AI e GDPR
Il GDPR non vieta l'intelligenza artificiale: vieta di trattare dati personali senza regole. Per un'azienda italiana la differenza tra uso lecito e violazione sta in poche decisioni concrete — prese prima, non dopo la segnalazione.
Ultima revisione: 20 luglio 2026. Prezzi, limiti e funzioni cambiano spesso: verifica sempre sul sito ufficiale.
1. Piano consumer o business? I piani consumer gratuiti possono usare i contenuti per addestrare i modelli (salvo opt-out) e non offrono garanzie contrattuali. Per dati aziendali reali servono piani business/enterprise con DPA (accordo sul trattamento dati), impegno a non addestrare sui vostri contenuti e controlli amministrativi. 2. Base giuridica: se nei prompt entrano dati personali di clienti o dipendenti, serve una base ex art. 6 GDPR — di solito legittimo interesse documentato o esecuzione contrattuale, con valutazione scritta. 3. Minimizzazione: la regola operativa più efficace è banale: anonimizzare prima di incollare. Nomi, codici fiscali, importi identificabili fuori dai prompt. 4. Trasferimenti extra-UE: verificate dove il fornitore tratta i dati e con quali garanzie (SCC, adeguatezza); le opzioni con residenza UE o svizzera semplificano la vita. 5. Policy interna: una pagina chiara su cosa si può incollare e cosa no vale più di dieci corsi — perché il rischio reale è il dipendente volenteroso col piano gratuito personale.
DPA firmabile, impegno no-training sui dati aziendali, data residency dichiarata (UE/Svizzera è un plus), SSO e audit log per il controllo accessi, e possibilità di cancellazione verificabile. I grandi fornitori offrono tutto questo nei piani enterprise; soluzioni come MultipleChat Enterprise aggiungono isolamento dei dati, chiavi API proprie e residenza UE/Svizzera/USA a scelta — comodo quando si vogliono più modelli sotto un solo contratto.
FAQ
No. Impone regole: base giuridica se si trattano dati personali, minimizzazione, trasparenza, garanzie contrattuali col fornitore e misure di sicurezza. Con piano business, DPA e policy interna, l'uso è gestibile.
Se l'azienda ha già un DPO, va coinvolto. L'adozione di strumenti AI con dati personali è tipicamente materia per una valutazione del rischio, e in alcuni casi per una DPIA.
È il rischio numero uno: dati aziendali su account non controllati, spesso con training attivo. La risposta giusta è una policy chiara più uno strumento aziendale sanzionato.
Il Data Processing Agreement è il contratto ex art. 28 GDPR tra voi (titolare) e il fornitore AI (responsabile): definisce finalità, sicurezza, sub-responsabili e cancellazione. Senza DPA, dati personali nei prompt sono un azzardo.
Approfondimento pratico
L’utente aziendale vuole usare AI senza violare GDPR, contratti o segreti commerciali.
admin, policy e separazione dai piani consumer
documenti, email, Excel e Teams
Gmail, Docs, Drive e Meet
controllo su retention, log, DPA e hosting
Crea una policy AI aziendale di 1 pagina: dati vietati, dati ammessi, strumenti approvati, controlli, ruoli e casi escalation.
Valuta questo caso d’uso AI secondo GDPR: dati trattati, finalità, base giuridica, minimizzazione, rischi, misure tecniche e controllo umano.
Il GDPR non vieta l’AI, ma richiede finalità chiara, minimizzazione, base giuridica, sicurezza, trasparenza e gestione dei diritti. L’AI Act aggiunge obblighi progressivi, soprattutto su literacy, trasparenza, GPAI e sistemi ad alto rischio.