Cos'è PCI DSS?

Definizione

PCI DSS è lo standard di sicurezza dei dati del settore delle carte di pagamento, un insieme di requisiti tecnici e operativi per le entità che conservano, elaborano o trasmettono dati di carte di pagamento. Lo pubblica il PCI Security Standards Council, e circuiti e acquirer lo applicano tramite i loro contratti.

Cosa comprende

PCI DSS fornisce una base di requisiti tecnici e operativi per proteggere i dati degli account di pagamento. Il PCI Security Standards Council afferma che è pensato per le entità che conservano, elaborano o trasmettono dati del titolare della carta o dati di autenticazione sensibili, o che potrebbero influire sulla sicurezza dell’ambiente che li contiene. Vi rientrano esercenti, elaboratori, acquirer, emittenti e fornitori di servizi. Il Council fissa lo standard, e acquirer e circuiti di pagamento lo applicano tramite i loro accordi, quindi non è una legge. Questa pagina riflette la versione 4.0.1 dello standard.

Qui contano due termini. I dati del titolare includono il numero di conto primario (PAN). I dati di autenticazione sensibili (SAD) includono il codice di verifica stampato sulla carta, come il CVV2, CVC2 o CID, che serve a dimostrare che chi paga ha la carta in mano.

Cosa richiede

Il requisito 3.2.1 chiede che la conservazione dei dati dell’account sia ridotta al minimo tramite policy, procedure e processi di conservazione e smaltimento dei dati. Il requisito 3.3.1 dice che i SAD non vengono conservati dopo l’autorizzazione, nemmeno se cifrati. I dati del titolare come il PAN possono essere conservati dopo l’autorizzazione solo se esiste una necessità aziendale e, per il PAN, solo se reso illeggibile. I SAD non possono essere conservati.

Il Council ha applicato questo direttamente alle chiamate. Nella FAQ 1210 dice che conservare un codice di validazione della carta in qualsiasi registrazione audio digitale, come un file .wav o .mp3, dopo l’autorizzazione è una violazione del requisito 3.3.1. Se tali dati vengono raccolti durante una chiamata, si deve fare ogni sforzo per evitare che vengano registrati, e dove esiste una tecnologia per sopprimere o oscurare l’audio durante l’inserimento dei dati essa deve essere attivata. Se la registrazione non può essere evitata, i dati devono essere cancellati in modo sicuro subito dopo l’autorizzazione. Dove la cancellazione non è possibile, la soluzione di ripiego sono i controlli compensativi. La FAQ afferma anche che PCI DSS non prevale sulle leggi locali o regionali sulla conservazione dell’audio.

Cosa significa per un agente vocale

Un agente vocale è un nuovo luogo in cui i dati delle carte possono diffondersi. Le cifre che chi chiama pronuncia o digita possono comparire nell’audio della chiamata, in una trascrizione, in un prompt inviato a un LLM, in una chiamata a uno strumento, in un payload di webhook, in un archivio di analisi e nei log di un fornitore. Ogni copia pone la domanda se rientri nel proprio ambito PCI.

Gli approcci comuni sono passare chi chiama a un flusso di pagamento che resta fuori dall’agente, oppure raccogliere le cifre con toni del tastierino mascherati dall’audio (DTMF), così che l’agente non le senta né le conservi mai. Comunque sia progettato, si verifichi cosa cattura la registrazione delle chiamate durante la fase di pagamento e come le parti vengono conservate e cancellati (conservazione dei dati). Il rapporto SOC 2 di un fornitore non dimostra lo status PCI. Si chieda l’attestazione PCI del fornitore se è nel percorso dei dati delle carte. Per esempi bancari, si veda la guida sull’IA conversazionale nel banking.

Domande da porre al consulente legale

Conserviamo, elaboriamo o trasmettiamo dati di carte in questo flusso, o possiamo tenere l’agente fuori ambito?
Quale valutazione o attestazione si applica a noi, e cosa richiedono il nostro acquirer e i circuiti?
Come evitiamo che le cifre delle carte raggiungano registrazioni, trascrizioni, prompt e log?
Cosa facciamo se una registrazione contiene già un codice di verifica?
Quali fornitori nel percorso della chiamata devono fornirci prove del proprio status PCI?

Guide

IA conversazionale in banca: chiamate dei clienti

Casi d'uso

Fonti

Questa pagina offre informazioni generali, non consulenza legale. Le regole cambiano da paese a paese, da stato a stato e da caso d'uso a caso d'uso, e si evolvono. Consulta le fonti indicate e chiedi a un legale qualificato prima di farvi affidamento.

Ultima verifica il 19 ottobre 2026