AI e GDPR
«Riassumi questa email del cliente», «prepara una risposta al reclamo del sig. Rossi»: gli usi più naturali dell'AI in azienda sono anche quelli che trattano dati personali di terzi. Ecco dove passa la linea tra pratica gestibile e violazione.
Ultima revisione: 20 luglio 2026. Prezzi, limiti e funzioni cambiano spesso: verifica sempre sul sito ufficiale.
Il dato del cliente è suo, non vostro: voi lo trattate per finalità definite, e «lo incollo in un chatbot consumer che potrebbe usarlo per addestrare modelli» non rientra in nessuna finalità dichiarata nella vostra informativa. La violazione tipica non è dolosa: è il commerciale che incolla il thread completo, il contabile che carica l'estratto con i nominativi, l'assistenza che copia il reclamo con tanto di dati sanitàri del reclamante.
Anonimizzare per default: «il cliente», «l'importo concordato», «la pratica»: nella maggior parte dei casi l'AI non ha bisogno dell'identità per essere utile. Canale aziendale sanzionato: piano business con DPA e no-training, account aziendali, non profili personali gratuiti. Categorie speciali = stop: salute, orientamento, dati giudiziari, minori — questi dati (art. 9 GDPR) non entrano nei prompt, punto, se non dentro processi formalmente valutati.
FAQ
Sui piani consumer, solo dopo aver rimosso dati identificativi. Su piani business con DPA e no-training, l'uso è difendibile se rientra nelle finalità e nelle misure della vostra organizzazione.
Se l'anonimizzazione è vera (il cliente non è re-identificabile dal contesto), il GDPR non si applica più a quel contenuto. Attenzione ai dettagli che re-identificano: ruolo + azienda + città spesso bastano.
Sanzioni del Garante proporzionate a gravità e colpa, obblighi di notifica in caso di violazione, e il danno reputazionale di dover spiegare al cliente dove sono finiti i suoi dati.
Sì: strumenti in versione enterprise con DPA, no-training, residenza UE e controlli di accesso, prompt anonimizzati dove possibile, e una policy che il team conosce davvero.
Approfondimento pratico
L’utente vuole sapere se può incollare chat, email, contratti o ticket cliente in ChatGPT o altri tool.
riduce rischio su nomi, email, codici cliente e importi
contratti, controlli admin e policy migliori
risposte su documenti senza copia-incolla casuale
valutazione formale e misure organizzative
Anonimizza questo testo prima di usarlo in AI: sostituisci nomi, email, aziende, importi e identificativi con placeholder coerenti.
Crea una versione del prompt che non contenga dati personali ma mantenga il problema operativo da risolvere.
I dati dei clienti sono dati personali e spesso anche riservati contrattualmente. Non caricarli su strumenti consumer senza base, informativa, contratto e necessità reale.