AI e GDPR
AI e dati personali: scegliere l'architettura giusta, senza scorciatoie sulla conformità.
Ogni volta che qualcuno incolla un contratto, un CV o i dati di un cliente in un assistente AI, quei dati vengono trattati da qualcuno. Portare l'AI in casa può ridurre alcuni rischi, ad esempio i trasferimenti verso fornitori esterni, ma non rende conformi da sola. Ti aiuto a impostare la scelta tecnologica insieme al tuo DPO o consulente privacy.
Imposta la scelta con meQuello che ci si chiede davvero
- Possiamo usare l'AI su dati di clienti o dipendenti?
- Cosa cambia per il GDPR tra un servizio cloud e un modello in locale?
- Che garanzie offrono davvero i contratti dei fornitori AI?
- Le persone usano già ChatGPT con account personali: cosa rischiamo?
- Serve una valutazione d'impatto prima di partire?
- Chi deve essere coinvolto nella decisione?
Dove vanno i dati quando si usa l'AI
Con un servizio esterno il testo che scrivi esce dall'azienda, viene elaborato dal fornitore e può essere conservato secondo il suo contratto. In locale l'elaborazione avviene su server che controlli tu.
Cloud, ambiente dedicato o on-premise: cosa cambia per il GDPR
Tre architetture possibili, nessuna giusta per tutti. Cambia chi tratta i dati, dove e con quale controllo.
| Servizio AI in cloud | Ambiente dedicato | On-premise | |
|---|---|---|---|
| Chi elabora i dati | Servizio AI in cloud:Il fornitore, come responsabile del trattamento (art. 28 GDPR) | Ambiente dedicato:Un fornitore di infrastruttura, su risorse riservate all'azienda | On-premise:L'azienda, sui propri server |
| Dove si trovano | Servizio AI in cloud:Nei data center del fornitore e dei suoi sub-responsabili | Ambiente dedicato:In una region scelta in fase di contratto | On-premise:In sede, o in un data center sotto il tuo controllo |
| Trasferimenti fuori dall'UE | Servizio AI in cloud:Possibili: vanno verificati e coperti da garanzie (artt. 44–49) | Ambiente dedicato:Dipende dal fornitore e dalla sua sede | On-premise:Nessuno, se l'infrastruttura resta in UE |
| Conservazione e addestramento | Servizio AI in cloud:Regolati dal contratto e dal piano scelto: vanno letti, non presunti | Ambiente dedicato:Definiti nel contratto di servizio | On-premise:Decisi dall'azienda |
| Registri d'uso e accessi | Servizio AI in cloud:Quelli che il fornitore mette a disposizione | Ambiente dedicato:Configurabili, in parte | On-premise:Completi e sotto il tuo controllo |
| Chi ne risponde | Servizio AI in cloud:L'azienda, come titolare | Ambiente dedicato:L'azienda, come titolare | On-premise:L'azienda, come titolare |
In tutti e tre i casi l'azienda resta titolare del trattamento: l'architettura sposta i rischi, non le responsabilità.
Cosa resta da fare in ogni caso
Questi punti valgono che l'AI giri in cloud o sui tuoi server. L'on-premise ne semplifica alcuni, non li elimina.
Base giuridica e informativa
Ogni uso di dati personali con l'AI deve avere una base giuridica e va spiegato nelle informative a clienti e dipendenti.
Minimizzazione
Nell'AI entrano solo i dati che servono davvero a quel compito. Spesso basta togliere nomi e riferimenti prima di chiedere.
Valutazione d'impatto (DPIA)
Obbligatoria quando il trattamento può presentare un rischio elevato per le persone (art. 35 GDPR): ad esempio dati sanitari, valutazione dei dipendenti, profilazione.
Contratti con i fornitori
Chi tratta dati per conto tuo, compreso un fornitore AI, deve avere un accordo sul trattamento dei dati (art. 28), con l'elenco dei sub-responsabili.
Sicurezza e registri
Accessi per ruolo, registri di chi usa cosa, cancellazione dei dati quando non servono più: misure adeguate al rischio (art. 32).
Formazione delle persone
L'AI Act chiede a chi usa sistemi di AI di garantire un livello sufficiente di alfabetizzazione del personale (art. 4). Regole chiare evitano anche l'uso di account personali.
Come impostiamo la scelta
Quattro passaggi, con il DPO o il consulente privacy coinvolto dall'inizio.
Passo 1
Mappa dei dati
Quali dati passerebbero dall'AI, in quali attività, di quali persone: clienti, dipendenti, fornitori.
Passo 2
Livelli di riservatezza
Cosa può andare su un servizio esterno con garanzie contrattuali, cosa deve restare in un ambiente dedicato, cosa solo in sede.
Passo 3
Architettura
Cloud, ambiente dedicato, on-premise o una combinazione: confronto di costi, rischi e garanzie, scritto in modo che lo capisca anche chi non è tecnico.
Passo 4
Regole e controllo
Policy d'uso, accessi, registri e formazione: la parte che rende l'AI usabile in modo conforme, ogni giorno.
Cosa valutiamo insieme
- 1Quali categorie di dati passerebbero dall'AI
- 2Architetture possibili: cloud con garanzie contrattuali, ambiente dedicato, on-premise
- 3Requisiti da condividere con DPO e consulente legale
- 4Misure organizzative: accessi, log, formazione
Cosa è giusto sapere prima
- Non offro consulenza legale: la valutazione giuridica resta al DPO o a un legale.
- Nessuna architettura garantisce da sola la conformità al GDPR.
- L'on-premise ha costi e responsabilità di gestione: non sempre è la scelta giusta.
Articoli
Articoli: Privacy, GDPR e sovranità dei dati
AI per studi legali: come utilizzare l'intelligenza artificiale mantenendo riservati i documenti
Segreto professionale, GDPR, legge italiana sull'AI e linee guida CCBE: cosa considerare prima di usare l'intelligenza artificiale sui documenti di uno studio legale, e come scegliere tra servizio cloud e ambiente dedicato.
Privacy, GDPR e sovranità dei dati10 min
È sicuro utilizzare ChatGPT con i dati riservati della propria azienda?
Usare ChatGPT con dati riservati dipende dal piano, dal contratto e dalle regole interne. Una risposta onesta per chi guida un'azienda: account personali, piani business, GDPR e casi in cui conviene un'AI sui propri server.
Privacy, GDPR e sovranità dei dati8 min
Intelligenza artificiale e GDPR: quando scegliere un modello AI on-premise?
Il GDPR non vieta l'AI in cloud e non premia automaticamente quella in casa. Una guida agli obblighi reali (ruoli, DPIA, sicurezza, trasferimenti, AI Act) e ai criteri per capire quando l'on-premise riduce davvero il rischio.
Privacy, GDPR e sovranità dei dati10 min
Domande frequenti
L'AI on-premise è obbligatoria per i dati sensibili?
Non esiste un obbligo generale in tal senso: dipende dal trattamento, dalle garanzie del fornitore e dalla valutazione dei rischi. Va deciso con il DPO.
Serve una valutazione d'impatto (DPIA)?
È obbligatoria quando il trattamento può presentare un rischio elevato per i diritti delle persone (art. 35 GDPR). La decisione spetta al titolare, con il supporto del DPO.
Se il fornitore ha server in Europa, i dati sono al sicuro?
La sede dei server è solo una parte della risposta. Conta anche la sede del fornitore e dei suoi sub-responsabili, perché alcune leggi extra UE possono imporre l'accesso ai dati anche quando sono conservati in Europa. Va valutato caso per caso.
I piani business dei chatbot usano i nostri dati per addestrare i modelli?
Dipende dal fornitore e dal piano: molti piani aziendali escludono l'addestramento per contratto, i piani personali spesso no. Va letto nel contratto e verificato prima, non presunto.
Possiamo vietare l'uso di ChatGPT ai dipendenti?
Si può, ma senza un'alternativa le persone tendono a usarlo comunque con account personali, fuori da ogni controllo. Di solito funziona meglio offrire uno strumento approvato e regole chiare su cosa si può inserire.
L'AI Act cambia qualcosa per un'azienda che usa l'AI?
Sì, anche per chi la usa e non la sviluppa: ad esempio l'obbligo di formazione del personale (art. 4) e obblighi aggiuntivi per i sistemi considerati ad alto rischio. Si aggiunge al GDPR, non lo sostituisce.
Valutazione
Imposta la scelta con me
Poche domande per capire il tuo punto di partenza. Servono a preparare la prima conversazione, non a riempire una lista di vendita.