Posso usare ChatGPT con i dati dei clienti? Cosa dice il GDPR.

Dipende dalla versione che usi e dalle regole che ti dai. La versione gratuita, con dati personali, è la scelta sbagliata.

Una PMI può usare strumenti di AI generativa con dati personali di clienti o dipendenti solo se il trattamento rispetta il GDPR: serve una base giuridica, un contratto che nomini il fornitore responsabile del trattamento, garanzie sui trasferimenti fuori dall’UE e regole interne chiare. In pratica significa usare versioni aziendali con condizioni adeguate, non account personali gratuiti. Questa guida spiega cosa verificare. Non sostituisce il parere del tuo consulente privacy.

A cura di Samuele Allasia, Founder di Tribus Informatica · Aggiornato il 21 ottobre 2026

Impostiamo regole e strumenti AI sicuri

Perché la versione gratuita non va bene per i dati dei clienti?

Nelle versioni per uso personale le conversazioni possono essere usate per migliorare i modelli, salvo che l’utente disattivi l’opzione, e l’azienda non ha un contratto di trattamento con il fornitore. Se un dipendente incolla in un account personale l’email di un cliente o un elenco di contatti, l’azienda perde il controllo su dove finiscono quei dati e non può dimostrare di averli trattati correttamente.

Cosa cambia con le versioni aziendali?

I piani aziendali dei principali fornitori prevedono condizioni diverse. OpenAI dichiara che i dati di ChatGPT Business, Enterprise e delle API non sono usati per l’addestramento per impostazione predefinita e rende disponibile un accordo sul trattamento dei dati. Microsoft, per Copilot con account di lavoro, agisce come responsabile del trattamento secondo il proprio DPA. Google dichiara che i dati di Gemini in Workspace non sono usati per l’addestramento senza permesso. Sono condizioni da leggere e conservare, non da dare per scontate.

Quali obblighi GDPR restano a carico dell’azienda?

L’azienda resta titolare del trattamento. Deve avere una base giuridica per usare quei dati in quel modo (art. 6), nominare il fornitore responsabile con un contratto (art. 28), verificare le garanzie se i dati vanno fuori dall’UE (Capo V) e informare le persone. Se l’uso è nuovo e può incidere sui diritti delle persone, va valutata una DPIA (art. 35): tra i criteri del Garante c’è proprio l’uso innovativo di nuove tecnologie. Vale anche il principio di minimizzazione: si usano solo i dati necessari.

E i dati dei dipendenti?

Oltre al GDPR, la legge italiana sull’intelligenza artificiale (L. 132/2025, in vigore dal 10 ottobre 2025) all’art. 11 chiede al datore di lavoro di informare il lavoratore quando usa sistemi di AI, con le modalità già previste per i sistemi automatizzati. Strumenti che valutano o selezionano le persone richiedono particolare cautela: nell’AI Act alcuni usi nella gestione del personale rientrano tra quelli ad alto rischio.

Cosa hanno deciso il Garante e i giudici?

Nel marzo 2023 il Garante italiano ha limitato temporaneamente ChatGPT, contestando informativa, base giuridica per l’addestramento e verifica dell’età. Nel dicembre 2024 ha comunicato una sanzione di 15 milioni di euro a OpenAI, annullata dal Tribunale di Roma con sentenza pubblicata nel marzo 2026. Nel gennaio 2025 ha limitato il trattamento dei dati degli utenti italiani da parte di DeepSeek. Il messaggio per le imprese non cambia: chi sceglie uno strumento deve verificare come tratta i dati.

Quali regole dare al team?

Una policy d’uso semplice, di una pagina, evita la maggior parte dei problemi. Indica quali strumenti sono ammessi e con quali account, quali dati non si inseriscono mai, ad esempio dati sanitari, documenti d’identità, credenziali, informazioni riservate dei clienti, come anonimizzare quando serve e chi controlla i risultati prima che escano dall’azienda. Accompagna la policy con una breve formazione: è anche un modo concreto per rispondere all’art. 4 dell’AI Act sull’alfabetizzazione.

Account personale, piano aziendale e integrazione su misura

Account personale, piano aziendale e integrazione su misura
	Account personale	Piano aziendale	Integrazione via API
Uso dei dati per l’addestramento	Possibile, salvo opt-out	Escluso per impostazione predefinita, secondo le condizioni del fornitore	Escluso per impostazione predefinita, secondo le condizioni del fornitore
Contratto di trattamento (art. 28)	No	Disponibile	Disponibile
Controllo degli accessi	Del singolo utente	Amministrato dall’azienda	Definito nel progetto
Adatto ai dati dei clienti	No	Sì, con policy e verifiche	Sì, con progettazione e verifiche

Riferimenti per approfondire

La guida e la scheda sono una proposta operativa di Tribus. Queste fonti approfondiscono i principi di gestione e verifica richiamati nel testo.

Prima di conoscerci.

Posso incollare un’email di un cliente in ChatGPT?

In un account personale gratuito no. Con un piano aziendale che prevede un contratto di trattamento, una base giuridica adeguata e una policy interna, sì, limitandosi ai dati necessari. Se puoi ottenere lo stesso risultato togliendo nomi e riferimenti, fallo.

Serve sempre una DPIA per usare l’AI?

Non sempre. Va valutata quando il trattamento può presentare rischi elevati per le persone, ad esempio su larga scala, su dati particolari o per valutare dipendenti. Il consulente privacy aiuta a decidere e documentare la valutazione.

Basta il piano Business per essere a posto?

No. Il piano aziendale risolve la parte contrattuale con il fornitore. Restano a carico dell’azienda base giuridica, informative, regole interne, formazione e verifica di quello che l’AI produce.

Da dove cominciamo?

Porta un problema concreto. Mettiamo a fuoco cosa lo causa, quali vincoli ci sono e se possiamo aiutarti.

Il tuo esempioUn’attività che rallenta il team, gli strumenti coinvolti e chi li usa.
Le prioritàCosa pesa di più sul lavoro, quali risorse hai e cosa deve continuare a funzionare.
Il prossimo passoChiarire se approfondire, con quali informazioni e con quali persone.

Prenota un incontro

Preferisci scrivere? info@tribusinformatica.it · Per un problema urgente, chiama +39 0175 576 419 per verificare disponibilità e modalità di intervento.