Condividi tramite

Microsoft Purview protegge la sicurezza dei dati e la conformità per le app di intelligenza artificiale generativa

Linee guida sulle licenze di Microsoft 365 per la sicurezza & conformità

Usare Microsoft Purview per attenuare e gestire i rischi associati all'utilizzo dell'IA e implementare i controlli di protezione e governance corrispondenti.

Le sezioni seguenti di questa pagina offrono una panoramica delle funzionalità di Gestione della postura di sicurezza dei dati per l'intelligenza artificiale e Microsoft Purview che forniscono controlli aggiuntivi di sicurezza e conformità dei dati per accelerare l'adozione di Copilot e agenti da parte dell'organizzazione e di altre app generative per intelligenza artificiale.

In alcune soluzioni Microsoft Purview, è possibile che le app di intelligenza artificiale supportate vengano raggruppate in base ai nomi di categoria seguenti:

  • Esperienze copilot e agenti o esperienze Microsoft Copilot per copiloti e agenti supportati che includono:

    • Microsoft 365 Copilot
    • Security Copilot
    • Copilot in Fabric
    • Copilot Studio

  • Le app per intelligenza artificiale aziendali per le app e gli agenti di intelligenza artificiale non Copilot connessi all'organizzazione tramite registrazione Entra, connettori dati, Fonderia Azure AI e altri metodi includono:

    • App di IA registrate da Entra
    • ChatGPT Enterprise
    • Servizi di intelligenza artificiale di Azure

  • Altre app di intelligenza artificiale rilevate tramite attività del browser e classificate come "intelligenza artificiale generativa" nel catalogo Defender for Cloud Apps e includono:

    • ChatGPT
    • Google Gemini
    • Microsoft Copilot (versione consumer)
    • DeepSeek

Per informazioni dettagliate sulle funzionalità supportate per la sicurezza e la conformità di Microsoft Purview per le interazioni con intelligenza artificiale per app, vedere le pagine aggiuntive identificate nella tabella seguente. Quando queste app per intelligenza artificiale supportano gli agenti, ereditano le stesse funzionalità di sicurezza e conformità dell'app padre per intelligenza artificiale. Tuttavia, per un breve riepilogo, vedere Usare Microsoft Purview per gestire la sicurezza dei dati & conformità per gli agenti di intelligenza artificiale.

Esperienze copilot e agenti App per intelligenza artificiale aziendali Altre app per intelligenza artificiale
Microsoft 365 Copilot & Microsoft 365 Copilot Chat App di IA registrate da Entra Altre app per intelligenza artificiale
Microsoft Security Copilot Servizi di intelligenza artificiale di Azure
Microsoft Copilot in Fabric ChatGPT Enterprise
Microsoft Copilot Studio
Facilitatore Microsoft

Se non si ha familiarità con Microsoft Purview, è anche possibile trovare una panoramica del prodotto utile: Informazioni su Microsoft Purview.

Gestione della postura di sicurezza dei dati di Microsoft Purview per l'intelligenza artificiale

Usare Gestione della postura di sicurezza dei dati di Microsoft Purview (DSPM) per l'intelligenza artificiale come frontdoor per individuare, proteggere e applicare i controlli di conformità per l'utilizzo dell'IA in tutta l'azienda. Questa soluzione usa i controlli esistenti della protezione delle informazioni e della gestione della conformità di Microsoft Purview con strumenti grafici e report facili da usare per ottenere rapidamente informazioni dettagliate sull'uso dell'IA all'interno dell'organizzazione. Con raccomandazioni personalizzate, i criteri con un solo clic consentono di proteggere i dati e di rispettare i requisiti normativi.

Per altre informazioni, vedere Informazioni su Gestione della postura di sicurezza dei dati (DSPM) per l'intelligenza artificiale.

Microsoft Purview rafforza la protezione delle informazioni per le app per intelligenza artificiale

A causa della potenza e della velocità, l'intelligenza artificiale può superficiere i contenuti in modo proattivo, l'IA generativa amplifica il problema e il rischio di sovra-condivisione o perdita di dati. Informazioni su come le funzionalità di protezione delle informazioni di Microsoft Purview possono contribuire a rafforzare le soluzioni di sicurezza dei dati esistenti.

Etichette di riservatezza e interazioni con intelligenza artificiale

Le app di intelligenza artificiale supportate da Microsoft Purview usano i controlli esistenti per garantire che i dati archiviati nel tenant non vengano mai restituiti all'utente o usati da un modello LLM (Large Language Model) se l'utente non ha accesso a tali dati. Quando i dati hanno etichette di riservatezza dell'organizzazione applicate al contenuto, esiste un ulteriore livello di protezione:

  • Quando un file è aperto in Word, Excel, PowerPoint o in modo analogo un evento di posta elettronica o calendario è aperto in Outlook, la riservatezza dei dati viene visualizzata per gli utenti dell'app con il nome dell'etichetta e i contrassegni di contenuto (ad esempio intestazione o testo del piè di pagina) configurati per l'etichetta. Loop componenti e pagine supportano anche le stesse etichette di riservatezza.

  • Quando l'etichetta di riservatezza applica la crittografia, gli utenti devono avere il diritto di utilizzo EXTRACT, nonché VIEW, affinché le app di intelligenza artificiale restituiscano i dati.

  • Questa protezione si estende ai dati archiviati all'esterno del tenant di Microsoft 365 quando è aperta in un'app di Office (dati in uso). Ad esempio, archiviazione locale, condivisioni di rete e archiviazione cloud.

Consiglio

Se non è già stato fatto, è consigliabile abilitare le etichette di riservatezza per SharePoint e OneDrive e acquisire familiarità con i tipi di file e le configurazioni delle etichette che questi servizi possono elaborare. Quando le etichette di riservatezza non sono abilitate per questi servizi, i file crittografati a cui Copilot e gli agenti possono accedere sono limitati ai dati in uso dalle app di Office in Windows.

Abilita le etichette di riservatezza per i file di Office in SharePoint e OneDrive.

Se non si usano già etichette di riservatezza, vedere Introduzione alle etichette di riservatezza.

Crittografia senza etichette di riservatezza e interazioni con intelligenza artificiale

Anche se non viene applicata un'etichetta di riservatezza al contenuto, i servizi e i prodotti potrebbero usare le funzionalità di crittografia del servizio Azure Rights Management. Di conseguenza, le app di intelligenza artificiale possono comunque verificare i diritti di utilizzo VIEW ed EXTRACT prima di restituire dati e collegamenti a un utente, ma non esiste un'ereditarietà automatica della protezione per i nuovi elementi.

Consiglio

Si otterrà la migliore esperienza utente quando si usano sempre etichette di riservatezza per proteggere i dati e la crittografia viene applicata da un'etichetta.

Esempi di prodotti e servizi che possono usare le funzionalità di crittografia del servizio Azure Rights Management senza etichette di riservatezza:

  • Crittografia dei messaggi di Microsoft Purview
  • Gestione dei diritti sulle informazioni (IRM) di Microsoft
  • Connettore Microsoft Rights Management
  • Microsoft Rights Management

Per altri metodi di crittografia che non utilizzano il servizio Azure Rights Management:

  • I messaggi di posta elettronica protetti da S/MIME non verranno restituiti da Copilot e Copilot non è disponibile in Outlook quando è aperto un messaggio di posta elettronica protetto S/MIME.

  • Non è possibile accedere ai documenti protetti da password dalle app di intelligenza artificiale a meno che non siano già aperti dall'utente nella stessa app (dati in uso). Le password non vengono ereditate da un elemento di destinazione.

Come per altri servizi di Microsoft 365, ad esempio eDiscovery e ricerca, gli elementi crittografati con Microsoft Purview Customer Key o la propria chiave radice (BYOK) sono supportati e idonei per essere restituiti da Copilot.

Prevenzione della perdita di dati e interazioni con intelligenza artificiale

Prevenzione della perdita dei dati Microsoft Purview (DLP) consente di identificare gli elementi sensibili tra i servizi e gli endpoint di Microsoft 365, di monitorarli e di proteggerli dalla perdita di tali elementi. Usa l'ispezione approfondita dei contenuti e l'analisi contestuale per identificare gli elementi sensibili e applica criteri per proteggere i dati sensibili, ad esempio record finanziari, informazioni sull'integrità o proprietà intellettuale.

I computer Windows di cui è stato eseguito l'onboarding in Microsoft Purview possono essere configurati per i criteri di prevenzione della perdita dei dati degli endpoint che avvisano o impediscono agli utenti di condividere informazioni sensibili con siti di intelligenza artificiale generativi di terze parti a cui si accede tramite un browser. Ad esempio, a un utente viene impedito di incollare i numeri di carta di credito in ChatGPT o viene visualizzato un avviso che può essere sostituito. Per altre informazioni sulle azioni DLP supportate e sulle piattaforme che le supportano, vedere le prime due righe della tabella dalle attività endpoint su cui è possibile monitorare ed eseguire azioni.

Inoltre, un criterio DLP con ambito per un percorso di intelligenza artificiale può limitare le app di intelligenza artificiale dall'elaborazione di contenuti sensibili. Ad esempio, un criterio DLP può limitare Microsoft 365 Copilot dal riepilogo dei file in base alle etichette di riservatezza, ad esempio "Altamente riservato". Dopo aver attivato questo criterio, Microsoft 365 Copilot e gli agenti non riepilogano i file etichettati come "Altamente riservato", ma possono farvi riferimento con un collegamento in modo che l'utente possa quindi aprire e visualizzare il contenuto usando Word. Per altre informazioni che includono quali app per intelligenza artificiale supportano questa configurazione DLP, vedere Informazioni sul percorso dei criteri di Microsoft 365 Copilot.

Insider Risk Management e interazioni con intelligenza artificiale

Gestione dei rischi Insider Microsoft Purview consente di rilevare, analizzare e attenuare i rischi interni, ad esempio furto ip, perdita di dati e violazioni della sicurezza. Sfrutta i modelli di Machine Learning e vari segnali di Microsoft 365 e indicatori di terze parti per identificare potenziali attività insider dannose o involontarie. La soluzione include controlli della privacy come lo pseudonimismo e l'accesso in base al ruolo, garantendo la privacy a livello di utente e consentendo agli analisti dei rischi di intraprendere le azioni appropriate.

Usare il modello di criteri di utilizzo dell'IA rischioso per rilevare l'utilizzo rischioso che include attacchi di inserimento rapido e l'accesso ai materiali protetti. Le informazioni dettagliate da questi segnali sono integrate in Microsoft Defender XDR per fornire una visione completa dei rischi correlati all'IA.

Classificazione dei dati e interazioni con intelligenza artificiale

La classificazione dei dati di Microsoft Purview offre un framework completo per identificare e contrassegnare i dati sensibili in vari servizi Microsoft, tra cui Office 365, Dynamics 365 e Azure. La classificazione dei dati è spesso il primo passaggio per garantire la conformità alle normative sulla protezione dei dati e la protezione da accessi, modifiche o distruzione non autorizzati. È possibile usare le classificazioni di sistema predefinite o crearne di personalizzate.

I tipi di informazioni sensibili e i classificatori sottoponibili a training possono essere usati per trovare dati sensibili nelle richieste e nelle risposte degli utenti quando usano app per intelligenza artificiale. Le informazioni risultanti vengono quindi visualizzate nel dashboard di classificazione dei dati e in Esplora attività in Gestione della postura di sicurezza dei dati per l'intelligenza artificiale.

Microsoft Purview supporta la gestione della conformità per le app per intelligenza artificiale

Le interazioni che usano le app di intelligenza artificiale supportate possono essere monitorate per ogni utente nel tenant. Di conseguenza, insieme alla classificazione dei dati, è possibile usare il controllo di Microsoft Purview, la conformità alle comunicazioni, eDiscovery con la ricerca di contenuto e le funzionalità di conservazione e eliminazione automatiche di Gestione del ciclo di vita dei dati per gestire questo utilizzo dell'intelligenza artificiale.

Controllo e interazioni con intelligenza artificiale

Microsoft Purview Audit soluzioni forniscono strumenti completi per la ricerca e la gestione dei record di controllo delle attività eseguite in vari servizi Microsoft da utenti e amministratori e consentono alle organizzazioni di rispondere in modo efficace agli eventi di sicurezza, alle indagini forensi, alle indagini interne e agli obblighi di conformità.

Come altre attività, le richieste e le risposte vengono acquisite nel log di controllo unificato. Gli eventi includono come e quando gli utenti interagiscono con l'app per intelligenza artificiale e possono includere il servizio Microsoft 365 in cui si è svolta l'attività e i riferimenti ai file archiviati in Microsoft 365 a cui è stato eseguito l'accesso durante l'interazione. Se questi file hanno un'etichetta di riservatezza applicata, anche questa viene acquisita.

Questi eventi vengono inseriti in Esplora attività in Gestione della postura di sicurezza dei dati per l'intelligenza artificiale, dove è possibile visualizzare i dati delle richieste e delle risposte. È anche possibile usare la soluzione Audit del portale di Microsoft Purview per cercare e trovare questi eventi di controllo.

Per altre informazioni, vedere Log di controllo per le attività copilot e di intelligenza artificiale.

Conformità delle comunicazioni e interazioni con intelligenza artificiale

Conformità delle comunicazioni Microsoft Purview fornisce strumenti che consentono di rilevare e gestire le violazioni della conformità alle normative e della condotta aziendale nei vari canali di comunicazione, tra cui richieste e risposte degli utenti per le app per intelligenza artificiale. È progettato con la privacy per impostazione predefinita, pseudonimizzando i nomi utente e incorporando i controlli di accesso in base al ruolo. La soluzione consente di identificare e correggere le comunicazioni inappropriate, ad esempio la condivisione di informazioni sensibili, molestie, minacce e contenuti per adulti.

Per altre informazioni sull'uso dei criteri di conformità delle comunicazioni per le app per intelligenza artificiale, vedere Configurare criteri di conformità delle comunicazioni per rilevare le interazioni generative di intelligenza artificiale.

eDiscovery con ricerca di contenuto e interazioni con intelligenza artificiale

Microsoft Purview eDiscovery consente di identificare e fornire informazioni elettroniche che possono essere usate come prova in casi legali. Gli strumenti di eDiscovery in Microsoft Purview supportano la ricerca di contenuto nei team di Exchange Online, OneDrive for Business, SharePoint Online, Microsoft Teams, Gruppi di Microsoft 365 e Viva Engage. È quindi possibile impedire l'eliminazione e l'esportazione delle informazioni.

Poiché le richieste e le risposte degli utenti per le app di intelligenza artificiale vengono archiviate nella cassetta postale di un utente, è possibile creare un caso e usare la ricerca quando la cassetta postale di un utente è selezionata come origine per una query di ricerca. Ad esempio, selezionare e recuperare questi dati dalla cassetta postale di origine selezionando dal generatore di query Aggiungitipo di>condizione>Uguale a una qualsiasi delle>opzioni Aggiungi/Rimuovi altre interazioni>copilot.

Dopo aver perfezionato la ricerca, è possibile esportare i risultati o aggiungerlo a un set di revisione. È possibile esaminare ed esportare le informazioni direttamente dal set di revisione.

Per altre informazioni sull'identificazione e l'eliminazione dei dati di interazione con l'intelligenza artificiale degli utenti, vedere Cercare ed eliminare i dati copilot in eDiscovery

Gestione del ciclo di vita dei dati e interazioni con l'intelligenza artificiale

Gestione del ciclo di vita dei dati di Microsoft Purview fornisce strumenti e funzionalità per gestire il ciclo di vita dei dati dell'organizzazione mantenendo il contenuto necessario ed eliminando contenuti non necessari. Questi strumenti garantiscono la conformità ai requisiti aziendali, legali e normativi.

Usare i criteri di conservazione per conservare o eliminare automaticamente le richieste e le risposte degli utenti per le app per intelligenza artificiale. Per informazioni dettagliate sul funzionamento di questa conservazione, vedere Informazioni sulla conservazione per le app copilot & per intelligenza artificiale.

Come per tutti i criteri e i blocchi di conservazione, se più criteri per la stessa posizione si applicano a un utente, i principi di conservazione resolvono eventuali conflitti. Ad esempio, i dati vengono conservati per la durata più lunga di tutti i criteri di conservazione applicati o dei blocchi di eDiscovery.

Interazioni con Compliance Manager e intelligenza artificiale

Microsoft Purview Compliance Manager è una soluzione che consente di valutare e gestire automaticamente la conformità nell'ambiente multicloud. Compliance Manager può aiutare l’utente durante tutto il percorso di conformità, dall'inventario dei rischi per la protezione dei dati alla gestione, delle complessità dell'implementazione dei controlli all'aggiornamento su normative e certificazioni e alla segnalazione ai revisori.

Per mantenere la conformità con le normative sull'IA, Compliance Manager fornisce modelli normativi che consentono di valutare, implementare e rafforzare i requisiti di conformità per tutte le app generative di intelligenza artificiale. Ad esempio, il monitoraggio delle interazioni di intelligenza artificiale e la prevenzione della perdita di dati nelle applicazioni di intelligenza artificiale. Per altre informazioni, vedere Valutazioni per le normative sull'intelligenza artificiale.

Altra documentazione che consente di proteggere e gestire le app generative per intelligenza artificiale

Annuncio del post di blog: Accelerare l'adozione dell'IA con funzionalità di sicurezza e governance di nuova generazione

Microsoft 365 Copilot:

Risorse correlate: