Il 31 ottobre 2026 la SDAIA ha pubblicato uno studio di 47 pagine intitolato «Dati sintetici: opportunità, sfide e meccanismi di governance». I dati sintetici sono generati da algoritmi per imitare le proprietà statistiche dei tuoi record reali senza contenere informazioni su persone reali. La tua azienda può usarli in tre modi: per testare i sistemi e addestrare i modelli senza esporre i record dei clienti, per generare casi rari che le mancano, come le frodi, e per condividere informazioni con uno sviluppatore o un partner in modo più sicuro. Ma lo studio avverte che non garantiscono una privacy assoluta: ricadono sotto la legge sulla protezione dei dati personali se permettono di identificare le persone.
Cosa ha detto la SDAIA?
Secondo l'annuncio della SDAIA, i dati sintetici possono accelerare l'innovazione, ridurre i costi di raccolta e preparazione e facilitare lo scambio di informazioni tra enti, soprattutto nei settori che trattano informazioni sensibili come la sanità e i servizi finanziari. Ma lo studio stesso sottolinea che generare record che imitano quelli reali non elimina necessariamente i rischi di reidentificazione delle persone né le distorsioni statistiche. Lo studio fonda la governance su quattro dimensioni: tutela della privacy, qualità dei dati, equità e riduzione dei bias, e trasparenza.
L'idea non è nuova: lo studio indica che il primo uso sistematico per proteggere la privacy risale al 1993, per tutelare la riservatezza del censimento statunitense, e che il grande salto è arrivato nel 2014 con le reti generative avversarie (GAN). La novità è che l'IA generativa li ha resi più facili ed economici da produrre.
3 tipi di dati sintetici
| Tipo | Che cos'è | Quando è adatto alla tua azienda |
|---|---|---|
| Completamente sintetici | Tutti i record sono generati; non resta nessun record reale | Quando la privacy conta più di tutto, o per rappresentare casi non ancora avvenuti |
| Parzialmente sintetici | Record reali in cui i campi sensibili, come nome, reddito e posizione, sono sostituiti da valori generati | Quando serve il realismo dei record reali proteggendo i campi sensibili; sono meno sicuri del primo tipo |
| Ibridi | Un mix di record reali e sintetici | Quando vuoi ampliare un insieme piccolo o rappresentare casi rari |
Secondo lo studio, si generano in tre modi: con regole scritte da te, come una distribuzione delle età dei clienti; con modelli statistici che imparano le relazioni tra le variabili; o con modelli di IA generativa, adatti a immagini, testi e altri contenuti complessi.
Come può usarli la tua azienda?
- Testare i sistemi senza informazioni sui clienti. Il tuo ambiente di sviluppo e test non ha bisogno dei veri nomi e numeri di cellulare dei clienti. Genera clienti, fatture e transazioni sintetici simili a quelli reali per formato e distribuzione, e tieni i record reali solo in produzione. Assicurati che i record di test non puntino a domini o indirizzi reali; nella storia del nome di azienda fittizio che coincideva con un dominio reale abbiamo visto cosa succede in quel caso.
- Addestrare modelli su casi rari. Lo studio osserva che il settore finanziario li usa per generare transazioni rare nel rilevamento di frodi e riciclaggio. La stessa idea ti aiuta se hai troppo pochi casi di frode, resi o guasti per addestrare un modello.
- Rappresentare meglio i gruppi piccoli. Se i tuoi record pendono verso una città o un segmento di clienti, i dati sintetici aiutano a riequilibrarli perché il modello non penalizzi gli altri.
- Condividere con uno sviluppatore o un partner. Dai al fornitore o alla software house dati sintetici su cui costruire e testare, invece di consegnargli una copia del tuo database clienti.
I dati sintetici escono dalla legge sulla protezione dei dati personali?
Non automaticamente. Lo studio spiega che i dati sintetici non sono menzionati espressamente né nella legge sulla protezione dei dati personali né nel suo regolamento di attuazione, ma l'articolo 9 del regolamento stabilisce che le informazioni anonimizzate non sono personali. Tutto dipende quindi dalla reidentificazione: se si può identificare una persona direttamente o indirettamente, ricadono sotto la legge; altrimenti sono trattati come anonimi. Per questo lo studio chiede di valutare il rischio di reidentificazione, soprattutto con campioni piccoli e casi rari, facili da collegare a persone.
Lo studio ricorda inoltre che nel 2023 la SDAIA ha lanciato la prima sandbox regolamentare della regione per dati e privacy, uno spazio per sperimentare tecnologie che rafforzano la privacy, compresi i dati sintetici, senza violare i requisiti di riservatezza.
4 rischi da tenere d'occhio
- La reidentificazione. Il modello generatore può memorizzare schemi precisi o rari dei record reali ed esporre una persona specifica.
- Scarso realismo. I dati sintetici possono perdere valori anomali e dettagli fini: il modello va bene nei test e fallisce con i clienti reali.
- Degrado del modello. Addestrare modelli di continuo su contenuti generati da altri modelli fa perdere loro varietà a poco a poco, ciò che lo studio chiama collasso del modello.
- Riproduzione dei bias. Se i tuoi record originali sono distorti, i dati sintetici possono ereditare questa distorsione o perfino amplificarla.
Passi pratici dalla tabella di marcia della SDAIA
Lo studio propone una tabella di marcia in 3 fasi e 6 passi, da cui prendiamo ciò che si adatta a un'azienda media:
- Definisci prima lo scopo. Ti servono per testare software, addestrare un modello o condividerli con terzi? Lo scopo stabilisce la precisione e la privacy necessarie e lo strumento giusto.
- Nomina un responsabile e fissa regole interne. Chi approva la loro generazione e il loro uso, e chi risponde della qualità. Se applichi già la governance dei dati secondo la SDAIA, aggiungi i dati sintetici.
- Verifica qualità e privacy prima dell'uso. Confronta l'insieme sintetico con quello reale, verifica se qualcuno potrebbe reidentificare le persone e valuta il modello finale su record reali indipendenti.
- Documenta il processo di generazione. Registra l'origine dei record di partenza, lo strumento o il modello usato e le impostazioni, così che il lavoro si possa rivedere in seguito.
- Pretendi trasparenza dai fornitori. Se acquisti dati sintetici o uno strumento di generazione, chiedi documentazione sulle fonti, sul modello usato, sui bias noti e sui suoi limiti.
Questi passi si integrano con il quadro nazionale di gestione dei rischi dell'IA. In Origami aiutiamo le aziende a costruire ambienti di test con dati sintetici, separati dai record reali dei clienti. Contattaci se vuoi iniziare con noi.
Fonti
Domande frequenti
Cosa sono i dati sintetici?
Record generati da algoritmi o modelli di IA per imitare le proprietà statistiche dei dati reali, senza contenere informazioni identificative su persone o enti reali, secondo la definizione dello studio della SDAIA.
I dati sintetici sono del tutto sicuri per la privacy?
No. La SDAIA sottolinea che non eliminano necessariamente il rischio di reidentificare le persone, soprattutto se il modello generatore ha memorizzato schemi rari dei record reali; valuta questo rischio prima dell'uso.
La legge sulla protezione dei dati personali si applica ai dati sintetici?
Dipende dalla reidentificazione. L'articolo 9 del regolamento di attuazione dice che le informazioni anonimizzate non sono personali, ma se è possibile identificare una persona, ricadono sotto la legge.
Da dove dovrebbe partire una PMI?
Dall'ambiente di test: sostituisci i record reali dei clienti in sviluppo e test con dati sintetici, nomina un responsabile e documenta come vengono generati.
