Think Tank · Guide AI Act

ChatGPT in azienda e dati personali: le regole da darsi

Un'email di un cliente da riscrivere, un CV da riassumere, un contratto da controllare: incollarli in ChatGPT è comodo, ma se contengono dati personali l'azienda li sta trattando, e ne risponde secondo il GDPR. Ecco i rischi, la differenza tra account personali e aziendali e come scrivere poche regole interne chiare.

Aggiornato al 23 ottobre 2026 · A cura del Think Tank di Visionari

Perché è un tema di privacy

Quando un dipendente scrive in ChatGPT, Gemini, Copilot o Claude il nome di un cliente, i dati di un collega o il testo di un CV, quei dati vengono inviati a un fornitore esterno, spesso con server fuori dall'Unione europea. Per il GDPR l'azienda è il titolare del trattamento: deve avere una base giuridica, usare solo i dati necessari, scegliere fornitori affidabili e saper dire dove finiscono i dati.

Il rischio più diffuso è la cosiddetta "shadow AI": persone che usano il proprio account personale per lavoro, senza che l'azienda lo sappia. In quel caso l'azienda non controlla nulla: né le impostazioni, né la conservazione delle conversazioni, né chi può accedervi. Il tema è seguito con attenzione: nel dicembre 2024 il Garante privacy ha sanzionato OpenAI per 15 milioni di euro per violazioni legate a ChatGPT.

Account personali o aziendali: la differenza

• Account personali (gratuiti o a pagamento come ChatGPT Plus): il contratto è tra il fornitore e la singola persona. Di norma le conversazioni possono essere usate per migliorare i modelli, salvo disattivarlo nelle impostazioni. L'azienda non ha strumenti di controllo.
• Piani aziendali (come ChatGPT Business o Enterprise, e le versioni business degli altri assistenti): per impostazione predefinita i dati non vengono usati per addestrare i modelli, c'è un accordo sul trattamento dei dati e l'amministratore gestisce utenti e impostazioni.

Le condizioni cambiano spesso: prima di scegliere uno strumento leggi quelle attuali e conserva una copia dell'accordo sul trattamento dei dati.

Cosa non inserire mai

• Dati sulla salute, appartenenza sindacale, opinioni politiche o religiose e gli altri dati "particolari";
• dati di dipendenti e candidati: CV, buste paga, valutazioni, certificati;
• dati di clienti che li rendono riconoscibili, se non strettamente necessari e con uno strumento approvato;
• password, codici e credenziali;
• informazioni riservate: offerte, prezzi, progetti, segreti commerciali, documenti coperti da accordi di riservatezza.

Il trucco più semplice: prima di incollare un testo, togli o sostituisci i dati che identificano le persone ("Cliente A", "il collega X"). Per la maggior parte dei compiti, come riscrivere un'email o sintetizzare un documento, il risultato non cambia.

La policy aziendale in 7 punti

Non serve un documento lungo: bastano due pagine chiare, condivise con tutti.

1. Strumenti ammessi. Quali assistenti AI si possono usare per lavoro e solo con quali account (aziendali, non personali).
2. Dati vietati. L'elenco di cosa non inserire mai, con qualche esempio concreto del vostro lavoro.
3. Anonimizzazione. Come togliere nomi e dati identificativi prima di usare l'AI.
4. Verifica umana. Ogni risultato va controllato prima di essere usato o inviato: l'AI può sbagliare, inventare fonti o dare informazioni inesatte su persone reali.
5. Trasparenza. Quando dirlo a clienti e lettori, per esempio per chatbot e contenuti realistici: lo spieghiamo nella guida sugli obblighi di trasparenza.
6. Referente e segnalazioni. A chi chiedere in caso di dubbio e a chi segnalare subito un errore, per esempio dati inseriti per sbaglio.
7. Formazione e aggiornamento. Spiegare la policy a tutti, anche ai nuovi assunti, e rivederla quando arrivano nuovi strumenti. È anche il modo più semplice per rispettare l'obbligo di formazione AI del personale.

Gli adempimenti privacy da non dimenticare

• Accordo con il fornitore come responsabile del trattamento (articolo 28 del GDPR), se l'AI tratta dati personali per conto dell'azienda.
• Registro dei trattamenti aggiornato con i nuovi strumenti.
• Informativa privacy per clienti, dipendenti o candidati aggiornata, se i loro dati passano dagli strumenti di AI.
• Trasferimenti fuori dall'UE: verifica dove vengono trattati i dati e con quali garanzie.
• Valutazione d'impatto (DPIA) per gli usi più delicati, come quelli sul personale: vedi la guida sull'AI per selezionare e valutare il personale.

Domande frequenti

Posso semplicemente vietare ChatGPT in azienda?

Puoi, ma spesso le persone continuano a usarlo di nascosto con account personali, che è la situazione più rischiosa. Di solito funziona meglio mettere a disposizione uno strumento approvato e dare regole chiare.

Se un dipendente inserisce i dati di un cliente, chi ne risponde?

L'azienda, come titolare del trattamento. Per questo contano la policy, la formazione e la scelta degli strumenti: dimostrano che l'azienda ha fatto il possibile per prevenire l'errore.

Sono un professionista: devo dirlo ai clienti?

Sì. Dal 10 ottobre 2025 la Legge 132/2025 (articolo 13) chiede alle professioni intellettuali di informare i clienti sui sistemi di AI usati, in modo chiaro e semplice. L'AI può solo supportare il lavoro del professionista, che resta prevalente e di cui resta pienamente responsabile. Il modo più sicuro è scriverlo nel mandato o nel contratto.

I testi e le immagini creati con l'AI sono miei?

Dipende dal tuo contributo. Con la Legge 132/2025 il diritto d'autore italiano protegge le opere create con l'aiuto dell'AI solo se sono il risultato del lavoro intellettuale di una persona. Un contenuto generato con un semplice comando, senza un vero apporto creativo, potrebbe non essere protetto.

Fonti

• Regolamento (UE) 2016/679 (GDPR), articoli 5, 9, 28, 30, 35 e 44
• Regolamento (UE) 2024/1689 (AI Act), articoli 4 e 50
• Legge 23 settembre 2025, n. 132, articoli 13 e 25
• Garante per la protezione dei dati personali, provvedimento nei confronti di OpenAI (dicembre 2024)

Questa guida offre un orientamento generale e non è una consulenza legale.