Una scena che capita più spesso di quanto si pensi: per fare prima, un'impiegata copia in un chatbot gratuito l'elenco dei clienti con le fatture scadute e chiede di scrivere i solleciti. Il lavoro è fatto in un minuto, ma nomi, importi e contatti sono finiti in un servizio che l'azienda non controlla, con condizioni d'uso pensate per i privati. Il GDPR non vieta di usare l'intelligenza artificiale con i dati aziendali; chiede però di decidere prima quali dati, in quali strumenti, per quale scopo e con quali garanzie. In questa guida trovi i ragionamenti da fare e un semaforo pratico da condividere con i colleghi. Non è una consulenza legale: per i casi complessi il riferimento resta il tuo consulente privacy.
Tre famiglie di informazioni da distinguere
- Dati personali. Tutto ciò che riguarda una persona identificabile: clienti privati, referenti delle aziende clienti, dipendenti, collaboratori, fornitori che sono persone fisiche.
- Dati particolari e giudiziari. Salute, appartenenza sindacale, dati biometrici, convinzioni religiose e politiche (articolo 9 del GDPR) e dati su condanne e reati (articolo 10). Hanno regole più severe: per molte aziende sono quelli del personale, come certificati medici e idoneità.
- Informazioni riservate non personali. Listini con le condizioni dei clienti, ricette, disegni, offerte in corso, strategie. Il GDPR non le copre, ma sono protette come segreti commerciali dal Codice della proprietà industriale e spesso da accordi di riservatezza con clienti e fornitori.
Chi è responsabile di cosa
Quando la tua azienda usa uno strumento di IA sui dati dei suoi clienti o dipendenti, resta il Titolare del trattamento: decide perché e come si trattano i dati e ne risponde. Il fornitore dello strumento, se tratta i dati per tuo conto, è Responsabile del trattamento e serve un contratto secondo l'articolo 28 del GDPR, che lo obbliga a seguire le tue istruzioni, a proteggere i dati e a dirti quali altri fornitori (sub-responsabili) coinvolge.
Il punto delicato sono i servizi gratuiti o con abbonamento personale. Se le condizioni d'uso permettono al fornitore di usare i contenuti per migliorare i propri modelli, per quell'uso il fornitore non lavora più "per conto tuo", e tu hai consegnato dati che non potevi consegnare. Lo stesso vale per l'account personale che il dipendente apre con la sua email privata: l'azienda non sa cosa ci finisce e non può farlo cancellare.
Lo scopo e la base giuridica non cambiano perché c'è l'IA
Ogni trattamento ha bisogno di una base giuridica (articolo 6 del GDPR) e di uno scopo preciso. Se usi l'IA per leggere l'ordine di un cliente, la base è il contratto con quel cliente; se la usi per preparare le fatture, c'è un obbligo di legge; per altri usi può valere il legittimo interesse, dopo aver bilanciato il tuo interesse con i diritti delle persone. Con i dipendenti, la scelta di chiedere il loro assenso è raramente quella giusta, perché il rapporto di lavoro non lo rende davvero libero.
Il punto che si dimentica più spesso è la limitazione della finalità: dati raccolti per spedire la merce non diventano automaticamente utilizzabili per profilare i clienti con l'IA. Lo ribadisce anche l'articolo 4 della Legge 132/2025, che chiede trattamenti compatibili con le finalità per cui i dati sono stati raccolti.
A novembre 2026 a livello europeo si discute di modifiche al GDPR legate all'IA, all'interno del pacchetto "Omnibus digitale". Finché non sono approvate e pubblicate, vale il testo attuale del regolamento.
Un semaforo per i dati, da usare in ufficio
| Colore | Esempi | Dove si possono usare |
|---|---|---|
| Verde | Testi pubblici, schede prodotto, orari, bozze senza nomi, domande generiche | Negli strumenti approvati dall'azienda, con account aziendale |
| Giallo | Ordini e dati di clienti e fornitori, contratti, corrispondenza, documenti interni | Solo in strumenti con contratto aziendale, accordo sul trattamento, server conosciuti e uso per addestramento escluso |
| Rosso | Dati sanitari, valutazioni del personale, documenti coperti da segreto professionale, password e credenziali, dati bancari in blocco | Solo in soluzioni valutate apposta, con analisi dei rischi ed elaborazione in ambiente controllato; altrimenti mai |
Il semaforo funziona se è corto, affisso dove serve e spiegato con esempi presi dal vostro lavoro. Va inserito nelle regole interne: trovi uno schema completo nella guida sulla policy aziendale sull'uso dell'IA.
I dati dei dipendenti: le regole in più
Quando l'IA tocca il personale si sommano più norme.
- Controlli a distanza. L'articolo 4 dello Statuto dei lavoratori (L. 300/1970) consente strumenti da cui può derivare un controllo a distanza solo per esigenze organizzative e produttive, di sicurezza o di tutela del patrimonio, e con accordo sindacale o autorizzazione dell'Ispettorato. Le informazioni raccolte si possono usare solo se ai lavoratori è stata data un'informazione adeguata sugli strumenti e sui controlli.
- Sistemi automatizzati. L'articolo 1-bis del D.Lgs. 152/1997, richiamato dall'articolo 11 della Legge 132/2025, chiede di informare i lavoratori sui sistemi decisionali e di monitoraggio automatizzati.
- Decisioni sul rapporto di lavoro. Dal 23 ottobre 2026 l'articolo 41 del D.Lgs. 179/2026 vuole che assunzioni, sanzioni, valutazioni e licenziamenti siano decisi in via definitiva da una persona. I dettagli sono nella guida sulla Legge 132/2025.
- Usi vietati. L'AI Act vieta i sistemi che riconoscono le emozioni sul luogo di lavoro, salvo motivi medici o di sicurezza.
Esempio: analizzare con l'IA le registrazioni del centralino per migliorare le risposte standard è una cosa; usarle per dare un punteggio ai singoli operatori è un'altra, che chiede informative, valutazioni e garanzie molto diverse.
Quando l'IA sbaglia su una persona
I sistemi di IA possono attribuire a un cliente il pagamento mancato di un omonimo, o riassumere male una pratica. Il GDPR chiede dati esatti e aggiornati e dà alle persone diritti precisi: accedere ai propri dati (articolo 15), farli correggere (articolo 16), opporsi a certi trattamenti (articolo 21) e non essere sottoposte a decisioni basate unicamente su trattamenti automatizzati che producono effetti giuridici o le toccano in modo significativo, con il diritto di ottenere l'intervento di una persona e di contestare la decisione (articolo 22). Alle richieste si risponde di norma entro un mese, prorogabile di altri due nei casi complessi. Serve quindi sapere chi riceve queste richieste in azienda e come si ricostruisce cosa ha fatto lo strumento di IA.
Se i dati finiscono dove non dovevano
Caricare dati personali in un servizio non autorizzato può configurare una violazione dei dati personali, perché li rende accessibili a soggetti che non dovrebbero averli. Cosa fare:
- chiedere alla persona cosa ha caricato, quando e in quale servizio, senza cercare colpevoli: serve la verità, in fretta;
- cancellare i contenuti dal servizio, se possibile, e cambiare eventuali credenziali esposte;
- valutare il rischio per le persone coinvolte con il proprio consulente privacy;
- se c'è un rischio, notificare la violazione al Garante entro 72 ore da quando se ne è venuti a conoscenza (articolo 33) e, se il rischio è elevato, informare anche gli interessati (articolo 34);
- annotare comunque l'episodio nel registro interno delle violazioni.
Le violazioni via posta elettronica hanno una guida a parte: email aziendale violata, cosa fare subito.
Informative e registro dei trattamenti
Se introduci uno strumento di IA che tratta dati personali, aggiorna l'informativa per clienti e dipendenti (articoli 13 e 14 del GDPR): quali dati, per quale scopo, quali categorie di fornitori li ricevono, se escono dall'Unione europea. La Legge 132/2025 aggiunge che queste informazioni vanno date con linguaggio chiaro e semplice. Aggiorna anche il registro delle attività di trattamento (articolo 30) e, se lo strumento parla con il pubblico, ricorda l'obbligo dell'AI Act di dichiarare che risponde un sistema di IA. Per siti e moduli online vale la guida GDPR e sito web.
Le domande da fare per ogni nuovo strumento
- Chi lo userà e per quale attività precisa?
- Quali famiglie di dati riceverà: verdi, gialle o rosse?
- Esiste un contratto aziendale con l'accordo sul trattamento dei dati?
- Dove si trovano i server e quali sub-fornitori intervengono?
- I contenuti inviati sono esclusi dall'addestramento dei modelli, per iscritto?
- Per quanto tempo vengono conservati e come si cancellano?
- Gli accessi sono personali e protetti da autenticazione a due fattori?
- Informative, registro e regole interne sono stati aggiornati, e serve una valutazione d'impatto?
Il confronto tecnico fra elaborazione in sede e in cloud, con i trasferimenti fuori dall'Unione, è nella guida AI in locale o in cloud.
Come trattiamo i dati nei nostri progetti
Nei progetti di intelligenza artificiale di Faberweb la domanda sui dati viene prima della tecnologia. Con WorkMind archivi e documenti restano nella tua sede e gli originali non vengono modificati; l'IA lavora sui nostri server con un collegamento cifrato e solo per i compiti più complessi inviamo il minimo indispensabile a fornitori selezionati, che non usano i tuoi dati per addestrarsi. Accessi personali, permessi per ruolo, registro delle attività e un'installazione separata per ogni cliente; una copia di sicurezza ogni notte, in sede e da noi. Firmiamo un accordo sul trattamento secondo il GDPR: tu resti Titolare, noi siamo Responsabile. Lo stesso accordo vale per gli enti pubblici, che possono acquistare su MEPA e Sintel.
Per fare il punto sugli strumenti che usate scrivici o chiamaci al 0371 464 186. Lavoriamo in tutto il Nord e il Centro Italia.
Domande frequenti
Posso usare un chatbot gratuito con i dati dei clienti?
È sconsigliato. I servizi gratuiti hanno spesso condizioni pensate per i privati, possono usare i contenuti per migliorare i modelli e non prevedono un accordo sul trattamento con l'azienda. Per i dati dei clienti servono strumenti con contratto aziendale, che dicano dove sono i dati e che escludano l'addestramento.
Devo chiedere il permesso ai clienti per usare l'IA sui loro dati?
Di norma no: se l'IA serve per gestire il loro ordine o il loro contratto, la base giuridica resta quella del rapporto. Devi però informarli nell'informativa, usare i dati solo per quello scopo e affidarli a fornitori con le garanzie richieste dal GDPR. Per scopi nuovi, come la profilazione, il discorso cambia e va valutato a parte.
Possiamo analizzare con l'IA i dati sul lavoro dei dipendenti?
Con molta cautela. Servono una finalità legittima, il rispetto dell'articolo 4 dello Statuto dei lavoratori, le informative sui sistemi automatizzati e, per le decisioni sul rapporto di lavoro, una persona che decide in via definitiva. Il riconoscimento delle emozioni sul luogo di lavoro è vietato dall'AI Act.
Un collega ha caricato dati riservati in un servizio esterno: cosa facciamo?
Ricostruite subito cosa è stato caricato e dove, cancellate i contenuti se il servizio lo consente e valutate il rischio con il consulente privacy. Se ci sono dati personali e un rischio per le persone, la notifica al Garante va fatta entro 72 ore. In ogni caso annotate l'episodio e usatelo per migliorare regole e formazione.
Il GDPR cambierà per l'intelligenza artificiale?
Sono in discussione modifiche europee nell'ambito dell'Omnibus digitale, ma a novembre 2026 non sono ancora legge. Oggi vale il testo attuale del GDPR, insieme all'AI Act e alla Legge 132/2025: scopo chiaro, dati necessari, fornitori affidabili e persone informate restano la base.