-care/) [Join us](https://www.quanture.com/join-us/) [Success stories](https://www.quanture.com/case-studies/) [DOT](https://blog.quanture.com/) [My.Quanture](https://www.quanture.com/myquanture/) / TOPIC ![dot-footer](https://blog.quanture.com/hs-fs/hubfs/dot-footer.png?width=56&height=18&name=dot-footer.png) [Cyber security](https://blog.quanture.com/tag/cyber-security), [Microsoft](https://blog.quanture.com/tag/microsoft), [Cloud](https://blog.quanture.com/tag/cloud), [Data Storage](https://blog.quanture.com/tag/data-storage), [Business Continuity](https://blog.quanture.com/tag/business-continuity), [HPE](https://blog.quanture.com/tag/hpe), [Servizi Informatici](https://blog.quanture.com/tag/servizi-informatici), [Collaboration](https://blog.quanture.com/tag/collaboration), [Disaster Recovery](https://blog.quanture.com/tag/disaster-recovery), [Virtualizzazione](https://blog.quanture.com/tag/virtualizzazione), [Quanture](https://blog.quanture.com/tag/quanture), [Iperconvergenza](https://blog.quanture.com/tag/iperconvergenza), [Ransomware](https://blog.quanture.com/tag/ransomware), [Smart Working aziendale](https://blog.quanture.com/tag/smart-working-aziendale), [Citrix](https://blog.quanture.com/tag/citrix), [Backup aziendale](https://blog.quanture.com/tag/backup-aziendale), [Ethical hacking](https://blog.quanture.com/tag/ethical-hacking), [HP](https://blog.quanture.com/tag/hp), [GDPR](https://blog.quanture.com/tag/gdpr), [Microsoft365](https://blog.quanture.com/tag/microsoft365), [Windows 365](https://blog.quanture.com/tag/windows-365), [Azure Virtual Desktop,](https://blog.quanture.com/tag/azure-virtual-desktop) [Sustainability](https://blog.quanture.com/tag/sustainability), [Windows Virtual Desktop](https://blog.quanture.com/tag/windows-virtual-desktop), [CSP](https://blog.quanture.com/tag/csp), [OpenLicense](https://blog.quanture.com/tag/openlicense), [VMware](https://blog.quanture.com/tag/vmware), [Windows11](https://blog.quanture.com/tag/windows11) ![TUV](https://blog.quanture.com/hs-fs/hubfs/TUV.png?width=32&height=32&name=TUV.png) Quanture è azienda certificata UNI EN ISO 9001:2015 n° 50 100 13264 Rev.005 © QUANTURE P. IVA 03317290363 | [PRIVACY POLICY](https://quanture.com/privacy-policy-quanture/) – [COOKIE POLICY](https://www.iubenda.com/privacy-policy/84662247/cookie-policy) - [WHISTLEBLOWING](https://quanture.com/whistleblowing-quanture/) ```json { "@context" : "https://schema.org", "@type" : "BlogPosting", "author" : { "@type" : "Person", "name" : "quanture_social", "url" : "https://blog.quanture.com/author/quanture" }, "dateModified" : "2026-10-08T12:12:07.765Z", "datePublished" : "2026-09-23T08:00:00.000Z", "headline" : "Data classification perché è cruciale nell'era dell'AI", "image" : [ "https://blog.quanture.com/hubfs/86-1.png" ], "mainEntityOfPage" : { "@id" : "https://blog.quanture.com/data-classification-perché-è-cruciale-nellera-dellai", "@type" : "WebPage" }, "publisher" : { "@type" : "Organization", "logo" : { "@type" : "ImageObject", "url" : "https://blog.quanture.com/hubfs/QUANTURE_LOGO_PAYOFF_POSITIVO_PRIMARIO-1.png" }, "name" : "Quanture S.p.A." } } ``` ```json { "@context" : "https://schema.org", "@type" : "Article", "about" : { "@type" : "Thing", "name" : "Data Storage" }, "articleBody" : "Oggi, la quantità di dati prodotti da ogni tipo di realtà, dalle aziende alle istituzioni, ha importanti implicazioni, che vanno molto al di là della mera gestione tecnica. Siamo di fronte a un cambiamento epocale che ha spinto le istituzioni a intraprendere un processo di regolamentazione che coinvolge, inevitabilmente, anche i sistemi di intelligenza artificiale (AI), i quali, come è noto, necessitano di grandi quantità di dati per l'addestramento. È proprio in questo contesto che la data classification diventa fondamentale, poiché permette di affrontare in modo strutturato la gestione di questi dati. Key Takeaways La data classification organizza i dati in base a sensibilità, valore, rischio e requisiti normativi, rendendo più efficace la Data Governance. La classificazione è davvero utile quando guida controlli concreti come DLP, sensitivity label, retention, crittografia e regole di accesso. La data classification supporta la compliance, ma non la garantisce da sola: deve inserirsi in un sistema più ampio di governance, sicurezza e controllo degli accessi. Con AI, Copilot e sistemi agentici aumenta l’importanza di governare quali dati possono essere utilizzati, da chi e in quali condizioni. Un percorso efficace parte dai dati a maggiore rischio e valore e richiede il coinvolgimento congiunto di IT, Security, Legal, Compliance e funzioni di business. Data classification: definizione e scopi La data classification è il processo di organizzazione e gestione degli asset informativi in gruppi rilevanti, classi appunto, sulla base di caratteristiche condivise, come il livello di sensibilità, il rischio associato, la necessità di protezione in funzione di diverse norme e regolamenti. Parte della più ampia disciplina della Data Governance, la classificazione permette di trattare i dati secondo modalità adeguate ai diversi livelli di sicurezza richiesti. Si tratta quindi di una metodologia che rende più agile ed efficace l’accesso alle informazioni, la loro protezione e il rispetto degli adempimenti normativi. Tuttavia, la classificazione dei dati ha importanti ricadute operative: per esempio, applicare il massimo livello di sicurezza a tutti i dati aziendali può, paradossalmente, limitarne l'accesso e l'utilizzo, ostacolando così la valorizzazione delle informazioni. Ecco perché la data classification diventa sempre più parte integrante delle strategie di Data Governance: è una delle basi necessarie per costruire criteri di Data Loss Prevention (DLP), che combinino efficacia e flessibilità. Questo vale anche per l'addestramento dei modelli di intelligenza artificiale aziendali, che richiedono l'uso di dati in modo flessibile e immediato. D’altro canto, la data classification offre un vantaggio cruciale: stabilisce regole precise per l'accesso e l'utilizzo dei dati. Ciò permette di applicare politiche di fruizione differenziate all'interno degli strumenti aziendali che gestiscono i dati, sia direttamente che indirettamente. Il caso più semplice è quello degli assistenti virtuali che, grazie a questa disciplina, possono fornire a ciascun operatore risposte e dati in base ai suoi ruoli, permessi e privilegi, senza rischio di accessi o condivisioni non previsti e non governati. I principi di base della data classification Sebbene la data classification sia una disciplina complessa e articolata, possiamo riassumerla in alcune linee guida essenziali che ne facilitino la comprensione. Il punto di partenza è conoscere il proprio patrimonio informativo: capire quali dati esistono, dove risiedono, quale valore hanno per l’organizzazione, a quali rischi sono esposti e chi può utilizzarli. In particolare, una corretta classificazione dovrebbe considerare almeno questi elementi: Tipi di dati: identificare le diverse categorie di informazioni trattate dall’azienda — ad esempio dati personali, finanziari, contrattuali, tecnici, commerciali o relativi alla proprietà intellettuale — e distinguerle in base a sensibilità, criticità e finalità d’uso. Non tutti i dati, infatti, richiedono lo stesso livello di protezione. Posizione dei dati: sapere dove sono conservate le informazioni e attraverso quali sistemi vengono gestite, considerando ambienti on-premise, cloud, SaaS, repository documentali, endpoint e piattaforme collaborative. La localizzazione è importante anche per comprendere dove vengono create copie, sincronizzazioni o condivisioni che possono aumentare l’esposizione del dato. Valore strategico e rischio: valutare quanto un’informazione sia importante per il business e quali conseguenze potrebbero derivare dalla sua perdita, alterazione, indisponibilità o divulgazione non autorizzata. La classificazione deve quindi tenere conto non solo della riservatezza, ma anche dell’impatto operativo ed economico associato al dato. Normative applicabili: individuare quali dati sono soggetti a obblighi specifici derivanti da normative, standard, contratti o policy interne. La classificazione aiuta così ad associare alle informazioni requisiti coerenti in termini di conservazione, protezione, tracciabilità, condivisione e gestione del ciclo di vita. Accesso autorizzato: definire chi può consultare, modificare, condividere o utilizzare le informazioni e in quali condizioni. L’accesso dovrebbe essere coerente con ruolo, responsabilità e necessità operative dell’utente, secondo il principio del minimo privilegio, riducendo il rischio di oversharing e accessi non necessari. La data classification fornisce quindi una metodologia coerente e ripetibile che consente di associare al dato un insieme coerente di regole che ne governino accesso, utilizzo, condivisione, protezione e conservazione lungo tutto il ciclo di vita. DATA CLASSIFICATION Quando serve un progetto di data classification QUANDO INTERVENIRE 5 segnali che indicano quando partire Alcuni cambiamenti tecnologici, organizzativi o normativi rendono necessario conoscere meglio i dati e applicare livelli di protezione differenti. In questi casi, partire dalla classificazione consente di costruire una base comune per Data Governance, sicurezza e utilizzo dell’AI, evitando di applicare gli stessi controlli a informazioni che hanno valore, rischio e finalità differenti. 1 AI e Copilot Introduzione di Microsoft 365 Copilot, agenti AI o altri strumenti che accedono alla knowledge base aziendale. 2 Cloud e migrazioni Migrazioni verso Microsoft 365, cloud, architetture ibride e multicloud, che ampliano i punti di accesso e condivisione. 3 Nuove policy Necessità di applicare DLP, sensitivity label, retention o controlli di accesso in modo coerente. 4 Audit e compliance Audit, adeguamenti normativi o certificazioni che richiedono di dimostrare come vengono gestiti dati e asset informativi. 5 Dati fuori controllo Episodi di oversharing, file sensibili accessibili a troppi utenti, dati duplicati o repository di cui non sono chiare proprietà e criticità. In questi casi, partire dalla classificazione consente di costruire una base comune per Data Governance, sicurezza e utilizzo dell’AI, evitando di applicare gli stessi controlli a informazioni che hanno valore, rischio e finalità differenti. La data classification come strumento di compliance Oltre agli aspetti pratici e organizzativi, la data classification può supportare la conformità a normative e standard in materia di protezione dei dati, cybersecurity e gestione del rischio. Non garantisce da sola la compliance, ma permette di: identificare con precisione le informazioni soggette a obblighi legali specifici, garantire la possibilità di applicare controlli mirati con agilità, documentare le misure adottate, rendendo dimostrabile la compliance in sede di audit o in caso di protezione dei dati. Vista la crescente pressione normativa nei confronti della gestione, organizzazione e messa in sicurezza dei dati, è facile prevedere un’evoluzione verso criteri ancora più stringenti. L’adozione di una buona politica di data classification permetterà di rispondere in modo più agile ed efficace anche alle necessità future. Quali normative e standard rendono strategica la data classification? Normativa / standard Impatto sulla data classification Data Governance Act (DGA) Applicabile dal 24 settembre 2023, rafforza la fiducia nella condivisione e nel riuso dei dati e disciplina, tra l’altro, il riuso di determinate categorie di dati pubblici protetti e i servizi di intermediazione. Non impone una tassonomia aziendale di data classification, ma rende centrali governance, tracciabilità e regole coerenti di accesso e utilizzo. Data Act Regolamento UE 2023/2854 Applicabile dal 12 settembre 2025, stabilisce regole sull’accesso e l’uso dei dati, in particolare quelli generati da prodotti connessi e servizi correlati. La classificazione non è un obbligo generale esplicito, ma aiuta a distinguere dati, diritti di accesso, vincoli di riservatezza e condizioni di condivisione. Direttiva NIS2 Entrata in vigore nel gennaio 2023, richiede misure di cybersecurity basate sul rischio, tra cui controllo degli accessi e gestione degli asset. Il Regolamento di esecuzione UE 2024/2690 richiede a specifiche categorie di soggetti NIS2 di definire livelli di classificazione degli asset, incluse le informazioni, in base a sensibilità, criticità, rischio e valore di business. Digital Operational Resilience Act (DORA) Applicabile dal 17 gennaio 2025, richiede alle entità finanziarie di identificare, classificare e documentare funzioni supportate da ICT e relativi asset informativi e ICT all’interno del framework di gestione del rischio. Prevede inoltre la classificazione degli incidenti in base a criteri di impatto e criticità. ISO/IEC 27001 ISO/IEC 27001:2022 include nell’Annex A il controllo 5.12 dedicato alla classificazione delle informazioni in funzione delle esigenze di sicurezza dell’organizzazione. La versione 2022 resta lo standard di riferimento, con Amendment 1:2024. AI Act Regolamento UE 2024/1689 È applicabile dal 2 agosto 2026, con un calendario differenziato per alcune disposizioni. Non impone una data classification generale, ma l’articolo 10 prevede pratiche appropriate di data governance e gestione per i dataset di training, validazione e test dei sistemi AI ad alto rischio, includendo aspetti quali origine, preparazione, adeguatezza e qualità dei dati, possibili bias e gap informativi. A seguito delle modifiche introdotte nel 2026, i relativi requisiti per i sistemi high-risk dell’Allegato III si applicano dal 2 dicembre 2027, mentre per quelli integrati nei prodotti regolamentati dell’Allegato I dal 2 agosto 2028. Fonti normative aggiornate a settembre 2026: Commissione europea - Data Governance Act ; AI Act ; EUR-Lex - NIS2 e DORA ; ISO/IEC 27001:2022 . Data classification e intelligenza artificiale, perché è importante Ora che abbiamo più chiaro perché la data classification sia importante in termini generali per le aziende, proviamo a capire meglio perché sia così rilevante quando entra in gioco l’intelligenza artificiale. L’AI Act non impone un obbligo generale di data classification, ma introduce specifici requisiti di data governance, in particolare per i sistemi ad alto rischio. Al di là della compliance, la classificazione dei dati resta comunque uno strumento importante per governare accessi, qualità e utilizzo delle informazioni nei sistemi AI. L'evoluzione degli strumenti AI nelle aziende Le aziende stanno già utilizzando strumenti evoluti, dagli agenti AI ai sistemi conversazionali e di Decision Intelligence. Queste soluzioni possono usare i dati aziendali in modi diversi: per recuperare informazioni, contestualizzare una risposta, generare insight o, in alcuni casi, addestrare o specializzare modelli. In tutti questi scenari, qualità, provenienza, permessi e classificazione dei dati incidono sulla capacità di usare l’AI in modo affidabile e governabile. AI IN ITALIA Intelligenza artificiale e imprese italiane 1,8 mld € Valore del mercato dell’AI in Italia nel 2025 +50% sul 2024 46% Quota del mercato AI rappresentata dalla GenAI e dalle soluzioni ibride La componente GenAI cresce oltre il 60% 71% Delle grandi imprese italiane ha avviato almeno un progetto AI nel 2025 Adozione progettuale 84% Delle grandi imprese utilizza licenze o strumenti di Generative AI ready-to-use +31% rispetto al 2024 8% Delle PMI ha avviato almeno un progetto AI Adozione progettuale 18% Delle PMI utilizza strumenti AI ready-to-use quota circa raddoppiata in un anno L’adozione cresce rapidamente, ma la capacità di governarla resta una delle sfide principali. Fonte: Osservatorio Artificial Intelligence – Politecnico di Milano, Artificial Intelligence nel 2025: mercato, adozione e trasformazione delle aziende; Use case AI nelle imprese italiane: focus su processi e settori, Ricerca 2025-2026. Le sfide legate all’AI e il ruolo della data classification In questo contesto, emergono due sfide distinte: la prima, più nota e a cui abbiamo già accennato, riguarda l’accesso ai dati: occorre stabilire quali informazioni possano essere utilizzate dai sistemi di AI e quali utenti siano autorizzati ad accedere ai dati e agli output che questi sistemi producono; la seconda riguarda la qualità, la provenienza e l’adeguatezza dei dati utilizzati dall’AI. A seconda della soluzione, infatti, le informazioni aziendali possono essere impiegate per attività di retrieval e grounding, analisi e generazione oppure, in alcuni casi, per l’addestramento o la specializzazione di modelli. Una parte importante della soluzione riguarda quindi l’estensione dei criteri di data classification anche ai contenuti generati o rielaborati dall’AI. Il principio è quello della classification inheritance: quando un nuovo contenuto deriva da informazioni già classificate, anche l’output dovrebbe mantenere un livello di protezione coerente con quello delle fonti da cui proviene. Microsoft 365 Copilot offre un esempio concreto di come questo principio possa essere applicato. Attraverso Microsoft Purview, negli scenari supportati, un nuovo contenuto generato a partire da documenti già protetti può ereditare automaticamente (\"classification inheritance\") la sensitivity label con priorità più elevata tra quelle presenti nelle fonti utilizzate. La classificazione, quindi, non si ferma al documento originario, ma può accompagnare l’informazione anche quando viene rielaborata dall’AI in un nuovo contenuto. C’è poi il tema della qualità. Il principio “garbage in, garbage out” continua a essere valido: dati incompleti, obsoleti, non verificati o di bassa qualità possono compromettere l’affidabilità dei risultati prodotti dall’AI. La data classification può contribuire a distinguere fonti affidabili da informazioni obsolete o non idonee, identificare i dati sensibili e stabilire quali informazioni possano essere utilizzate nei diversi casi d’uso. Nel caso dell’addestramento o della specializzazione di un modello, questo significa anche poter escludere dati di scarsa qualità o provenienti da fonti non controllate; negli scenari di retrieval e grounding, invece, significa circoscrivere meglio il patrimonio informativo sul quale il sistema può basare le proprie risposte. In entrambi i casi, la classificazione contribuisce a rendere più controllabile e affidabile la base dati utilizzata dall’AI. Questi principi diventano ancora più concreti quando l’AI opera direttamente sul patrimonio informativo aziendale e sui contenuti a cui le persone accedono ogni giorno. Microsoft 365 Copilot è un esempio particolarmente significativo: in questo scenario il tema non è tanto “addestrare l’AI con i dati aziendali”, quanto governare correttamente quali informazioni possono essere recuperate, elaborate e trasformate in nuovi contenuti sulla base dei permessi già esistenti. DATA CLASSIFICATION E AI Microsoft 365 Copilot: partire da permessi e dati sensibili MICROSOFT 365 COPILOT Copilot rispetta i permessi già esistenti Copilot può utilizzare il contesto e i dati Microsoft 365 a cui l’utente è già autorizzato ad accedere. Prompt, risposte e dati richiamati tramite Microsoft Graph non vengono utilizzati per addestrare i foundation model. GOVERNARE PRIMA DI ESTENDERE ACCESSI Verificare permessi e condivisioni Prima di estendere l’adozione di Copilot è importante verificare chi può accedere ai contenuti, individuare eventuali fenomeni di oversharing e correggere autorizzazioni troppo ampie. PROTEZIONE Classificazione, sensitivity label e DLP Le sensitivity label di Microsoft Purview e le policy DLP aiutano a identificare e proteggere le informazioni sensibili e a mantenere coerenti le regole di utilizzo anche quando i contenuti vengono elaborati dall’AI. GOVERNANCE Data classification e identity governance lavorano insieme La classificazione stabilisce il livello di protezione richiesto dall’informazione; identity governance e access control determinano invece chi può accedervi. I due livelli sono complementari e diventano particolarmente importanti negli scenari AI. Verifica se dati, permessi e ambiente sono pronti per Copilot Scopri Data Governance & AI: Copilot Suite → Intelligenza artificiale e cybersecurity: proteggere dati e accessi L’intelligenza artificiale sta cambiando anche le modalità con cui vengono condotti gli attacchi informatici. Una ricerca pubblicata da Anthropic nel 2026 ha analizzato 832 account associati ad attività cyber malevole tra marzo 2025 e marzo 2026. Nel 67,3% dei casi esaminati l’AI era stata utilizzata per attività di preparazione dell’attacco, come la scrittura di malware, ma la ricerca rileva anche un crescente impiego nelle fasi successive alla compromissione, ad esempio per individuare account, muoversi all’interno della rete e aumentare i privilegi. La criticità, quindi, non riguarda soltanto la sicurezza del modello AI. OpenAI osserva a sua volta che gli attori malevoli utilizzano generalmente l’AI insieme a strumenti tradizionali, siti, account online e altri modelli, integrandola nelle diverse fasi del proprio workflow. La superficie da proteggere comprende quindi l’intero ecosistema in cui l’AI opera: identità, applicazioni, infrastrutture e dati. In questo scenario, la data classification contribuisce a riconoscere quali informazioni richiedono maggiore protezione e a collegarle a controlli adeguati. Permessi basati sul minimo privilegio, DLP, crittografia e monitoraggio possono così essere applicati in modo differenziato ai dati più sensibili o critici. Con AI e agenti capaci di accedere a più sistemi e informazioni, conoscere il valore e la sensibilità dei dati diventa ancora più importante per limitarne l’esposizione in caso di compromissione. Come avviare un progetto di data classification Per evitare che la classificazione resti un esercizio documentale, il progetto deve produrre regole applicabili e verificabili. Un percorso pragmatico può essere articolato in cinque fasi: 1. Assessment e mappatura: Individuare repository, tipologie di dati, data owner, flussi, utenti e sistemi che vi accedono, includendo cloud, Microsoft 365, ambienti on-premise e fonti usate dall’AI. 2. Tassonomia e criteri: Definire un numero gestibile di livelli di classificazione sulla base di sensibilità, valore di business, requisiti normativi e impatto in caso di perdita, modifica o divulgazione. 3. Priorità: Partire dai dati che concentrano rischio e valore: informazioni personali e riservate, proprietà intellettuale, dati contrattuali o regolamentati, credenziali, documenti business-critical e knowledge base utilizzate dai sistemi AI. 4. Policy e controlli: Associare a ogni classe regole concrete: chi può accedere, come può condividere il dato, quali sensitivity label applicare, quando attivare DLP, retention, crittografia o limitazioni ulteriori. 5. Monitoraggio e revisione: Verificare nel tempo l’efficacia delle policy, gli accessi, le eccezioni, i falsi positivi e l’evoluzione dei repository. La classificazione deve essere aggiornata quando cambiano dati, processi, rischi o tecnologie. Quali dati classificare per primi Non è necessario partire classificando tutto il patrimonio informativo. Un approccio efficace concentra la prima fase sulle informazioni che hanno maggiore impatto potenziale: dati personali e sensibili, proprietà intellettuale, documenti soggetti a vincoli contrattuali o normativi, informazioni necessarie alla continuità operativa e repository a cui accedono strumenti AI. In questo modo, si ottengono risultati misurabili senza trasformare il progetto in un censimento infinito. Chi deve essere coinvolto La classificazione non può essere delegata al solo IT. CIO e CISO definiscono architettura e controlli; DPO, Legal e Compliance contribuiscono sui vincoli normativi; i data owner e le funzioni di business stabiliscono valore, criticità e modalità d’uso delle informazioni. L’obiettivo è arrivare a una tassonomia comprensibile alle persone e applicabile dagli strumenti tecnologici. Dalla classificazione alle policy: DLP, accessi e sicurezza dei dati La tassonomia diventa efficace quando viene tradotta in controlli. Le classi di dati devono quindi essere collegate a policy DLP, sensitivity label, retention, crittografia e regole di accesso basate su ruoli e identità. In questo quadro, soluzioni di identity management come Microsoft Entra permettono di governare chi può accedere alle risorse, mentre la classificazione definisce il livello di protezione richiesto dall’informazione. I due livelli sono complementari e diventano ancora più importanti quando applicazioni e agenti AI operano sui dati aziendali. La data classification è uno strumento di sicurezza ed efficienza I dati oggi non sono più soltanto il prodotto delle attività aziendali: sono un asset strategico il cui valore cresce ulteriormente quando entra in gioco l’intelligenza artificiale. Organizzarli, gestirli e governarne l’accesso attraverso la Data Governance è indispensabile; classificarli correttamente consente di applicare protezioni proporzionate, supportare gli adempimenti di compliance e rendere più sicuro l’utilizzo delle informazioni nei sistemi AI. La classificazione richiede uno sforzo iniziale, ma questo viene compensato dalla riduzione dei rischi, sanzionatori oltre che di sicurezza, e da una gestione più efficace e affidabile del patrimonio informativo.", "author" : { "@type" : "Person", "name" : "quanture_social", "sameAs" : [ "https://www.linkedin.com/company/quanture-it-consulting/posts/" ], "url" : "https://blog.quanture.com/author/quanture" }, "dateModified" : "1791461527774", "datePublished" : "2026-09-23 08:00:00", "description" : "Cos’è la data classification e come aiuta a proteggere i dati, governare l’AI, applicare DLP e accessi coerenti e supportare la compliance.", "editor" : { "@type" : "Person", "name" : "quanture_social" }, "headline" : "Data classification perché è cruciale nell'era dell'AI", "image" : { "@type" : "ImageObject", "height" : 675, "url" : "https://content.quanture.com/hubfs/86-1.png", "width" : 1200 }, "inLanguage" : "it-IT", "isAccessibleForFree" : true, "mainEntityOfPage" : { "@id" : "https://blog.quanture.com/data-classification-perché-è-cruciale-nellera-dellai", "@type" : "WebPage" }, "publisher" : { "@type" : "Organization", "logo" : { "@type" : "ImageObject", "url" : "https://content.quanture.com/hubfs/QUANTURE_LOGO_PAYOFF_POSITIVO_PRIMARIO-1.png" }, "name" : "Il Blog", "sameAs" : [ "https://www.linkedin.com/company/quanture-it-consulting/posts/" ] }, "url" : "https://blog.quanture.com/data-classification-perché-è-cruciale-nellera-dellai", "wordCount" : 3222 } ```