"Sigillare il file" viene presentato come un'unica azione, ma in realtà sono tre operazioni distinte che avvengono contemporaneamente, ciascuna delle quali risponde a una domanda diversa che una controversia potrebbe sollevare in futuro. Capire cosa fa davvero ciascun elemento chiarisce perché il risultato regge in un modo che una copia salvata o uno screenshot non possono garantire.
Primo passaggio: il file viene sottoposto a hash
Una funzione di hash crittografico legge i byte esatti del file e produce una stringa di lunghezza fissa unica per quel contenuto. Basta cambiare un solo carattere, un solo pixel, una riga di formattazione, e l'hash risulta completamente diverso. L'hash non memorizza né rivela il contenuto del file. È un'impronta digitale: nessuno può ricostruire il documento a partire da essa, ma chiunque possieda il file originale può ricalcolare lo stesso hash e confermare che corrisponde.
Secondo passaggio: si aggiunge una dichiarazione
La dichiarazione registra come è stata realizzata l'opera: redatta da una persona, assistita dall'IA o generata dall'IA, con la categoria più adatta al contenuto. Questo conta per due motivi. Offre ai lettori futuri, o a un tribunale, un resoconto onesto redatto al momento della creazione anziché ricostruito più tardi a memoria. E in base agli obblighi di trasparenza dell'articolo 50 del regolamento UE sull'IA, una dichiarazione chiara e contestuale è esattamente il tipo di documentazione che gli obblighi di etichettatura richiedono.
Terzo passaggio: viene emessa la marca temporale qualificata
L'hash e la dichiarazione vengono associati a una marca temporale emessa da Swisscom Trust Services, un prestatore di servizi fiduciari qualificato accreditato sia ai sensi del ZertES in Svizzera sia di eIDAS nell'UE. Non è l'orologio del vostro dispositivo. Ai sensi dell'articolo 41 di eIDAS, una marca temporale qualificata gode di una presunzione legale di accuratezza, sia per la data e l'ora indicate sia per l'integrità dei dati a cui è associata. Questa presunzione è ciò che una semplice data di modifica del file, impostata dall'ultimo software che lo ha toccato, non potrà mai avere.
Cosa resta alla fine
Il risultato è un certificato: un record dell'hash, della dichiarazione e della marca temporale qualificata, recuperabile in seguito tramite un link di verifica pubblico. Chiunque possieda il file originale può ricalcolarne l'hash e confrontarlo con il record sigillato, senza bisogno di accedere e senza dover contattare chi ha sigillato il file. Se anche un solo byte del file è cambiato dal momento della sigillatura, gli hash non corrisponderanno, e questa discordanza è di per sé il riscontro.
Nulla in questo processo dipende dal fatto di doversi fidare della piattaforma su cui il file si trova oggi. L'hash, la dichiarazione e la marca temporale qualificata accompagnano il record, indipendentemente da dove il file verrà archiviato o condiviso in seguito.
