Atlassian inizia ad addestrare Rovo con i tuoi dati Jira e Confluence da oggi

Sophie Laurent Responsabile Legale & Conformità, YuSMP Group · Quadri normativi UE, GDPR, DORA, NIS2 e conformità AI Act per i team software

In sintesi

Quali dati raccoglie Atlassian

Atlassian separa la raccolta in due categorie con diversi diritti di opt-out.

I metadati coprono segnali derivati: punteggi di leggibilità, classificazioni del tipo di attività, story point, date di fine sprint, valori SLA e punteggi di similarità semantica prodotti dal Teamwork Graph. Atlassian dichiara che questi dati vengono de-identificati prima dell'uso e che sono in atto salvaguardie per prevenire la re-identificazione. La società sostiene che i metadati sono già aggregati e anonimizzati, motivo per cui tratta l'opt-out come funzionalità Premium/Enterprise piuttosto che come diritto di base.

I dati in-app sono più sensibili: titoli e testi delle pagine Confluence, titoli, descrizioni e commenti dei ticket Jira, nomi di stati personalizzati e nomi di workflow. Questa categoria può includere nomi di clienti, roadmap di prodotto, risultati di audit di sicurezza e altre informazioni riservate di progetto a seconda di come i team utilizzano Jira e Confluence.

I dati vengono conservati per un massimo di sette anni. Dopo un opt-out, i dati in-app vengono eliminati entro 30 giorni e i metadati entro 90 giorni.

Diritti di opt-out per livello di piano

La struttura a livelli significa che le organizzazioni con maggiori probabilità di detenere dati regolamentati — quelle con piano Free o Standard, spesso PMI, startup o team FinTech e HealthTech attenti ai costi — hanno il minore controllo. I clienti Enterprise, che dispongono tipicamente di team di conformità dedicati e revisione legale, ottengono per impostazione predefinita il controllo completo. Questa asimmetria merita di essere segnalata al processo di gestione dei fornitori: uno strumento usato per la pianificazione della roadmap o il tracciamento del backlog di sicurezza potrebbe essere su un piano che non si allinea con la sensibilità del suo contenuto.

Cosa significa per i team italiani ed europei

Perché la questione GDPR non è banale

L'articolo 6, paragrafo 4 del GDPR stabilisce un test di compatibilità: quando un titolare del trattamento vuole trattare dati per una nuova finalità non coperta dal consenso o dalla base giuridica originale, deve valutare se tale riutilizzo è compatibile. Addestrare un assistente IA commerciale su dati di gestione dei progetti è una finalità sostanzialmente diversa dall'uso operativo per cui i dati sono stati creati. I team software europei — e i loro clienti i cui dati confluiscono nei ticket Jira — potrebbero dover verificare se la loro attuale base giuridica si estende a questo riutilizzo o se è necessario aggiornare la valutazione d'impatto sulla protezione dei dati (DPIA).

I team che cercano una guida strutturata per questa analisi dovrebbero considerare una formale revisione di conformità AI Act e GDPR, in particolare se Jira o Confluence trattano dati personali di interessati nell'UE.

Implicazioni DORA e NIS2

Ai sensi dell'articolo 28 di DORA, le entità finanziarie nell'UE devono tenere un registro di tutte le disposizioni di servizi TIC con terze parti. Il cambiamento di politica di Atlassian costituisce un aggiornamento sostanziale della natura del trattamento dei dati nell'ambito di tale accordo. La voce del registro per Atlassian dovrebbe ora registrare lo stato di contributo all'addestramento IA, la data di verifica dell'impostazione e il responsabile dell'approvazione. Una clausola di strategia di uscita che affronti i dati usati per l'addestramento del modello — non solo l'estrazione dei dati alla risoluzione del contratto — è ora una best practice da aggiungere a qualsiasi accordo Atlassian.

Per i team soggetti agli obblighi di sicurezza NIS2, il cambiamento estende la dimensione del rischio della catena di fornitura: i dati operativi sugli incidenti, i record di violazione degli SLA e le definizioni dei workflow alimentano ora un modello IA del fornitore. La documentazione nella mappatura dei fornitori è il passo minimo richiesto; i team che gestiscono infrastrutture critiche potrebbero dover escalare al proprio CISO prima che l'impostazione predefinita di oggi entri in vigore.

Team statunitensi: considerazioni su PI e riservatezza

I team software che operano sotto SOC 2 o obblighi di riservatezza contrattuale devono verificare se le loro istanze Jira e Confluence contengono dati coperti da NDA con clienti, risultati di audit di sicurezza o specifiche di prodotto non pubblicate. Atlassian dichiara che i dati vengono de-identificati, ma la definizione di de-identificazione non elimina il rischio di esposizione della proprietà intellettuale per contenuti tecnici molto specifici.

Cosa fare ora

• Accedere ad Atlassian Administration oggi stesso. Navigare su Sicurezza → Contributo dati e registrare le impostazioni correnti. È il controllo più rapido, richiede meno di due minuti ed è la base per qualsiasi successiva azione di conformità.
• Identificare il livello del piano e il gap. Se l'organizzazione è su Free o Standard e detiene dati regolamentati, riservati o di proprietà dei clienti in Jira o Confluence, la raccolta dei metadati è inevitabile senza un aggiornamento del piano. Decidere se questo compromesso è accettabile o se è giustificato un upgrade.
• Classificare la sensibilità dei contenuti. I progetti Jira e gli spazi Confluence variano notevolmente in termini di sensibilità. Un backlog di prodotto orientato al pubblico è diverso da un tracker di vulnerabilità di sicurezza. Classificare quali spazi e progetti contengono dati regolamentati e considerarlo nella decisione di opt-out.
• Eseguire il test di compatibilità dell'articolo 6, paragrafo 4 del GDPR. Documentare se l'attuale base giuridica si estende all'addestramento di modelli IA. Se si dispone di una DPIA antecedente al 2024, quasi certamente non copre il riutilizzo per l'IA. Aggiornarla o commissionare un addendum.
• Aggiornare i registri DORA e NIS2. Registrare il cambiamento nel registro TIC di terze parti. Annotare la data, l'impostazione scelta, il livello del piano e l'amministratore responsabile. Questa documentazione protegge in caso di revisione da parte delle autorità di vigilanza.
• Rivedere i contratti con i clienti. Se si sviluppa software per clienti e si usa Jira per gestire tale lavoro, verificare se un contratto vieta di alimentare dati di progetto a sistemi IA di terze parti. Adottare misure correttive — opt-out o rinegoziazione — prima che l'obbligo contrattuale e il default del fornitore divergano.

Domande frequenti