Cluster · GDPR e AI
GDPR e intelligenza artificiale in azienda
Come si applica il GDPR quando usi l'AI in azienda: base giuridica, dati nei prompt, fornitori extra UE e decisioni automatizzate.
Tempo di lettura: 10 min
Guida operativa · AI Act e conformità
Quando un'azienda italiana introduce l'AI, il primo problema normativo che incontra non è l'AI Act: è il GDPR. È in vigore da anni, si applica a tutti, e riguarda ogni volta che nei contenuti che dai in pasto a un sistema ci sono dati riferibili a persone.
La differenza di fondo è questa: l'AI Act regola il sistema come prodotto, il GDPR regola il trattamento dei dati. Un progetto AI che tocca dati personali deve rispettare entrambi, e nella pratica delle PMI il secondo morde prima e più spesso.
In sintesi
- Il GDPR si applica ogni volta che l'AI tratta dati riferibili a persone identificabili.
- Serve una base giuridica individuata prima di iniziare, non giustificata dopo.
- Il fornitore AI che elabora dati per tuo conto è di norma un responsabile del trattamento: serve un accordo scritto.
- I trasferimenti extra UE vanno regolati e documentati: riguardano quasi tutti gli strumenti mainstream.
- Le decisioni automatizzate che incidono sulle persone hanno garanzie specifiche.
- Il rischio più frequente nelle PMI non è tecnico: è il collaboratore che incolla dati in strumenti non autorizzati.
Quando il GDPR entra in gioco
Basta poco. Non serve un sistema di profilazione: basta che un documento contenga un nome e un'email.
- Riassumere email di clienti con un assistente → dati personali
- Far analizzare un elenco contatti → dati personali
- Trascrivere una riunione con nomi e opinioni → dati personali
- Far generare risposte a partire dallo storico di un cliente → dati personali
- Far riassumere una norma o un manuale tecnico → di norma nessun dato personale
Solo l'ultimo caso è fuori dal perimetro. Tutti gli altri, che sono anche i più comuni in azienda, ci rientrano in pieno.
Le quattro domande da risolvere prima di partire
1. Su quale base giuridica tratto questi dati? Il consenso non è quasi mai la scelta migliore in ambito aziendale: è revocabile e complica la gestione. Nella maggior parte dei casi si lavora su esecuzione del contratto o legittimo interesse, e in quest'ultimo caso serve una valutazione di bilanciamento messa per iscritto.
2. Chi è il fornitore rispetto ai dati? Se un servizio AI elabora dati per tuo conto, di norma è responsabile del trattamento e serve un accordo ai sensi dell'articolo 28. Molti fornitori lo mettono a disposizione: va cercato, letto e conservato.
3. Dove finiscono i dati? Molti strumenti AI hanno infrastruttura fuori dall'Unione. Il trasferimento è possibile ma va regolato con gli strumenti previsti e documentato.
4. I dati vengono usati per addestrare modelli? È la domanda che cambia tutto e che spesso non viene posta. Le condizioni variano tra piani consumer e piani business dello stesso fornitore.
Decisioni automatizzate: dove GDPR e AI Act si sovrappongono
Il GDPR pone limiti alle decisioni basate unicamente su trattamento automatizzato che producono effetti giuridici sulla persona o incidono in modo analogo. In quei casi la persona ha diritto a un intervento umano, a esprimere la propria posizione e a contestare la decisione.
È esattamente il territorio che l'AI Act classifica come alto rischio, spiegato in i quattro livelli di rischio. Le due norme arrivano allo stesso punto da direzioni diverse.
| Aspetto | GDPR | AI Act |
|---|---|---|
| Oggetto | Il trattamento dei dati personali | Il sistema AI come prodotto |
| Focus | Diritti dell'interessato | Sicurezza e conformità del sistema |
| Su chi grava | Titolare del trattamento | Fornitore e utilizzatore |
| Strumento tipico | Informativa, base giuridica, DPIA | Classificazione, documentazione, sorveglianza |
Esempi pratici
Studio commercialista che riassume documenti dei clienti. Trattamento di dati personali, spesso anche di categorie delicate. Serve verificare la base giuridica, l'accordo con il fornitore, dove risiedono i dati e se vengono usati per l'addestramento. Non è un ostacolo: è un'ora di verifica che va fatta una volta.
E-commerce che usa l'AI per rispondere ai clienti. L'assistente accede allo storico ordini. Il fornitore è responsabile del trattamento, l'informativa va aggiornata con la nuova categoria di destinatari, e va deciso cosa l'assistente può vedere: raramente serve l'intero storico per rispondere sulla spedizione di ieri.
Azienda che valuta i dipendenti con supporto AI. Qui si sommano tutte le tutele: decisione che incide sulla persona, dati del lavoratore, normativa giuslavoristica. È il caso in cui serve un parere, non una guida.
Officina che usa un assistente per preventivi tecnici. Se nei testi non ci sono dati di persone identificabili, il GDPR non entra. È il caso più semplice, ed è più frequente di quanto si creda.
Minimizzazione: dare al sistema solo quello che serve
È il principio del GDPR che nei progetti AI viene ignorato più spesso, ed è anche quello che risolve più problemi a costo zero.
La tentazione, quando si costruisce un assistente, è dargli accesso a tutto: l'intero storico ordini, l'anagrafica completa, l'archivio documentale. Sembra la scelta che produce risposte migliori. Quasi sempre non lo è, e in più moltiplica il rischio.
Accesso proporzionato
- Solo gli ordini degli ultimi mesi
- Solo i campi che servono alla risposta
- Documenti filtrati per cliente richiedente
Accesso indiscriminato
- Tutto lo storico di tutti i clienti
- Anagrafica completa con dati non necessari
- Interi archivi senza filtri
La colonna di sinistra riduce il rischio, semplifica la base giuridica, e nella pratica produce anche risposte più precise, perché il sistema lavora su un contesto pulito invece che su un mare di dati irrilevanti. È lo stesso principio che governa la qualità di un sistema documentale AI, spiegato in RAG: cos'è e in AI per la knowledge base aziendale.
Le domande da fare al fornitore, in ordine
Quando valuti un servizio AI dal punto di vista GDPR, la sequenza conta:
- Dove sono trattati i dati? Se restano nell'Unione, un problema in meno.
- I contenuti sono usati per addestrare? È la differenza sostanziale tra i piani.
- Mettete a disposizione l'accordo ex art. 28? Se la risposta è confusa, è un segnale.
- Per quanto conservate i contenuti? E cosa succede alla cessazione del contratto?
- Chi, dal vostro lato, può accedere ai dati? E con quali controlli?
- Come gestite le richieste degli interessati che arrivano a noi?
Per i casi in cui nessuna di queste risposte è soddisfacente esiste una via alternativa: tenere l'elaborazione dentro il perimetro aziendale, con modelli AI locali o modelli open source. Costa di più in infrastruttura e competenze, ma su dati particolarmente delicati è spesso l'unica strada percorribile — e va valutata all'inizio, non dopo aver costruito tutto su un servizio esterno.
Errori da evitare
- Pensare che «tanto sono dati aziendali». Il nome e l'email di un referente aziendale sono dati personali.
- Non firmare l'accordo con il fornitore. È un adempimento formale ma è il primo che viene chiesto in una verifica.
- Ignorare la questione addestramento. È la differenza sostanziale tra un piano e l'altro.
- Non aggiornare l'informativa. Nuovo fornitore che tratta dati dei clienti = cambiamento da comunicare.
- Lasciare l'uso non regolato. È il rischio numero uno: non il sistema aziendale, ma il collaboratore che incolla un file in uno strumento personale — vedi dati aziendali e AI.
Come applicarlo in azienda
- Mappa quali flussi AI toccano dati personali. Spesso sono meno di quanto sembri.
- Per ognuno individua la base giuridica e mettila per iscritto.
- Recupera e conserva gli accordi con i fornitori.
- Verifica dove risiedono i dati e se servono strumenti per il trasferimento.
- Aggiorna informativa e registro dei trattamenti.
- Scrivi una policy interna che dica cosa non va mai incollato altrove — vedi policy aziendale sull'uso dell'AI.
- Valuta se serve una DPIA: raramente per assistenti interni, quasi sempre per sistemi che valutano persone.
L'ultimo punto della lista è quello che protegge di più a parità di sforzo. La maggior parte degli incidenti nelle PMI non nasce da un sistema mal progettato, ma da un uso individuale non regolato.
Trattandosi di materia con orientamenti delle autorità in evoluzione, verifica sempre le fonti ufficiali e fatti assistere quando il trattamento riguarda lavoratori o categorie particolari di dati.
Conclusione
Il GDPR non impedisce di usare l'AI: chiede di sapere cosa stai facendo con i dati delle persone. Base giuridica, accordo col fornitore, luogo di conservazione, uso per l'addestramento, informativa aggiornata. Cinque cose, una volta sola, e il progetto parte tranquillo.
L'errore più costoso non è tecnico ma organizzativo: lasciare che ognuno usi lo strumento che preferisce con i dati che capitano. Una policy di due pagine vale più di qualsiasi certificazione.
L'AI diventa utile quando entra nei processi. Giallo Studio aiuta PMI e team a costruire automazioni concrete, misurabili e sostenibili — anche dal punto di vista dei dati.
Schema consigliato: Article + FAQPage + BreadcrumbList
Risorse correlate
FAQ
Il GDPR si applica anche se uso solo ChatGPT?
Si applica ogni volta che nei contenuti che inserisci ci sono dati personali: nomi di clienti, email, contenuti di conversazioni, documenti con riferimenti a persone identificabili. Il fatto che lo strumento sia generico non cambia nulla: quello che conta è se stai trattando dati personali, non quale software usi per farlo.
Serve il consenso per usare l'AI sui dati dei clienti?
Non necessariamente. Il consenso è una delle basi giuridiche possibili, spesso non la più adatta in ambito B2B. In molti casi si può fare leva sull'esecuzione del contratto o sul legittimo interesse, purché documentato con una valutazione di bilanciamento. La scelta della base giuridica va fatta prima di iniziare, non giustificata dopo.
Posso usare un fornitore AI con server fuori dall'Unione europea?
Sì, ma il trasferimento va regolato con uno degli strumenti previsti dal GDPR e va documentato. Serve inoltre valutare se il livello di protezione nel paese di destinazione sia adeguato nel caso concreto. È uno degli aspetti in cui l'improvvisazione è più rischiosa, perché riguarda quasi tutti gli strumenti AI mainstream.
Cosa dice il GDPR sulle decisioni automatizzate?
Il GDPR limita le decisioni basate unicamente su trattamento automatizzato che producono effetti giuridici o incidono in modo analogo sulla persona. In quei casi servono garanzie: intervento umano, possibilità di esprimere la propria posizione e di contestare la decisione. È l'area di sovrapposizione più forte con l'AI Act.
Devo aggiornare l'informativa privacy se introduco l'AI?
Se l'introduzione dell'AI cambia le finalità, le modalità del trattamento o i destinatari dei dati, l'informativa va aggiornata. Aggiungere un fornitore che elabora i dati dei clienti è tipicamente un cambiamento rilevante. È un adempimento semplice che viene dimenticato spesso.
Serve una DPIA per un progetto AI?
Serve quando il trattamento presenta un rischio elevato per i diritti e le libertà delle persone, condizione frequente nei sistemi che valutano o profilano individui su larga scala. Non è automatica per ogni uso dell'AI: un assistente che riassume documenti interni raramente la richiede, uno strumento che classifica candidati quasi sempre sì.