GDPR e intelligenza artificiale in azienda: guida

In due righe

Resti tu il titolare del trattamento quando i dati passano da un'AI.
Prima di accendere lo strumento servono cinque verifiche: base giuridica, informativa, DPA, trasferimenti, decisioni automatizzate.
L'informativa deve sempre dichiarare che usi l'AI.
Se l'AI decide da sola su persone, scatta l'articolo 22 del GDPR e serve un intervento umano.

Quando i dati dei clienti passano da uno strumento di intelligenza artificiale, i tuoi obblighi non si cancellano: si sommano. Resti tu il titolare del trattamento, il fornitore dell'AI diventa di norma responsabile, e prima di accendere qualsiasi cosa servono quattro verifiche: una base giuridica valida, un'informativa che dichiari l'uso dell'AI, un contratto da responsabile del trattamento (DPA) e un controllo su dove finiscono i dati fuori dall'UE. Se poi lo strumento decide da solo su persone, scatta l'articolo 22 del GDPR. Tutto questo si fa prima di incollare il primo dato, non dopo.

Chi risponde quando l'AI sbaglia: tu, non il fornitore

Il titolare del trattamento è chi decide finalità e mezzi del trattamento dei dati personali. In una PMI che adotta uno strumento AI, sei tu. Il responsabile del trattamento è chi tratta i dati per conto del titolare, sulla base di un contratto: il fornitore dell'AI di solito lo è. Ma se non c'è un contratto ex articolo 28, il fornitore non è vincolato alle tue istruzioni.

Non pensare che la multa la paghi lui. Nel marzo 2023 il Garante per la protezione dei dati personali ha imposto a OpenAI la limitazione provvisoria di ChatGPT perché mancavano una base giuridica valida e un'informativa adeguata. Il Garante ha contestato a OpenAI proprio l'assenza di informativa e base giuridica per l'addestramento, come risulta dal provvedimento del 30 marzo 2023. Per te titolare è la prova concreta che l'adozione di uno strumento noto e diffuso non basta a metterti al riparo.

La regola pratica è: prima di incollare il primo dato, chiediti chi decide perché il trattamento avviene. Se la risposta sei tu, gli obblighi sono tuoi.

Quale base giuridica regge i dati che passano dall'AI

La base giuridica è la condizione di liceità ex articolo 6 del GDPR che rende lecito un trattamento. Le sei basi sono: consenso, esecuzione del contratto, obbligo legale, interesse vitale, interesse pubblico e legittimo interesse. Per le PMI ne contano tre.

La griglia di decisione è questa. Se lo strumento AI serve per rispondere a una richiesta del cliente, può bastare l'esecuzione del contratto (articolo 6.1.b). Se usi le conversazioni per addestrare il modello, serve quasi sempre il consenso (articolo 6.1.a): l'addestramento non è necessario per eseguire il contratto e di norma non supera il bilanciamento del legittimo interesse.

Non chiedere il consenso quando non serve, è la scorciatoia più comune e più sbagliata. Se tratti i dati per adempiere un contratto, chiedere il consenso crea un requisito in più e si porta dietro la possibilità di revoca. Usa la base giusta per il caso d'uso.

Facciamo un conto su un'azienda tipo. Uno studio di servizi B2B con 8 dipendenti e circa 1,2 milioni di euro di fatturato vuole mettere un chatbot sul sito. Se il chatbot risponde alle richieste dei clienti, la base è l'esecuzione del contratto, non serve il consenso. Se lo stesso chatbot viene usato per leggere tutte le conversazioni e migliorare un modello, per quella finalità serve il consenso, perché non è più la risposta al cliente ma l'addestramento del fornitore.

Cosa aggiungere all'informativa quando entra l'AI

L'articolo 13 del GDPR dice cosa devi indicare nell'informativa. Quando entra l'AI, devi aggiungere tre elementi: dichiarare che usi l'intelligenza artificiale, indicare la base giuridica e i destinatari, e, se c'è una decisione automatizzata, spiegare la logica e le conseguenze previste. L'articolo 13, comma 2, lettera f, parla di esistenza di un processo decisionale automatizzato, informazioni sulla logica e l'importanza e le conseguenze per l'interessato.

Il caso ChatGPT dimostra che l'assenza di informativa è già una violazione, anche senza danno concreto. Il Garante ha contestato a OpenAI la mancanza di informativa per gli utenti e per i non utenti i cui dati sono stati trattati per addestrare il modello. Non serve dimostrare un danno: basta non aver informato.

In pratica, non nascondere l'AI dentro un'informativa generica. Se usi un tool di scoring sui lead, l'informativa deve dire che i dati vengono valutati in modo automatizzato e che cosa questo comporta per il cliente, ad esempio un diverso trattamento commerciale. Se non lo scrivi, l'informativa è incompleta.

Il contratto con il fornitore: perché il DPA non è un optional

Il DPA (Data Processing Agreement) è il contratto ex articolo 28 che vincola il fornitore AI a trattare i dati solo su istruzione del titolare. Non è un modulo da archiviare: è il documento che rende il fornitore un responsabile del trattamento e lo obbliga a rispondere delle istruzioni ricevute.

Prima di firmare, controlla cinque clausole, senza delegare tutto al legale:

Istruzioni documentate: il fornitore può trattare i dati solo per le finalità che hai indicato.
Sub-responsabili autorizzati: se il fornitore usa altri servizi, deve comunicarli e chiedere la tua autorizzazione.
Misure di sicurezza ex articolo 32: il fornitore dichiara come protegge i dati.
Cancellazione dei dati a fine servizio: i dati tuoi e dei clienti devono essere restituiti o cancellati.
Obbligo di assistenza: il fornitore ti aiuta a rispondere ai diritti degli interessati e alle richieste del Garante.

Se il fornitore non firma un DPA o propone condizioni vaghe, non usare lo strumento con dati personali. Un fornitore che non vuole firmare il DPA sta dicendo che non intende rispondere delle tue istruzioni.

Vale la stessa disciplina per un un agente AI su misura: il contratto deve prevedere istruzioni, sub-responsabili e cancellazione. La scelta del fornitore non cambia gli obblighi del titolare.

Dove finiscono i dati: i trasferimenti fuori dall'UE

Il trasferimento extra UE è la comunicazione di dati personali verso un paese terzo, ammessa solo con i presupposti degli articoli 44-49 del GDPR. Per trasferire dati fuori dallo Spazio Economico Europeo serve una decisione di adeguatezza (articolo 45), garanzie adeguate come le clausole contrattuali tipo (articolo 46), oppure una delle deroghe specifiche (articolo 49).

Dal 10 luglio 2023 esiste l'EU-US Data Privacy Framework: le aziende statunitensi certificate possono ricevere dati senza ulteriori garanzie. La sede negli Stati Uniti non è di per sé un problema, lo è l'assenza di uno strumento di trasferimento valido, come chiarisce la pagina del Garante sui trasferimenti all'estero.

La verifica concreta è una sola: apri l'informativa del fornitore e cerca dove conserva ed elabora i dati. Se dice che i dati restano nell'Unione europea, sei a posto. Se li trasferisce negli Stati Uniti, controlla se è certificata EU-US Data Privacy Framework. Se non lo è, chiedi le clausole contrattuali tipo firmate prima di procedere.

Nell'esempio dello studio B2B: se il tool di scoring dei lead è fornito da un'azienda statunitense che conserva i dati oltreoceano, devi verificare la certificazione DPF o pretendere le clausole contrattuali tipo. Non è una formalità: un trasferimento non valido rende illecito il trattamento e può bloccare l'uso dello strumento.

Lo strumento

Delera Agent AI costruisce agenti su misura sui processi che oggi ti portano via ore ogni settimana.

Scopri Delera Agent AI

Decisioni automatizzate: quando l'AI non può decidere da sola

La profilazione è qualsiasi trattamento automatizzato che valuta aspetti personali di una persona per analizzarli o prevederne i comportamenti. L'articolo 22 del GDPR dice che una persona ha il diritto di non essere sottoposta a una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, se produce effetti giuridici o significativi sulla sua persona.

Nelle PMI il caso tipico è il tool che assegna un punteggio ai lead. Se il sistema scarta un lead da solo, senza che nessuna persona riveda la decisione, scatta l'articolo 22. Servono una base giuridica valida e l'intervento umano: qualcuno che controlli la valutazione prima che produca conseguenze. Se il trattamento presenta un rischio elevato, serve anche la DPIA, la valutazione d'impatto sulla protezione dei dati ex articolo 35.

Il Garante ha sanzionato Deliveroo con 2,5 milioni per algoritmi poco trasparenti su circa 8000 rider. La sanzione non è arrivata per l'uso dell'algoritmo in sé, ma per l'assenza di trasparenza e per la mancanza di un intervento umano significativo sulle decisioni automatizzate. Questo è il riferimento concreto quando valuti un sistema di scoring.

L'AI Act (Regolamento UE 2024/1689) classifica i sistemi in base al rischio e integra il GDPR, ma non lo sostituisce: i dati personali restano disciplinati dal GDPR.

Non lasciare che l'AI decida da sola su clienti o candidati. Anche se il fornitore promette che il modello è accurato, la decisione resta tua. L'articolo 22 non vieta l'automazione, vieta l'automazione senza controllo umano e senza una delle eccezioni previste.

La checklist: le 5 verifiche prima di accendere uno strumento AI

La tabella qui sotto mette in fila i cinque controlli, in ordine. Puoi seguirla per qualunque strumento AI tocchi i dati dei clienti.

Verifica	Domanda da farti	Riferimento	Cosa succede se manca
Base giuridica	Su quale base dell'art. 6 poggia questo trattamento?	Art. 6 GDPR	Trattamento illecito: è la violazione contestata a ChatGPT
Informativa	L'informativa dichiara che uso l'AI e come?	Art. 13, comma 2, lett. f	Mancanza di trasparenza, reclami e sanzioni
Contratto DPA	Ho firmato un accordo ex art. 28 con il fornitore?	Art. 28 GDPR	Il fornitore non è vincolato alle tue istruzioni
Trasferimenti	Dove sono conservati i dati? Fuori dall'UE?	Artt. 44-49 GDPR	Trasferimento non valido, blocco del trattamento
Decisioni automatizzate	Lo strumento decide da solo su persone?	Art. 22 GDPR	Decisione illecita, obbligo di intervento umano

Applichiamola all'azienda tipo, per vederla in azione. Lo studio B2B con 8 dipendenti e 1,2 milioni di fatturato vuole adottare un chatbot sul sito e un tool di scoring dei lead. I numeri sono ipotesi dichiarate, non rilevazioni.

Prima verifica, base giuridica. Per il chatbot che risponde ai clienti, la base è l'esecuzione del contratto: non serve chiedere il consenso. Per l'addestramento del modello con le conversazioni, serve il consenso, e di solito conviene disattivare l'addestramento. Per il tool di scoring, la base può essere il legittimo interesse, ma va documentato il bilanciamento con i diritti dei clienti.

Seconda verifica, informativa. L'informativa privacy va aggiornata con l'uso del chatbot e del tool di scoring, dichiarando che i dati possono essere valutati in modo automatizzato e che una persona rivede le decisioni sui lead.

Terza verifica, DPA. Entrambi i fornitori devono firmare un accordo ex articolo 28 con istruzioni documentate e cancellazione dei dati a fine contratto. Chi non firma va escluso.

Quarta verifica, trasferimenti. Se il fornitore del chatbot è europeo e conserva i dati nell'UE, ok. Se il tool di scoring è statunitense, serve la certificazione EU-US Data Privacy Framework o le clausole contrattuali tipo.

Quinta verifica, decisioni automatizzate. Se il tool di scoring scarta un lead da solo, produce un effetto significativo. Serve l'intervento umano: un commerciale rivede la valutazione prima che il lead venga chiuso. Se la revisione non c'è, lo strumento non si usa.

Domani mattina puoi fare solo il primo passo: prendi lo strumento AI che stai già usando o che vuoi usare, apri la sua informativa privacy, e verifica due cose. Se dichiara che usa i dati dei clienti per addestrare i modelli, e se dice dove conserva i dati. Con queste due risposte sai già se hai un problema da risolvere prima di andare avanti.

Questo articolo dà un metodo, non una consulenza legale. Per il tuo caso specifico, con i tuoi strumenti e le tue informative, confrontati con un legale o con un DPO prima di firmare.

Domande frequenti

Posso incollare i dati dei clienti in ChatGPT gratis?

No, se i dati identificano persone. Nella versione gratuita i contenuti possono essere usati per addestrare il modello e non hai un contratto da responsabile del trattamento. Il Garante ha contestato a OpenAI proprio l’assenza di base giuridica e informativa. Prima di usare qualunque strumento con dati personali, verifica base giuridica, informativa e accordo DPA.

Se lo strumento AI è del fornitore, la multa la paga lui?

No. Tu resti titolare del trattamento e rispondi di come i dati vengono usati nel tuo processo. Il fornitore è di norma responsabile e ha obblighi suoi, ma la scelta dello strumento, la base giuridica e l’informativa restano tue. Se il fornitore usa i dati per fini propri diventa titolare, come nel caso ChatGPT.

Serve sempre il consenso dei clienti per usare l’intelligenza artificiale?

No. Il consenso è una delle sei basi giuridiche, non l’unica. Per rispondere a una richiesta del cliente può bastare l’esecuzione del contratto; per il controllo qualità può valere il legittimo interesse, dopo il bilanciamento. Quello che non è mai facoltativo è l’informativa, che deve dichiarare l’uso dell’AI.

Cos’è la profilazione e quando scatta l’articolo 22?

La profilazione è un trattamento automatizzato che valuta aspetti personali, come il rendimento o le preferenze, per prevedere comportamenti. L’articolo 22 vieta decisioni basate unicamente su trattamenti automatizzati con effetti giuridici o significativi sulla persona, salvo eccezioni. Se usi l’AI per decidere su clienti o candidati, serve l’intervento di un umano.

Devo fare la DPIA se adotto uno strumento AI?

Dipende dal rischio. La valutazione d’impatto (DPIA, articolo 35) è obbligatoria quando il trattamento può presentare un rischio elevato per i diritti delle persone: tipico con profilazione su larga scala, dati sensibili o sorveglianza. Un chatbot semplice di solito non la richiede; un sistema di scoring sui clienti quasi sempre sì.

Un fornitore AI americano è automaticamente fuori regola?

No, ma va verificato dove i dati vengono conservati e trattati. Se l’azienda è certificata EU-US Data Privacy Framework il trasferimento è agevolato; altrimenti servono garanzie come le clausole contrattuali tipo. La sede negli Stati Uniti non è di per sé un problema: lo è l’assenza di uno strumento di trasferimento valido.

Fonti