Dove vanno i miei dati quando modernizzo? PDPL e piano di 90 giorni

Quando modernizzate con l'IA, lo strumento legge il vostro codice ed eventualmente copie del database, di solito in data center fuori dal Regno. AWS Transform oggi non ha alcuna regione di spazio di lavoro in Medio Oriente secondo la sua pagina delle regioni, e la regione saudita di AWS è prevista per dicembre 2026 secondo la Saudi Press Agency. Quindi, prima di inviare qualsiasi cosa: separate il codice dai dati personali, inviate il minimo e applicate il Regolamento sul trasferimento dei dati personali fuori dal Regno a tutto ciò che esce.

Nella parte 6 avete pianificato il passaggio al nuovo sistema senza fermare il lavoro. Questa parte finale risponde alla domanda sui dati e trasforma gli esercizi della serie in un piano di 90 giorni. Per le basi della legge, vedete la nostra guida pratica alla PDPL.

Cosa esce davvero dalla vostra azienda durante la modernizzazione

La parola dati nasconde qui 4 cose diverse, ciascuna con un rischio diverso:

• Il codice stesso: il software scritto dai vostri sviluppatori. Di solito non contiene dati dei clienti, ma può contenere password scritte al suo interno, gli indirizzi dei vostri server o nomi di clienti nei commenti degli sviluppatori.
• Copie del database: necessarie per analisi e test, e la cosa più pericolosa da inviare, perché contengono nomi, numeri di identità e cellulari dei clienti e gli stipendi dei dipendenti.
• Le vostre domande e conversazioni con lo strumento: tutto ciò che il team digita nella finestra di chat, dove qualcuno potrebbe incollare un record reale per spiegare un problema.
• I risultati: il nuovo codice, la documentazione e le regole di business estratte nella parte 4, che descrivono come funziona la vostra azienda dall'interno.

La regola pratica: il codice si ripulisce prima di uscire, e i dati reali escono solo quando non c'è alternativa. Nella maggior parte dei progetti di conversione, per i test basta una copia mascherata, cioè dati in cui nomi e numeri reali sono stati sostituiti da valori fittizi con la stessa forma.

Dove uno strumento come AWS Transform elabora i vostri dati

Usiamo AWS Transform come esempio perché Amazon ne ha pubblicato i dettagli, e le stesse domande valgono per qualsiasi altro strumento. Cosa dicono oggi le pagine ufficiali di Amazon:

• Dove sono archiviati: i vostri dati sono conservati nella regione in cui avete creato lo spazio di lavoro, secondo la pagina sulla protezione dei dati. La pagina delle regioni ne elenca 11, tra cui Francoforte, Londra, Mumbai, Tokyo e Virginia, alcune solo per funzionalità specifiche, e nessuna in Medio Oriente.
• Dove sono elaborati: la pagina sull'elaborazione tra regioni spiega che lo strumento funziona con i modelli di Amazon Bedrock e che le richieste e i loro risultati possono essere elaborati in un'altra regione della stessa area geografica; una richiesta da Francoforte, per esempio, può essere elaborata in 6 regioni europee. La stessa pagina annuncia che dal 7 ottobre 2026 le richieste di chat provenienti da Mumbai e Seul vengono distribuite su tutte le regioni commerciali di AWS, mentre l'archiviazione resta nella regione di origine.
• Miglioramento del servizio: Amazon afferma nella sua pagina sul miglioramento del servizio che può usare le vostre domande e il codice generato dallo strumento per migliorare il servizio, incluso l'addestramento dei modelli, e che la rinuncia avviene tramite una policy di opt-out dai servizi di IA in AWS Organizations, impostata dall'amministratore del vostro account.

E la regione saudita di AWS attesa per dicembre 2026 non significa automaticamente che questo strumento funzionerà da lì. Aprite voi stessi la pagina delle regioni quando parte il progetto; l'elenco cambia.

Cosa richiede la PDPL prima che i dati escano

Se dati personali escono dal Regno, li state trasferendo nel senso regolato dalla Legge sulla protezione dei dati personali (PDPL) e dal regolamento sui trasferimenti, entrambi pubblicati sulla Piattaforma nazionale di governance dei dati della SDAIA. Ciò che conta in un progetto di modernizzazione, in linguaggio pratico e non giuridico:

• Il livello di protezione nel paese destinatario: l'autorità competente pubblica un elenco di paesi che offrono un livello di protezione adeguato e lo rivede ogni 4 anni o quando necessario. Sappiate dove saranno elaborati i vostri dati, poi controllate l'elenco.
• Garanzie alternative: nei casi di esenzione definiti dal regolamento, il trasferimento è vincolato a garanzie appropriate, che sono 3: clausole contrattuali standard, norme comuni vincolanti all'interno di un gruppo di società o un certificato di accreditamento per il destinatario.
• Valutazione dei rischi: il regolamento obbliga il titolare del trattamento, cioè la vostra azienda, a effettuare una valutazione dei rischi prima del trasferimento nei casi che specifica.
• Dati sensibili: alcuni casi di esenzione escludono espressamente i dati sensibili, come i dati sanitari e i dati finanziari personali, quindi trattateli con particolare cautela.

La Piattaforma nazionale di governance dei dati offre servizi pratici per questo passaggio, tra cui una valutazione d'impatto sul trattamento dei dati personali, uno strumento che vi dice se dovete nominare un responsabile della protezione dei dati e un'autovalutazione della conformità. Siamo un'azienda tecnologica, non un consulente legale, quindi portate la decisione di trasferimento al vostro responsabile della protezione dei dati o al vostro consulente legale. E se pensate di aspettare la regione locale, abbiamo spiegato cosa cambia davvero in Una regione cloud nel Regno.

6 domande da porre a qualsiasi strumento o fornitore prima di inviare qualcosa

1. In quale regione sono archiviati i nostri dati e in quali regioni possono essere elaborati? Chiedete la risposta per iscritto con un link alla pagina ufficiale.
2. Le nostre domande o il nostro codice vengono usati per addestrare modelli, e come lo impediamo?
3. L'analisi può essere fatta solo sul codice, senza copie del database?
4. Chi del nostro team e del team del fornitore può accedere allo spazio di lavoro, e ogni accesso viene registrato?
5. Quando vengono cancellati i nostri dati alla fine del progetto, e come verifichiamo la cancellazione?
6. La fase sensibile può essere eseguita nel Regno o sui nostri server, se necessario?

Se un fornitore non risponde per iscritto a una di queste, è già una risposta. Per le opzioni di hosting vere e proprie, vedete la nostra guida alla migrazione nel cloud.

Un piano di 90 giorni costruito sugli esercizi della serie

Questo piano non modernizza il vostro sistema in 90 giorni. Vi porta a una decisione scritta e a un modulo pilota pronto per un'esecuzione in parallelo, ed è costruito sugli esercizi delle sei parti precedenti:

Dopo il giorno 90 sapete ciò che prima non sapevate: cosa avete, cosa vale la pena modernizzare e come si comportano gli strumenti di IA con il vostro codice e non con gli esempi dei fornitori. Solo allora ogni discorso su costi e durata poggia sulla vostra realtà.

Il punto di vista di Origami

Iniziamo i progetti di modernizzazione dalla mappa dei dati prima che dalla mappa del codice: cosa esce, verso dove e perché. Preferiamo che l'analisi avvenga su codice ripulito e dati mascherati, e che i dati reali restino nel vostro ambiente ogni volta che è possibile, perché la velocità tecnica non diventi poi un problema di conformità.

Usiamo strumenti di IA dove accorciano davvero il lavoro, ma la decisione su cosa inviare loro resta vostra, scritta e firmata. Per vedere come lavoriamo, date un'occhiata ai nostri servizi.

Chiusura della serie

Abbiamo iniziato 7 parti fa con una sola domanda: come modernizzo il mio sistema legacy con l'IA? La risposta a cui siamo arrivati è che l'IA accelera lettura, conversione e test, ma le decisioni importanti restano a chi guida l'azienda: quale sistema ne vale la pena, quale regola è giusta, chi firma e dove vanno i dati. I vostri sistemi legacy hanno mandato avanti l'azienda per anni, e modernizzarli con calma e con un piano è la cosa migliore che possiate fare per loro. Trovate tutte le parti della serie nel centro della conoscenza.

Fonti

• Amazon: regioni supportate da AWS Transform — l'elenco delle regioni, nessuna in Medio Oriente.
• Amazon: elaborazione tra regioni in AWS Transform — le regioni di elaborazione e il cambiamento del 7 ottobre 2026.
• Amazon: protezione dei dati in AWS Transform — dove sono archiviati i dati.
• Amazon: miglioramento del servizio AWS Transform — l'uso dei contenuti per migliorare il servizio e come rinunciarvi.
• Saudi Press Agency: regione AWS in Arabia Saudita a dicembre 2026 — 1 settembre 2026.
• SDAIA, Piattaforma nazionale di governance dei dati: Legge sulla protezione dei dati personali.
• SDAIA, Piattaforma nazionale di governance dei dati: Regolamento sul trasferimento dei dati personali fuori dal Regno — l'elenco dei paesi, le garanzie appropriate e la valutazione dei rischi.
• Piattaforma nazionale di governance dei dati: servizi e strumenti.