Plus pagato dal dipendente o workspace Business: che differenza fa?
ChatGPT Free, Go, Plus e Pro sono servizi per persone fisiche: chi li attiva accetta le Condizioni d’uso per l’Europa, con OpenAI Ireland Ltd come controparte per chi risiede nello Spazio economico europeo. ChatGPT Business, Enterprise ed Edu sono workspace intestati a un’organizzazione e regolati dal Contratto per i servizi di OpenAI, stipulato con la stessa società irlandese e sottoposto alla legge irlandese per i clienti europei. L’API è un canale a parte, per chi integra i modelli in un software, con fatturazione separata da Business.
Nelle piccole imprese il caso più frequente è il dipendente che paga di tasca propria un abbonamento Plus e lo usa anche per lavoro. Le condizioni consumer lo prevedono in un addendum sull’uso aziendale: la responsabilità di OpenAI è limitata, l’utente si impegna a tenerla indenne da pretese di terzi e il rapporto passa alla legge della California, con foro esclusivo a San Francisco. L’account resta personale anche se è a pagamento. Manca un accordo sul trattamento dei dati, e nessuno in azienda può amministrarlo o recuperarne il contenuto quando la persona se ne va.
ChatGPT Business, che fino al 29 agosto 2025 si chiamava ChatGPT Team, si attiva in autonomia. Richiede almeno due posti, Standard o Premium, che differiscono per i limiti d’uso; dal 24 agosto 2026 i nuovi workspace arrivano a un massimo di 200 posti. Enterprise si contratta con il commerciale di OpenAI e aggiunge controlli che in Business mancano. Per un’azienda sotto le cinquanta persone la scelta concreta è quasi sempre tra Business e nessun piano aziendale.
Cosa fa OpenAI con le chat degli account personali?
Nei piani Free, Go, Plus e Pro i contenuti inseriti possono essere usati per addestrare i modelli, sulla base del legittimo interesse indicato nell’informativa privacy per l’Europa del 24 agosto 2026. Per opporsi si apre Settings, poi Data controls, e si spegne «Improve the model for everyone»; la scelta vale per l’account su web e app. Secondo l’help center, se dopo l’opt-out si valuta una risposta con il pollice in su o in giù, l’intera conversazione collegata a quel feedback può finire nell’addestramento.
Chat e memorie cancellate spariscono dai sistemi entro 30 giorni, salvo obblighi di legge, esigenze di sicurezza o contenuti già de-identificati per l’addestramento. Le chat temporanee non entrano nella cronologia né nella memoria, non servono all’addestramento e vengono eliminate entro 30 giorni. Un obbligo di legge può allungare questi tempi: da giugno a settembre 2025, per un ordine di un tribunale statunitense nella causa intentata dal New York Times, OpenAI ha conservato anche le chat cancellate degli account consumer, di Team e dell’API, con l’esclusione di Enterprise ed Edu.
Le condizioni d’uso prevedono inoltre sistemi automatici e revisione umana per individuare i contenuti che violano i termini. Negli account Free e Go compaiono annunci pubblicitari, che con il consenso dell’utente sono personalizzati anche in base alle chat passate.
Gli obblighi del GDPR sui dati dei clienti inseriti in un assistente sono spiegati nella guida dedicata a ChatGPT e ai dati dei clienti. Per il regolamento conta che tutte queste impostazioni appartengono alla singola persona, e l’azienda non ha modo di verificarle.
Contratto, server e Garante: cosa sapere prima di firmare
Per Business, Enterprise, Edu e API, OpenAI dichiara che i dati non sono usati per l’addestramento per impostazione predefinita, salvo che il cliente scelga di condividerli. Per Business, Enterprise e API è disponibile l’addendum sul trattamento dei dati (DPA), che si richiede con un modulo e per i clienti dello SEE è stipulato con OpenAI Ireland Ltd. La versione in vigore dal 1° gennaio 2026 qualifica OpenAI come responsabile del trattamento, copre i trasferimenti fuori dallo SEE con le clausole contrattuali tipo o con una decisione di adeguatezza e rinvia a un elenco pubblico di sub-responsabili. È il contratto richiesto dall’art. 28 del GDPR, e va archiviato insieme al regolamento.
La residenza dei dati in Europa è riservata ai nuovi workspace Enterprise ed Edu e ai clienti API idonei, e riguarda i contenuti a riposo: conversazioni, file, GPT personalizzati, memoria. Business non compare tra i piani ammessi. Anche dove è attiva, ne restano fuori i dati inviati ad app esterne, la ricerca web, i metadati e i login.
Il 30 marzo 2023 il Garante ha limitato in via d’urgenza il trattamento dei dati degli utenti italiani da parte di OpenAI; il servizio è tornato disponibile il 28 aprile 2023, dopo le misure richieste. Con il provvedimento n. 755 del 2 novembre 2024 ha applicato una sanzione di 15 milioni di euro e trasmesso gli atti all’autorità irlandese, oggi capofila. Il Tribunale di Roma, con la sentenza n. 4153/2026 pubblicata il 18 marzo 2026, ha accolto l’opposizione di OpenAI, e il Garante ha rimosso temporaneamente il provvedimento dal sito. Al 22 ottobre 2026 non abbiamo trovato atti ufficiali successivi.
Per gli altri obblighi valgono i riferimenti dell’articolo sul regolamento generale: il GDPR, l’art. 4 dell’AI Act sull’alfabetizzazione AI del personale e l’art. 11 della legge 132/2025 quando l’AI interviene nel rapporto di lavoro.
Le impostazioni predefinite di ChatGPT Business da rivedere
ChatGPT Business è pensato per partire in pochi minuti, e diverse impostazioni predefinite favoriscono la collaborazione.
Le app collegate, cioè i connettori verso Gmail, Google Drive, Outlook, SharePoint, Slack e altri servizi, in Business sono attive per impostazione predefinita; in Enterprise le nuove app partono spente. Sono attive di default anche le azioni su documenti e fogli tramite l’app Google Drive, comprese quelle che modificano i file. Ogni persona vede solo ciò che può già aprire nel servizio collegato, e così una cartella condivisa con permessi troppo larghi diventa materiale che l’assistente legge e riassume.
I link alle chat funzionano solo per i membri dello stesso workspace, e in Business non c’è un comando per disattivarli per tutti, che esiste solo in Enterprise. I membri possono inoltre invitare altri colleghi finché ci sono posti liberi, e l’help center precisa che oggi non si può impedirlo.
Sulla visibilità delle conversazioni le pagine ufficiali non coincidono. Quella sulla privacy aziendale dice che gli amministratori di Business possono visualizzare, esportare ed eliminare le conversazioni dei membri; l’help center precisa che per impostazione predefinita non vedono le chat private e che il proprietario può esportare i dati di un membro quando l’opzione Export data è disponibile. In entrambe le letture l’accesso è possibile, e il regolamento deve dire ai lavoratori se e quando verrà usato.
Business supporta il single sign-on con SAML o OIDC, senza provisioning automatico SCIM: chi lascia l’azienda va rimosso a mano. I registri esportabili della Compliance Platform sono riservati a Enterprise ed Edu.
GPT, agenti, memoria e Codex: chi decide cosa si accende
Nei workspace i membri possono creare GPT personalizzati e, dove abilitati, agenti di workspace: assistenti con istruzioni proprie, collegati ad app, condivisibili, eseguibili su pianificazione o da Slack. Secondo l’help center, se un agente pubblicato usa le connessioni personali di chi l’ha creato, chiunque lo usi può arrivare ai dati di quell’account. Le azioni di scrittura, come inviare o cancellare, chiedono conferma per impostazione predefinita, ed è bene che resti così.
La memoria fa ricordare a ChatGPT preferenze e dettagli tra una conversazione e l’altra, e può riportare in una chat successiva il nome di un cliente citato una volta. Nei workspace la gestiscono owner e admin; negli account personali decide l’utente.
I posti di Business includono Codex, l’agente di OpenAI per la programmazione: codice sorgente e repository possono entrare nel workspace per un canale diverso dalla chat, e serve una regola su chi li collega.
OpenAI ha ritirato il browser ChatGPT Atlas, che non riceve più aggiornamenti. Se una versione precedente del regolamento lo ammetteva, va tolto dall’elenco.
Le clausole del regolamento che cambiano con ChatGPT
Nell’elenco degli strumenti ammessi ChatGPT occupa due righe. La prima è il workspace aziendale, identificato con nome e piano, ammesso fino ai dati che il regolamento base consente solo con strumenti approvati, come dati di clienti, offerte e contratti, dopo che il DPA è stato concluso. La seconda sono gli account personali di qualsiasi piano, Plus e Pro compresi, ammessi al massimo per le informazioni libere oppure esclusi dal lavoro.
Un account personale aperto con l’email aziendale resta personale finché non entra nel workspace. Le condizioni d’uso prevedono che possa esservi trasferito, e da quel momento l’amministratore ne controlla i contenuti. Conviene scrivere che gli account consumer non si registrano con l’indirizzo aziendale e che chi ne ha già uno lo segnala al responsabile.
Per gli usi personali eventualmente ammessi servono due istruzioni: spegnere «Improve the model for everyone» prima del primo uso e non usare i pulsanti di feedback sulle conversazioni di lavoro. La chat temporanea resta comunque sui server fino a 30 giorni e non esonera dalle altre regole.
Nel workspace le clausole riguardano chi configura. App, agenti, GPT condivisi con tutti e collegamenti a repository si attivano solo con l’approvazione del responsabile, che tiene l’elenco di ciò che è acceso. Gli inviti passano dal responsabile, anche se il sistema li consente ai membri. Le chat con dati di clienti, fornitori o dipendenti non si condividono tramite link. La possibilità di esportare o consultare le conversazioni dei membri va descritta ai lavoratori: se quei dati possono essere usati nel rapporto di lavoro, lo richiede l’art. 4 dello Statuto dei lavoratori.
Cosa controllare nel workspace prima di invitare i colleghi
Le voci seguenti sono indicate con i nomi dell’interfaccia in inglese e le controlla il proprietario del workspace prima del primo invito.
In Workspace settings, sezione Identity & access, si verifica il dominio aziendale e si configura il single sign-on. Nella stessa area «Allow External Domain Invites» decide se si possono invitare persone con email di altri domini, e «Enable automatic account creation» se chi accede con un indirizzo del dominio entra da solo nel workspace.
In Admin Console, alla voce Plugins, si spengono le app non approvate. Per quelle che restano si controllano le azioni consentite, l’autorizzazione (Always ask, Allow read actions o Allow low-risk actions) e, dove disponibile, Manage domains, che limita i domini degli account collegabili. In Workspace settings, sezione General, Plugin permissions fissa la regola predefinita.
Nella pagina Members si verificano i ruoli, owner, admin, analytics viewer e member, e si annota chi può usare Export data. Ogni membro, da Settings, Data controls, Shared links, vede ed elimina i link che ha creato.
Quando ChatGPT non è la scelta adatta
Se un contratto con un cliente o un capitolato pubblico chiede che i dati restino nell’Unione europea, Business non offre la residenza dei dati: restano Enterprise, con i suoi requisiti commerciali, o un altro fornitore che la garantisca nel piano adatto alle dimensioni dell’azienda. Se serve ricostruire chi ha scritto cosa dopo un incidente, in Business mancano i registri della Compliance Platform.
Alcuni dati restano fuori da qualunque piano senza una valutazione specifica: le categorie particolari dell’art. 9 del GDPR, i dati sanitari dei dipendenti, le informazioni coperte da accordi di riservatezza. Lo stesso vale per la selezione o la valutazione del personale, per cui la legge 132/2025 e l’AI Act prevedono regole proprie.
Quando il bisogno è ripetitivo e legato al gestionale, come classificare ordini o compilare schede tecniche, conviene valutare un’integrazione via API, con conservazione e regione configurate nel progetto. Le domande da porre a chi la propone sono nell’articolo sulle domande da fare a un fornitore di AI.