A partire da aprile, gli utenti enterprise di OneDrive e SharePoint non potranno catturare screenshot quando aprono in Microsoft Edge un PDF protetto da un’etichetta Purview Information Protection senza il permesso di copia (EXTRACT). Il blocco scatterà in automatico, ma soltanto nel browser di Redmond e soltanto per i file così etichettati. Gli account OneDrive personali e i documenti non classificati restano fuori dalla misura.

La notizia, confermata da Microsoft nella roadmap del servizio, aggiunge un tassello alla crescente armatura con cui le piattaforme cloud cercano di blindare i dati aziendali. Purview, il sistema di classificazione e protezione delle informazioni, assegna etichette che limitano azioni come stampa, download o condivisione. Ora si aggiunge lo screenshot blocking, un controllo che finora era appannaggio di soluzioni di digital rights management molto più invasive. La scelta di legare la funzionalità al solo Edge non è casuale: serve a spingere l’adozione del browser in ambito corporate e a dimostrare che il controllo lato client è l’ultimo miglio per una protezione end-to-end.

Ma il provvedimento apre più di una crepa. Primo: la limitazione al solo Edge lascia immaginare che in Chrome, Firefox o Safari la cattura schermo rimanga possibile senza ostacoli, vanificando di fatto lo sforzo se l’utente decide di cambiare programma. Secondo: uno smartphone puntato sullo schermo o una fotocamera esterna aggirano il blocco con una banalità disarmante. In altre parole, la tecnicia funziona solo se l’intera catena – client, sistema operativo, periferiche – è sotto il controllo dell’admin; uno scenario realistico solo in ambienti molto vincolati. Infine, la misura rischia di dare un falso senso di sicurezza alle aziende, che potrebbero delegare a questo meccanismo una politica di protezione che invece richiederebbe una formazione robusta degli utenti e controlli a monte sull’accesso ai dati.

Per chi valuta il deployment on-premise di modelli linguistici e carichi di lavoro AI, questa mossa di Microsoft è un segnale importante. La protezione dei dati non si ferma ai server: deve estendersi ai client che consumano quei dati, specialmente quando si usano interfacce di chat o retrieval-augmented generation (RAG) su documenti sensibili. In un’architettura self-hosted, il controllo del client è spesso più profondo perché l’organizzazione può standardizzare il parco macchine, i browser e le estensioni, creando un ecosistema dove misure come lo screenshot blocking hanno senso. Al contrario, in scenari cloud-only come quello di OneDrive/SharePoint, la dipendenza dal software di un singolo vendor introduce un punto di fragilità: se il fornitore cambia politica o limiti tecnici, l’azienda subisce senza poteri di intervento. AI-RADAR propone framework analitici su /llm-onpremise per esaminare questi trade-off tra controllo locale e servizi gestiti.

La direzione intrapresa da Microsoft suggerisce che il futuro della protezione documentale passerà per un’integrazione sempre più stretta tra autorizzazioni lato server e enforcement lato client. Tuttavia, la sovranità dei dati non può essere delegata a una funzionalità di un singolo browser: richiede un ripensamento delle architetture, dove l’hosting on-premise dei dati e dei modelli AI offre un punto di leva per politiche di sicurezza coerenti, verificabili e scollegate dai roadmap dei fornitori cloud. In questa prospettiva, il semplice “blocco dello screenshot” diventa una metafora: la vera protezione sta nel non doversi preoccupare di chi sta guardando lo schermo, perché i dati risiedono dove l’organizzazione può esercitare un controllo reale.