AI e privacy: come usare l’intelligenza artificiale senza esporre i dati

Un commerciale incolla in un chatbot l’elenco clienti per farsi scrivere una mail. Un’impiegata carica un contratto per farselo riassumere. Un responsabile del personale chiede un parere su un dipendente. Sono gesti normali, fatti in buona fede, e possono creare problemi seri.

L’intelligenza artificiale non è più rischiosa di altri strumenti digitali. Ma va usata con le stesse regole che valgono per email, cloud e gestionali.

Le tre categorie di informazioni da proteggere

1. Dati personali di clienti, fornitori, dipendenti: nomi, contatti, contratti, situazioni economiche. Qui vale il GDPR.
2. Dati particolari: salute, opinioni, dati giudiziari. Richiedono cautele ancora maggiori.
3. Segreti aziendali e know-how: progetti, prezzi, strategie, codice, documentazione tecnica. Una volta usciti, non tornano indietro.

Le verifiche da fare sul fornitore

Prima di adottare uno strumento di AI in azienda:

• Uso dei dati per l’addestramento: le versioni aziendali dei principali assistenti dichiarano di non usare le conversazioni per addestrare i modelli per impostazione predefinita. Verificalo nelle condizioni del contratto, non nelle pubblicità.
• Accordo sul trattamento dei dati (DPA): il fornitore tratta dati per tuo conto e deve essere nominato responsabile, come prevede l’articolo 28 del GDPR.
• Dove finiscono i dati: se escono dall’Unione europea servono garanzie adeguate per il trasferimento.
• Conservazione: per quanto tempo restano le conversazioni? Puoi deciderlo tu?
• Accessi: chi, nel fornitore e in azienda, può leggere le conversazioni?

I documenti che servono davvero

• Registro dei trattamenti aggiornato con i nuovi strumenti.
• Informativa a clienti e dipendenti, se i loro dati vengono trattati con l’AI. Per i lavoratori, la legge italiana sull’AI (132/2025) chiede espressamente al datore di lavoro di informarli sull’uso dell’intelligenza artificiale.
• Valutazione d’impatto (DPIA), quando il trattamento presenta rischi elevati: per esempio dati sanitari, monitoraggio dei dipendenti, decisioni automatizzate.
• Policy interna sull’uso dell’AI: cosa si può inserire, quali strumenti sono autorizzati, chi controlla.

Le regole pratiche per tutti i giorni

• Usare solo gli strumenti autorizzati dall’azienda, con l’account aziendale.
• Togliere nomi e dati identificativi quando non servono al compito.
• Mai inserire password, dati di carte, documenti d’identità.
• Verificare sempre ciò che l’AI produce prima di mandarlo a un cliente.
• Segnalare subito se qualcosa di riservato è finito nello strumento sbagliato.

I rischi tecnici meno conosciuti

Quando l’AI è collegata ai sistemi aziendali (email, documenti, gestionale) nascono rischi nuovi: un testo malevolo dentro una mail può cercare di “istruire” l’assistente a fare cose non previste (prompt injection). Per questo gli assistenti collegati ai dati devono avere permessi limitati e una persona che approva le azioni importanti.

Un buon punto di partenza

Fai l’inventario degli strumenti di AI già usati in azienda, anche quelli “non ufficiali”. È quasi sempre più lungo del previsto. Poi scegli quali autorizzare, scrivi la policy e forma le persone. Trovi una traccia in Policy aziendale sull’uso dell’AI.

Questo articolo è una sintesi divulgativa e non sostituisce la consulenza del tuo DPO o di un legale.