Grok al lavoro: cosa scrivere nel regolamento aziendale.

Quale Grok entra in azienda: X, app, Business o API?

Chi in ufficio dice di usare Grok può intendere prodotti con regole diverse, e il regolamento deve chiamarli per nome.

Grok dentro X si apre dall’account del social network. I termini di xAI escludono questo uso dal proprio perimetro: si applicano i termini e la privacy policy di X, e per lo Spazio economico europeo il titolare dei dati di X è X Internet Unlimited Company, con sede in Irlanda.

La versione consumer è quella di grok.com e delle app per iOS e Android, gratuita oppure con l’abbonamento SuperGrok. I termini consumer aggiornati al 12 ottobre 2026 indicano come controparte SpaceXAI LLC, società del Nevada con sede principale ad Austin, in Texas. Da ottobre 2026 le pagine legali di x.ai usano la ragione sociale SpaceXAI LLC e il marchio SpaceXSI (pagine consultate il 22 ottobre 2026); in questo articolo continuiamo a scrivere xAI, il nome con cui il fornitore è più conosciuto. Conviene archiviare la versione dei termini accettata, con la data e il nome della controparte indicato in quel momento.

Il piano Business dichiara l’esclusione dall’addestramento, una conservazione dei dati personalizzabile, l’accesso con SSO e i registri di audit. Il piano Enterprise, su richiesta, aggiunge chiavi di cifratura gestite dal cliente e un ambiente di elaborazione dedicato («Dedicated Data Plane»). L’API, a consumo, serve a collegare Grok a programmi propri.

Un dettaglio interessa chi amministra gli account: secondo i termini consumer, chi si registra con l’email aziendale può vedere il proprio account collegato all’abbonamento Enterprise dell’organizzazione e gestito dal suo amministratore.

Cosa succede a prompt e risposte nelle diverse versioni?

Nella versione consumer prompt e risposte possono essere usati per addestrare i modelli. L’opzione si chiama «Improve the model» e si disattiva nelle impostazioni, alla voce Data Controls nell’app e alla voce Data sul web. Il feedback dato con il pollice in su o in giù può essere usato comunque. Le conversazioni avviate in modalità Private Chat non vengono usate per l’addestramento. Per gli utenti europei xAI fonda l’addestramento sul legittimo interesse e riconosce il diritto di opporsi tramite le impostazioni.

Su X il discorso coinvolge anche quello che l’azienda pubblica. X può condividere con xAI i post pubblici e le interazioni con Grok per addestrare i modelli. L’opposizione si esprime nella sezione Privacy e sicurezza dell’account, e un account privato esclude i propri post. Per un’azienda che usa X come canale commerciale è una scelta da prendere in modo consapevole, con chi gestisce i profili social.

Per Business e API i termini Enterprise del 14 agosto 2026 dicono che i contenuti dei clienti non saranno usati per addestrare i modelli, salvo quanto comunicato al cliente e le impostazioni che il cliente controlla. La FAQ Enterprise aggiunge che in alcuni casi vengono offerti crediti gratuiti in cambio del consenso all’addestramento: un’offerta che nessun dipendente dovrebbe accettare da solo.

Sulla conservazione le regole sono scritte. Nella versione consumer le conversazioni cancellate, le Private Chat e gli account eliminati spariscono dai sistemi entro 30 giorni, salvo obblighi legali o esigenze di sicurezza. Nei servizi business i contenuti si cancellano entro 30 giorni dalla fine della sessione, salvo accordi diversi. Con l’API Zero Data Retention la cancellazione avviene entro un’ora o alla consegna della risposta, senza registri né copie di backup.

Il vincolo del DPA: dati personali solo con l’API Zero Data Retention

xAI pubblica un accordo sul trattamento dei dati (DPA), in vigore dal 22 settembre 2026, che i termini Enterprise incorporano in automatico. Il testo chiede al cliente di trattare dati personali soltanto tramite l’API Zero Data Retention e vieta di inviarne ai servizi che non la usano. Una violazione di questa regola è qualificata come violazione sostanziale del contratto.

Un esempio pratico: una commerciale che incolla in Grok l’email di un cliente per preparare la risposta sta inviando dati personali. Se lo fa dalla chat del piano Business, il servizio non è l’API ZDR, e il DPA letto alla lettera non lo consente. Questa è la nostra lettura del testo pubblicato: prima di ammettere dati personali nella chat Business conviene chiedere a xAI una conferma scritta su come il DPA si applica a quel piano, e conservarla insieme al contratto.

L’API ZDR, d’altra parte, richiede un’integrazione: un programma interno o un fornitore che chiama l’API e gestisce l’interfaccia per gli utenti. È un progetto da valutare a sé, con le stesse domande che si fanno a qualsiasi fornitore di software.

Anche con la ZDR restano due punti. Il DPA prevede trasferimenti in vari paesi, compresi gli Stati Uniti, con le clausole contrattuali tipo (moduli 2 e 3) regolate dalla legge irlandese. I termini Enterprise si regolano con la legge del Texas, con foro esclusivo nella contea di Wichita. Il GDPR chiede di nominare il fornitore responsabile del trattamento con un contratto (art. 28) e di verificare le garanzie per i trasferimenti fuori dallo Spazio economico europeo (Capo V): il DPA è il documento da cui partire per farlo, insieme al consulente privacy. Per formazione e informativa ai lavoratori, art. 4 dell’AI Act e art. 11 della legge 132/2025, rimandiamo all’articolo sul regolamento generale.

Dove vengono elaborati i dati e chi risponde in Europa?

Per gli utenti europei della versione consumer il titolare è SpaceXAI LLC, con sede negli Stati Uniti, secondo l’addendum europeo alla privacy policy in vigore dal 24 agosto 2026. Lo stesso documento dice che tutti i dati personali sono trattati negli Stati Uniti e che i trasferimenti verso i fornitori si basano sull’EU-US Data Privacy Framework o sulle clausole contrattuali tipo.

Come contatto in Europa la privacy policy dell’11 ottobre 2026 indica Lionheart Squared (Europe) Ltd, a Dublino, tra gli altri recapiti per le richieste privacy, senza qualificarlo espressamente come rappresentante ai sensi dell’art. 27 del GDPR; c’è anche un responsabile della protezione dei dati. Ai consumatori europei si applicano la legge e i tribunali irlandesi, salve le tutele inderogabili del paese di residenza.

Per l’API la documentazione aggiornata al 10 ottobre 2026 descrive un endpoint globale che può instradare le richieste tra regioni senza garantire il luogo di elaborazione, e un endpoint dedicato agli Stati Uniti. Un endpoint europeo non compare. Le pagine consultate non dicono dove si trovi il «Dedicated Data Plane» del piano Enterprise: chi lo valuta deve chiederlo e farselo scrivere nel contratto.

Immagini, modalità senza filtri e procedimenti aperti

Grok genera anche immagini, e i termini consumer avvertono che alcune modalità possono produrre contenuti volgari o sessuali. In azienda servono due regole. Non si caricano foto o registrazioni di persone reali, colleghi e clienti compresi, per modificarle. Le immagini realistiche generate per comunicazioni esterne si dichiarano come tali, come chiede l’art. 50 dell’AI Act per i deepfake. Il Garante, con il provvedimento n. 789 del 18 dicembre 2025, ha avvertito chi usa servizi che generano deepfake partendo da immagini o voci reali, e la Relazione 2025 cita Grok tra gli esempi.

Su Grok e su X sono aperti diversi procedimenti, e nessuno ha prodotto una decisione pubblicata al 22 ottobre 2026. La Data Protection Commission irlandese ha avviato l’11 aprile 2025 un’inchiesta per verificare se i post pubblici degli utenti europei siano stati usati in modo lecito per addestrare Grok, e il 17 febbraio 2026 una seconda inchiesta sulle immagini sessualizzate generate con Grok. Il 2 gennaio 2026 il Garante italiano ha aperto un’istruttoria sulle immagini sessualmente esplicite non consensuali diffuse su X, poi confluita nel procedimento irlandese. Il 26 gennaio 2026 la Commissione europea ha avviato un’indagine formale ai sensi del Digital Services Act sulla gestione dei rischi delle funzioni di Grok e sul sistema di raccomandazione di X basato su Grok.

Un procedimento precedente è invece chiuso: nel 2024, dopo un ricorso urgente all’Alta corte irlandese, X si è impegnata in via permanente a non usare per addestrare Grok i post pubblici degli utenti europei raccolti tra il 7 maggio e il 1° agosto 2024.

Per il regolamento le inchieste aperte non cambiano le clausole di oggi. Giustificano una data di revisione ravvicinata e una persona incaricata di seguire gli sviluppi.

Come adattare il regolamento quando si approva Grok

Nell’elenco degli strumenti Grok occupa più righe, una per versione, ciascuna con la propria classe di dati.

Grok dentro X e la versione consumer si ammettono al massimo per informazioni libere: testi già pubblicati, domande generiche, bozze senza nomi né dati riservati. Chi è autorizzato disattiva «Improve the model» e, per i lavori legati all’azienda, usa la modalità Private Chat. Il profilo X aziendale non si usa per conversare con Grok su clienti, offerte o progetti. Se l’azienda decide di non far addestrare i modelli sui propri post, chi gestisce i social imposta l’opposizione nell’account.

Il piano Business si ammette per i dati riservati non personali, come listini interni o documentazione tecnica, se l’azienda lo ritiene accettabile dopo aver letto termini e DPA. Gli account si creano con l’email aziendale, l’accesso passa dall’SSO e l’amministratore stabilisce la durata di conservazione. I dati personali restano esclusi finché xAI non conferma per iscritto un’interpretazione diversa del DPA.

Per i dati personali la sola strada prevista dal contratto è l’API ZDR, all’interno di un’applicazione approvata dal responsabile. Nessun dipendente accetta crediti gratuiti in cambio del consenso all’addestramento, e nessuno attiva funzioni di generazione di immagini su persone reali.

Un caso tipico: l’ufficio acquisti di un’azienda manifatturiera vuole usare Grok per confrontare le schede tecniche dei fornitori. Le schede pubblicate sui siti dei fornitori si possono confrontare con Grok Business. Le email dei referenti commerciali, che contengono nomi e recapiti, restano fuori dalla chat, a meno che l’azienda non realizzi un’integrazione ZDR.

Quando Grok non è la scelta adatta

Grok è poco adatto quando l’azienda ha bisogno che i dati restino in Europa: nella versione consumer il trattamento avviene negli Stati Uniti, e l’API non offre un endpoint europeo nelle pagine consultate. Lo stesso vale quando il lavoro quotidiano consiste nel trattare email, pratiche o documenti di clienti in una chat. Il DPA indirizza i dati personali verso l’API ZDR, e senza competenze di sviluppo interne o un fornitore che realizzi l’integrazione quell’opzione resta sulla carta.

Sul piano dell’esecuzione in proprio il margine è ridotto. xAI ha pubblicato su Hugging Face i pesi di Grok-1 e di Grok 2; quelli di Grok 2 sono distribuiti con la Grok 2 Community License, che ammette l’uso commerciale nel rispetto della policy d’uso accettabile e vieta di usare pesi o output per addestrare altri modelli fondazionali. I pesi dei modelli Grok attuali, della serie 4, non risultano pubblicati.

Per categorie particolari di dati, come quelli sanitari, e per settori con regole proprie la cautela del regolamento base vale a maggior ragione. Infine conviene ricordare il consiglio che X stessa dà agli utenti: non condividere dati personali, sensibili o confidenziali nelle conversazioni con Grok.