Posso usare ChatGPT, Claude & Co. con i dati dei clienti?
ChatGPT, Claude, Gemini e Copilot sono servizi cloud statunitensi. Nel momento in cui dati personali entrano in un prompt, inizia un trasferimento verso un paese terzo (USA) – con tutti gli obblighi GDPR che le aziende spesso sottovalutano. Chi lavora senza accordo di trattamento dati o usa la versione gratuita viola il GDPR già al primo prompt.
Con account standard e senza misure aggiuntive, l'utilizzo non è conforme al GDPR.
- Nessun accordo di trattamento su Free/Plus/Pro
- Trasferimento dei dati verso gli USA
- Il segreto professionale può essere violato penalmente
ChatGPT, Claude & Co. – ecco gli strumenti
I quattro principali assistenti IA sono servizi cloud di fornitori statunitensi. Ogni testo inserito lascia così la tua azienda e l'Europa.
Leader di mercato di OpenAI. Gli input sono elaborati negli USA. Gli account Free e Plus non hanno accordo di trattamento e possono usare gli input per addestrare il modello.
Modello linguistico di Anthropic. Ospitato su AWS US. Gli account standard non sono progettati per il trattamento di dati personali in aziende europee.
Modello linguistico di Google. Gli input confluiscono nell'ecosistema Google. L'intreccio con altri servizi USA amplifica la problematica del trasferimento.
L'assistente IA di Microsoft (basato sui modelli OpenAI). Anche con tenant M365 nell'UE, il fornitore resta soggetto al CLOUD Act statunitense.
Sei domande GDPR a cui i cloud LLM raramente rispondono in modo pulito
Chi inserisce dati dei clienti in ChatGPT, Claude o Gemini in genere inciampa su più di uno di questi punti contemporaneamente.
Nessun accordo di trattamento dati
Gli account Free, Plus e Pro non prevedono un accordo di trattamento. Senza tale accordo, trasferire dati personali al fornitore è già illecito.
Trasferimento verso un paese terzo (USA)
I dati finiscono su server statunitensi. Il EU-US Data Privacy Framework del 2023 è un ponte politico la cui certezza giuridica è di nuovo contestata da autorità garanti e tribunali. Il CLOUD Act resta intatto.
Nessuna base giuridica solida
Un vero consenso dei tuoi clienti per il trattamento da parte di OpenAI o Anthropic praticamente non viene mai raccolto. L'interesse legittimo raramente prevale sui rischi di un trasferimento verso paesi terzi.
Obblighi informativi non rispettati
I clienti devono essere informati in modo trasparente che i loro dati sono condivisi con LLM statunitensi – inclusi destinatari, trasferimento e base giuridica. In pratica, nessuna informativa privacy lo riporta.
Segreto professionale violato
Medici, avvocati, commercialisti, farmacisti, assicurazioni, banche: chi inserisce dati di clienti o pazienti in cloud LLM può commettere un reato ai sensi del § 203 StGB – punibile con multa o reclusione.
Segreti aziendali esposti
Quando bozze contrattuali, prezzi, codice sorgente o strategie finiscono in cloud LLM, generalmente non sono più considerati sufficientemente protetti ai sensi della legge sui segreti aziendali.
Quali dati dei clienti sono particolarmente critici
È personale tutto ciò che rende identificabile una persona – nomi, indirizzi e-mail, numeri cliente, numeri di telefono, indirizzi IP. Anche solo uno di questi campi nel prompt fa scattare gli obblighi GDPR.
I dati particolarmente sensibili ai sensi dell'art. 9 GDPR – salute, religione, origine etnica, orientamento sessuale – non dovrebbero praticamente mai entrare nei cloud LLM. Il rischio è qui al massimo.
Mai inserire nei cloud LLM
- Nomi, indirizzi, date di nascita di clienti
- Dati sanitari o di trattamento (Art. 9)
- Candidature, curricula
- Dati contrattuali, di prezzo e condizioni
- Codice sorgente con logica interna o credenziali
- Scambi e-mail 1:1 con i clienti
- Dati di clienti, pazienti o assistiti
Cosa può succedere se va male?
Multa GDPR
Oppure il 4 % del fatturato globale del gruppo. Si applica l'importo più alto (art. 83 GDPR).
Risarcimento danni
Ogni persona interessata può richiedere un risarcimento del danno immateriale – anche senza prova concreta del danno.
Responsabilità penale
Per i professionisti tenuti al segreto, alle sanzioni aziendali si aggiungono multe o reclusione personale.
Reputazione
Le multe pubblicate e gli incidenti privacy restano visibili nei motori di ricerca e nella stampa di settore per anni.
Come usare l'IA in azienda in modo sicuro?
Tre strade – ordinate per livello di protezione. La più solida è quella in cui i tuoi dati non lasciano mai la tua sede.
IA on-premise – i dati restano in azienda
Un'IA che gira sul tuo hardware. Nessun trasferimento verso paesi terzi, nessun accordo di trattamento necessario, pieno accesso alle fonti interne senza rischio di compliance.
- Nessun dato lascia la tua rete
- GDPR fuori ambito (nessun responsabile esterno)
- Adatto anche a professioni del § 203
Fornitore IA UE con accordo di trattamento
Fornitori europei specializzati con hosting nell'UE, accordo di trattamento e politica di addestramento trasparente. Rischio ridotto, ma controllo periodico necessario.
- Verificare accordo di trattamento e hosting UE
- Esclusione dell'addestramento sui tuoi input
- Verificare la capogruppo e l'esposizione al CLOUD Act
Anonimizzazione coerente
Se i cloud LLM sono inevitabili: rimuovi i riferimenti personali prima del prompt. Sostituisci i nomi con segnaposto, ometti gli indirizzi, niente testo grezzo dai contratti.
- Policy d'uso chiara in azienda
- Formare i collaboratori
- Rischio residuo – re-identificazione possibile
FAQ – le domande di dettaglio più comuni
ChatGPT Enterprise offre un accordo di trattamento, rinuncia all'addestramento sui tuoi input e trattamento dei dati nell'UE come opzione. È molto meglio della variante Plus. Il problema di fondo resta: OpenAI è una società USA, e il CLOUD Act consente alle autorità americane di accedere ai dati. Una DPIA GDPR è obbligatoria, e per dati sensibili o professioni del § 203 Enterprise spesso non basta.
Fonti & approfondimenti
Questa pagina si basa sulle seguenti fonti pubbliche e ufficiali:
- DSK – Orientierungshilfe zu Künstlicher Intelligenz und Datenschutz (Mai 2024, PDF)
- DSK – Technische & organisatorische Maßnahmen für KI-Systeme (Juni 2025, PDF)
- EuGH – Urteil C-311/18 „Schrems II" (16. Juli 2020)
- EU-Kommission – EU-US Data Privacy Framework (Angemessenheitsbeschluss Juli 2023)
- EDPB – Empfehlungen zu ergänzenden Maßnahmen bei Drittlandstransfers
- BfDI – Informationen zu Künstlicher Intelligenz und Datenschutz
- EUR-Lex – Verordnung (EU) 2016/679 (DSGVO) im Volltext
Sovrano invece che rischioso
KOSMO gira sul tuo hardware o in data center sovrani europei. Niente cloud USA, niente trasferimenti verso paesi terzi, pieno controllo.
Questa pagina offre una panoramica generale e non sostituisce una consulenza legale. Nei casi concreti – in particolare per dati sensibili o segreto professionale – rivolgiti al tuo responsabile della protezione dei dati o a uno studio specializzato.
