Il responsabile commerciale ha un file Excel con 200 contatti clienti. Deve preparare un'analisi per venerdì. Apre ChatGPT, carica il file, scrive: "Analizza questi dati e dimmi quali clienti hanno più potenziale."
ChatGPT risponde in due minuti.
L'analisi è pronta.
Nessuno ha fatto nulla di intenzionalmente sbagliato. Ma nel momento in cui il file Excel è finito in ChatGPT sono scattati quattro problemi di compliance normativa.
E lo stesso sarebbe successo con Gemini, Copilot, Claude, Mistral, o qualsiasi altro strumento AI che elabora dati in cloud.
ChatGPT è il più diffuso, quindi è il nome che si sente di più. Ma la questione che stai per leggere non riguarda OpenAI in particolare, riguarda qualsiasi Large Language Model cloud a cui invii dati reali della tua azienda.
Gemini di Google, Copilot di Microsoft, Claude di Anthropic, Mistral. Tutti seguono la stessa logica di base: il dato che inserisci nel prompt viene elaborato su server esterni all'azienda, gestiti da un fornitore con cui probabilmente non hai firmato nessun accordo specifico sul trattamento dei dati.
La versione gratuita di qualsiasi strumento AI consumer aggrava la situazione: in molti casi, i dati inseriti possono essere usati per migliorare i modelli. Le versioni business cambiano il quadro, ma solo se configurate correttamente, e solo dopo aver firmato i contratti giusti.
Tienilo a mente mentre leggi: ogni volta che nel testo leggi "ChatGPT", mentalmente sostituiscilo con "qualsiasi LLM cloud che stai usando."
Per un inquadramento completo di cosa comporta usare AI in azienda sotto il profilo normativo, leggi la guida completa all'AI Act per le aziende.
Caricare un file con dati di clienti su qualsiasi LLM cloud attiva simultaneamente quattro questioni ai sensi del Regolamento (UE) 2016/679 - GDPR.
Quattro articoli, quattro problemi.
Tutti attivati con un singolo upload.
Non devi smettere di usare l'AI. Devi cambiare il metodo.
La regola è questa: l'AI scrive il codice. Il codice elabora i dati.
Invece di caricare il CSV dei clienti in ChatGPT (o in Gemini, o in Copilot, o in qualunque altro LLM) chiedi allo strumento AI di scrivere uno script Python, una macro Excel, una query SQL o una formula che faccia l'analisi che ti serve. Poi esegui quello script in locale, sui tuoi sistemi. Così i dati reali non escono mai dall'azienda.
Stesso risultato operativo. Zero trasferimento di dati personali verso sistemi esterni.
Questa regola vale per qualsiasi tipo di dato sensibile, non solo per i dati clienti: bilanci non pubblicati, offerte commerciali riservate, dati HR dei dipendenti, codice sorgente proprietario. Il principio è identico: lo strumento AI ragiona sulla logica del problema, non sui dati reali delle persone.
Un esempio concreto:
hai bisogno di segmentare 500 clienti per valore medio dell'ordine. Chiedi a Claude o a ChatGPT: "Scrivi uno script Python che legge un CSV con colonne 'nome', 'email', 'fatturato_annuo' e lo segmenta in tre fasce."
Copi lo script, lo esegui in locale. L'AI non ha mai visto un singolo dato reale del tuo cliente.
Le versioni enterprise degli strumenti AI più diffusi prevedono DPA firmati, escludono l'addestramento sui dati dell'utente e spesso garantiscono che i dati restino in specifiche regioni geografiche:
Questo cambia formalmente il quadro normativo, ma solo se quattro condizioni sono soddisfatte insieme:
Il punto critico è l'ultimo. In molte aziende i contratti Microsoft 365 Business sono attivi e il DPA è in ordine, ma i dipendenti aprono comunque chatgpt.com o gemini.google.com dalla finestra del browser accanto. Il DPA firmato con Microsoft non copre quel secondo canale. La responsabilità è comunque dell'azienda.
Questo è esattamente il motivo per cui la formazione del personale e una policy AI aziendale scritta non sono optional, sono il complemento necessario di qualsiasi accordo contrattuale.
Ne parliamo in dettaglio nell'articolo su come formare i dipendenti sull'AI.
Se nella tua azienda questi trasferimenti sono già avvenuti, la risposta corretta non è il panico. È un piano in tre passi.
Muoversi adesso ha un vantaggio concreto: il Garante Privacy non ha ancora avviato campagne di controllo sistematico sulle PMI per l'uso di AI, ma l'attività di vigilanza è crescente. Chi costruisce il sistema adesso lavora con calma. Chi aspetta lavora in emergenza.
Cosa succede se carico dati clienti su un LLM senza un DPA firmato?
Stai effettuando un trasferimento di dati personali a un responsabile del trattamento senza il contratto scritto richiesto dall'Art. 28 del GDPR. È una violazione formale, indipendentemente da cosa fa il provider con i dati. Le sanzioni GDPR arrivano fino al 4% del fatturato globale annuo, ma il rischio più immediato per una PMI è spesso la perdita di clienti enterprise o pubblici che richiedono documentazione di conformità.
Posso usare ChatGPT, Gemini, Copilot ecc. per analizzare dati dei miei clienti?
Con la versione gratuita consumer: no, non se stai caricando dati personali reali. Con la versione business enterprise configurata correttamente con DPA attivo: dipende dal tipo di dati e dalla finalità, serve una valutazione specifica. In ogni caso, la regola pratica "l'AI scrive il codice, il codice elabora i dati" ti permette di ottenere lo stesso risultato senza esporre i dati personali.
Cosa si intende per "dati personali" in questo contesto?
Qualsiasi dato che identifica o rende identificabile una persona fisica, direttamente o indirettamente. Non solo nome ed email: anche posizione geografica, comportamenti d'acquisto, note commerciali su un individuo specifico, dati di navigazione, preferenze. Se dal dato, anche combinato con altri, puoi risalire a una persona, è un dato personale ai sensi dell'Art. 4 del GDPR.
Le versioni business degli strumenti AI sono automaticamente conformi al GDPR?
Non automaticamente. Le versioni business prevedono DPA, ma la conformità dipende dalla corretta configurazione dell'account (es. esclusione dell'addestramento sui dati), dall’effettiva firma e archiviazione del DPA, dall’aggiornamento delle informative privacy aziendali, e utilizzo esclusivo della versione business da parte di tutti i dipendenti, nessuno escluso.
Il DPA con Microsoft per Office 365 copre anche l'uso di Copilot?
Dipende dalla versione del contratto e dal tipo di licenza. Il contratto base di Microsoft 365 Business include il DPA per i servizi inclusi nel piano. Copilot for Microsoft 365 richiede una licenza specifica e la verifica che il DPA in uso copra esplicitamente i servizi AI. Verifica con il tuo referente Microsoft o con il partner che gestisce le licenze.
Cosa rischio concretamente se non mi adeguo?
Sul fronte GDPR: sanzioni fino al 4% del fatturato globale annuo (Art. 83 GDPR), con procedimento avviato dal Garante Privacy. Sul fronte commerciale: perdita di gare pubbliche e contratti con clienti enterprise che richiedono documentazione di compliance AI. Sul fronte reputazionale: nel caso di un data breach che coinvolga dati processati da un LLM senza DPA, l'obbligo di notifica al Garante e agli interessati è immediato.
L'AI Act c'entra qualcosa con il problema dei dati su un LLM?
Sì, ma su un piano diverso dal GDPR. Il GDPR regola il come tratti i dati personali, ed è la norma che scatta immediatamente se carichi un CSV clienti su ChatGPT senza DPA. L'AI Act (Regolamento UE 2024/1689) regola il come usi i sistemi AI in azienda. Chi usa un LLM in contesto professionale è un deployer ai sensi dell'AI Act e ha obblighi specifici: formare il personale (Art. 4, in vigore dal 2 febbraio 2025), garantire supervisione umana nei casi ad alto rischio, aggiornare le informative con riferimento ai sistemi AI utilizzati. I due regolamenti si applicano insieme, ignorarne uno significa costruire un adeguamento che non regge.