Perché è un tema informatico, non solo legale
Quando un’azienda introduce l’intelligenza artificiale, il GDPR non si rispetta con un documento. Bisogna sapere quali dati finiscono in quali strumenti, dove vengono elaborati, chi può accedervi e per quanto tempo restano conservati. Sono domande tecniche: rispondere richiede di conoscere sistemi, integrazioni e fornitori.
Per questo la verifica GDPR di un progetto AI funziona meglio quando informatica e privacy lavorano insieme. Di seguito i controlli da fare, in ordine.
1. Mappare dove l’AI è già usata
In molte aziende le persone usano già strumenti AI con account personali, spesso caricando email, contratti o dati dei clienti. Il primo passo è sapere quali strumenti sono in uso, da chi e con quali dati. È il fenomeno descritto nell’articolo sulla shadow AI.
2. Verificare contratti e fornitori
- Versione aziendale: le versioni business dei principali strumenti prevedono condizioni diverse da quelle consumer sull’uso dei dati.
- Accordo sul trattamento: quando il fornitore tratta dati personali per conto dell’azienda serve un contratto ai sensi dell’articolo 28 del GDPR.
- Luogo del trattamento: se i dati escono dall’Unione Europea servono basi giuridiche per il trasferimento, come una decisione di adeguatezza o clausole contrattuali standard.
- Sub-fornitori: l’elenco dei soggetti a cui il fornitore affida a sua volta i dati.
3. Valutare il rischio del trattamento
Se il sistema AI valuta persone, tratta dati particolari (salute, dati biometrici, opinioni) o prende decisioni con effetti significativi sugli interessati, può essere necessaria una valutazione d’impatto sulla protezione dei dati (DPIA, articolo 35 del GDPR). Le decisioni basate unicamente su trattamenti automatizzati hanno inoltre limiti specifici (articolo 22).
4. Misure di sicurezza adeguate
- Accessi per ruolo: ogni utente vede solo i documenti e i dati di sua competenza.
- Log delle richieste e delle azioni svolte dal sistema.
- Minimizzazione: inviare al modello solo i dati necessari, anonimizzando quando possibile.
- Conservazione: tempi di cancellazione definiti per conversazioni, file caricati e indici.
- Quando i dati sono molto sensibili, valutare un’AI privata o on-premise.
5. Informative e regole interne
Dipendenti e clienti vanno informati quando l’AI tratta i loro dati o interagisce con loro. In Italia la legge 132/2025 ha introdotto obblighi informativi specifici in ambito lavorativo: trovi un modello nell’articolo informativa AI per lavoratori e clienti. Serve anche una policy interna che dica quali strumenti sono approvati e quali dati non si possono inserire.
6. Collegare GDPR e AI Act
L’AI Act europeo si aggiunge al GDPR, non lo sostituisce. Per tutte le aziende che usano sistemi AI vale già l’articolo 4 sull’alfabetizzazione: adottare misure perché il personale comprenda funzionamento, limiti e rischi degli strumenti, come riformulato dal Digital Omnibus. Gli altri obblighi dipendono dal livello di rischio del sistema. Una panoramica è in AI Act: cosa deve fare una PMI nel 2026.
Checklist rapida
- Elenco degli strumenti AI in uso e dei dati trattati.
- Contratti e accordi sul trattamento dei dati con ogni fornitore.
- Verifica dei trasferimenti extra UE.
- Valutazione della necessità di una DPIA.
- Accessi per ruolo, log e tempi di conservazione.
- Informative aggiornate per dipendenti e clienti.
- Policy interna sull’uso dell’AI e formazione del personale.
I contenuti di questo articolo sono informativi. Per decisioni sul caso specifico coinvolgi il tuo DPO o un consulente privacy.
Domande frequenti
Usare ChatGPT o altri strumenti AI in azienda viola il GDPR?
Non di per sé. Il problema nasce quando dati personali di clienti, dipendenti o fornitori vengono inseriti in strumenti senza un contratto adeguato, senza informativa o senza sapere dove vengono trattati. Con una versione aziendale dello strumento, un accordo sul trattamento dei dati e regole interne chiare, l’uso può essere conforme.
Il fornitore di AI deve essere nominato responsabile del trattamento?
Quando tratta dati personali per conto dell’azienda, sì: l’articolo 28 del GDPR richiede un contratto o atto giuridico che ne definisca obblighi e limiti. Molti fornitori offrono un Data Processing Agreement standard da verificare e conservare.
Serve una valutazione d’impatto (DPIA) per un progetto AI?
È obbligatoria quando il trattamento può presentare un rischio elevato per i diritti delle persone, per esempio con valutazioni sistematiche, dati particolari su larga scala o monitoraggio. Molti progetti AI rientrano in questi casi, quindi la verifica va fatta prima di partire.
Chi deve fare questi controlli in una PMI?
Il titolare del trattamento resta l’azienda. Nella pratica servono competenze informatiche e privacy insieme: chi conosce i sistemi e i flussi di dati, e chi conosce gli obblighi normativi. Una consulenza informatica collegata alla privacy evita che uno dei due aspetti resti scoperto.