AI e GDPR: dove finiscono i dati della tua azienda (e come tenerli sotto controllo)

«Ma se uso l'AI, i dati dei miei clienti finiscono in pasto a qualcuno?» È la domanda che mi arriva più spesso, di solito sussurrata a fine call come se fosse imbarazzante. Non lo è: è la domanda giusta, e la risposta onesta è che dipende interamente da come è costruito il sistema. Con le stesse funzionalità puoi avere una configurazione perfettamente difendibile davanti a un consulente privacy o una che non lo è affatto.

Il punto che quasi nessuno spiega

Usare ChatGPT dal browser con un account personale e usare un modello tramite API dentro un sistema aziendale sono due cose diverse dal punto di vista dei dati. Nel primo caso i contenuti che incolli seguono le impostazioni dell'account e la policy del piano che hai scelto, e non hai controllo tecnico su cosa viene conservato. Nel secondo caso il flusso lo definisci tu: quali campi partono, quali restano in azienda, per quanto tempo si conserva qualcosa, dove vengono eseguiti i log. Il rischio non sta nell'AI in sé, sta nel fatto che tredici dipendenti incollino contratti e anagrafiche in strumenti personali senza che nessuno lo sappia.

Le tre configurazioni che uso nei progetti reali.

• Cloud con dati minimizzati: si usano modelli via API, ma prima dell'invio il sistema rimuove o pseudonimizza ciò che non serve al compito — nomi, codici fiscali, IBAN, indirizzi. È la configurazione più comune e va benissimo per la grande maggioranza dei casi.
• Ibrida: i documenti restano in azienda su un archivio tuo; al modello arriva solo il frammento di testo necessario a rispondere, non l'intero archivio. Tipica per assistenti interni su manuali, procedure e contratti.
• Interamente locale: n8n self-hosted e modelli eseguiti su server tuo. Nessun dato lascia l'infrastruttura. Costa di più in hardware e manutenzione e la qualità dei modelli locali è inferiore a quella dei migliori modelli cloud: ha senso quando il vincolo è normativo o contrattuale, non per principio.

Cosa serve per stare tranquilli con il GDPR

Servono cinque cose pratiche: una base giuridica per il trattamento; il fornitore AI nominato come responsabile del trattamento con il relativo accordo; il registro dei trattamenti aggiornato con l'uso dell'AI; l'informativa ai clienti allineata; e una politica interna scritta che dica ai dipendenti cosa possono e non possono incollare in uno strumento esterno. Quest'ultima, che costa zero, è quella che manca più spesso.

E l'AI Act. Per la stragrande maggioranza degli usi in una PMI — assistenza clienti, automazioni interne, analisi documentale — si ricade negli usi a rischio limitato o minimo: gli obblighi principali sono di trasparenza (dire all'utente che sta parlando con un sistema automatico) e di formazione minima di chi usa gli strumenti. Le categorie ad alto rischio riguardano ambiti specifici come selezione del personale, credito e ambiti sanitari: se il tuo progetto tocca quelle aree, va valutato prima di scrivere una riga di codice.

Come lo verifico in un progetto

Faccio una mappa in una pagina: quali dati entrano nel flusso, quali escono dall'azienda, verso quale fornitore, per quanto restano, chi può vederli. Se questa pagina non esiste, il progetto non è pronto per andare in produzione, per quanto bene funzioni la demo.

Se vuoi capire in quale delle tre configurazioni ricade il tuo caso, ne parliamo in una call gratuita di 15 minuti: ti dico cosa può restare in azienda, cosa conviene mandare fuori e cosa va scritto nei documenti prima di partire.