Come verificare le autorizzazioni di uno strumento di IA prima di collegarlo ai tuoi file

L’autorizzazione a usare uno strumento di IA con i file non descrive, da sola, l’intero percorso dei dati. Potrebbero esserci diversi componenti: il servizio di IA, l’applicazione da cui lo usi, un account di lavoro e un connettore che consente di cercare o compiere azioni sui documenti. Prima di accettare, identifica il nome del servizio, chi lo pubblica e quale account o archivio collegheresti. Se non riesci a capire quale di questi componenti richiede l’accesso, fermati e consulta la relativa documentazione ufficiale prima di procedere.

La domanda pratica non è soltanto «ha accesso ai miei file?», ma a quali, per quali operazioni e da quale contesto. Distingui una funzione integrata in una suite di lavoro da un’applicazione esterna che chiede l’autorizzazione tramite il tuo account. Non dare per scontato che le impostazioni dell’una valgano anche per l’altra. Inoltre, la presenza di una schermata di consenso non dimostra che l’accesso sia limitato a un singolo file: controlla l’ambito mostrato nella schermata e le spiegazioni del fornitore. Mantieni distinti servizio, account e connettore durante la verifica: il collegamento fra questi elementi non chiarisce automaticamente cosa ciascuno può vedere o fare. Se le informazioni disponibili non permettono di capire la relazione, considera l’ambito incerto invece di colmare le lacune con supposizioni.

Verifica se l’autorizzazione consente di visualizzare, cercare, modificare, creare, condividere o eliminare contenuti. Queste possibilità hanno conseguenze diverse. Uno strumento che deve soltanto trovare documenti non dovrebbe ricevere, senza una spiegazione chiara, il potere di modificarli o condividerli. È una regola prudenziale per la verifica, non una garanzia che tutte le piattaforme offrano autorizzazioni separate o che il testo dell’autorizzazione descriva ogni operazione interna. Il nome della funzione potrebbe non chiarire quali azioni sono consentite: confronta il testo con l’attività che intendi svolgere. Se la schermata o la documentazione è generica o poco chiara, non interpretare l’incertezza come un’autorizzazione limitata.

Negli ambienti Microsoft 365, la documentazione di Copilot descrive il rapporto tra protezione dei dati, autorizzazioni dell’organizzazione e accesso ai contenuti; Microsoft documenta inoltre etichette di riservatezza e controlli di governance per i dati di SharePoint. Queste pagine aiutano a formulare domande sull’ambiente e sui relativi controlli, ma non dimostrano da sole quali autorizzazioni richieda una specifica integrazione né come sia configurato un particolare tenant. Controlla sempre il prodotto e l’account interessati. Documentazione sulla protezione dei dati di Copilot ed etichette di riservatezza. La documentazione generale è un contesto utile; per valutare un collegamento specifico, verifica anche la schermata di consenso e le impostazioni pertinenti. Non trasferire automaticamente conclusioni da un prodotto, un’organizzazione o un tipo di account a un altro.

Leggi la policy o il centro privacy applicabile al servizio che intendi utilizzare. Cerca quali dati vengono raccolti, per quali finalità, per quanto tempo vengono conservati e se sono usati per migliorare modelli o servizi. Verifica anche se le condizioni cambiano tra account personali e aziendali: non estendere automaticamente una dichiarazione da una modalità all’altra. Se la documentazione non risponde a una domanda, considerala ancora aperta; non completare la risposta per deduzione. Durante la verifica, separa ciò che dichiara il fornitore da ciò che resta ignoto e tieni presenti il servizio specifico e il tipo di account.

I centri assistenza di Google descrivono opzioni e informazioni sulla privacy per le app Gemini; Google fornisce inoltre istruzioni per gestire i collegamenti tra un Account Google e altri sviluppatori. Sono fonti primarie per sapere cosa documenta Google sui propri servizi e meccanismi, non una valutazione esterna che certifichi il comportamento di ogni applicazione collegata. Allo stesso modo, la documentazione Microsoft su Copilot spiega le condizioni dichiarate per i suoi prodotti, ma non verifica la configurazione di ogni azienda. Centro privacy delle app Gemini e gestione dei collegamenti all’Account Google. Usa queste pagine per trovare le informazioni pubblicate dal fornitore e i controlli dell’account pertinenti. Non dimostrano cosa faccia un’applicazione indipendente né risolvono una domanda che la documentazione lascia senza risposta.

Prima di autorizzare, individua la pagina in cui si gestiscono i collegamenti dell’account e verifica che potrai tornarci. Google documenta come gestire i collegamenti con sviluppatori esterni; su Android, Google Play fornisce istruzioni per modificare le autorizzazioni delle app. Si tratta di controlli diversi: rimuovere un collegamento all’account non modifica necessariamente le autorizzazioni del sistema operativo, e modificarle non dimostra che siano state eliminate le informazioni già ricevute dal servizio. Individua il controllo che riguarda il collegamento in esame senza confondere le impostazioni dell’account con quelle del dispositivo.

Prima di collegare il servizio, puoi annotare il nome dell’applicazione e l’ambito mostrato nella schermata di autorizzazione. In seguito, verifica nelle impostazioni dell’account che il collegamento compaia tra quelli autorizzati e che sia disponibile un’opzione per rimuoverlo. Quando revochi l’accesso, consulta anche le istruzioni del fornitore sulla cancellazione o conservazione dei dati: rimuovere l’accesso futuro non dimostra che saranno eliminate copie, registri o contenuti già elaborati. Le opzioni e i loro effetti possono dipendere dal servizio e dall’account. Autorizzazioni delle app Android e collegamenti all’Account Google. Tieni presente che concessione e revoca rispondono a questioni diverse: la prima riguarda l’accesso richiesto, la seconda la possibilità che il collegamento continui. Nessuno dei due passaggi, da solo, chiarisce ogni aspetto delle informazioni che il servizio potrebbe aver già trattato.

Prima di concedere l’accesso, rispondi alle seguenti domande consultando la documentazione o la schermata di autorizzazione: chi pubblica l’integrazione? Quale account viene collegato? Quali tipi di contenuti potrebbe raggiungere? Quali operazioni consente? Cosa dichiara il fornitore sull’uso e sulla conservazione? Dove si può revocare l’accesso? Se una domanda senza risposta riguarda documenti sensibili e non puoi verificarla, rimanda il collegamento o consulta l’amministratore della tua organizzazione. Le policy per gli account di lavoro possono imporre ulteriori limiti. Annotare le risposte e indicare quelle ancora sconosciute aiuta a non scambiare una supposizione per un fatto documentato. La lista orienta la decisione, ma non certifica l’integrazione.

Le guide sulla sicurezza di MCP e sull’accesso dell’IA ai file possono aiutare a individuare rischi e domande per la verifica, ma una guida secondaria non sostituisce la documentazione del fornitore né una valutazione dell’integrazione che intendi usare. Le informazioni disponibili qui non consentono neppure di confermare una modifica recente delle autorizzazioni di uno strumento specifico, né di descrivere il comportamento di tutti i connettori sul mercato. La conclusione utile è più circoscritta: autorizza solo dopo aver compreso l’ambito documentato e considera sconosciuto ciò che il fornitore non spiega. Guida di SentinelOne sulla sicurezza di MCP. Le spiegazioni pubblicate aiutano a orientare la verifica, ma non giustificano conclusioni più ampie di quanto dimostrino. Se mancano dettagli importanti, anche questa mancanza deve far parte della decisione, invece di indurre a scegliere l’interpretazione più rassicurante.