AI e privacy: cosa rischi davvero quando dai i dati della tua azienda a ChatGPT

Ogni volta che un imprenditore apre ChatGPT e incolla il testo di un contratto, una lista di fornitori o una relazione interna, sta prendendo una decisione che non si può annullare. Non sto dicendo che non bisogna usare l'AI: la uso ogni giorno e la consiglio ai clienti con cui lavoro. Sto dicendo che c'è una differenza enorme tra usarla in modo consapevole e usarla senza capire dove finiscono i dati della tua attività.

Questo articolo nasce da una conversazione che ho avuto di recente con un commercialista di Foggia che gestisce una decina di collaboratori e ha cominciato a usare ChatGPT per redigere alcune comunicazioni ai clienti. A un certo punto mi ha chiesto: "Ma se incollo qui le buste paga, è un problema?" La risposta è: dipende da come stai usando il servizio. E quella distinzione è esattamente quello che voglio spiegare.

Il problema che nessuno affronta prima di iniziare

Quando usi ChatGPT nella versione gratuita, oppure nella versione a pagamento senza aver configurato correttamente le impostazioni sulla privacy, le conversazioni che hai con il modello possono essere usate da OpenAI per migliorare i propri sistemi. Questo non è un segreto: è scritto nei termini di servizio, anche se nessuno li legge davvero. In pratica significa che i testi che inserisci nella chat, inclusi documenti, nomi di clienti, contenuti di email e dati finanziari, entrano potenzialmente in un processo che OpenAI gestisce e di cui tu perdi il controllo.

La situazione è simile per gli altri strumenti principali. Google Gemini, Microsoft Copilot, Anthropic Claude: ognuno ha la propria policy sulla gestione dei dati degli utenti, e ognuno distingue tra l'uso del servizio base e l'uso in un contesto enterprise o business dove le garanzie sono diverse.

Non sto dicendo che queste aziende usino i tuoi dati per cose illecite. Sto dicendo che tu, come imprenditore, hai responsabilità nei confronti dei tuoi clienti, dei tuoi dipendenti e del GDPR che non si esauriscono nel momento in cui chiudi la finestra del browser.

Il GDPR non fa eccezioni per l'intelligenza artificiale

Il Regolamento Generale sulla Protezione dei Dati si applica ogni volta che tratti dati personali di persone fisiche. Non importa se lo fai con un foglio Excel, con un gestionale aziendale o con ChatGPT. Se inserisci in un chatbot AI il nome di un cliente, la sua email, il suo contratto, la sua busta paga o qualsiasi altra informazione che lo rende identificabile, stai effettuando un trattamento di dati personali ai sensi del GDPR.

Questo significa che, in linea teorica, dovresti avere una base giuridica per farlo, dovresti informare le persone interessate e dovresti assicurarti che il fornitore dello strumento AI garantisca un livello di protezione adeguato. Dal momento che la maggior parte delle PMI non ha mai letto i termini di servizio di ChatGPT e tantomeno valutato se OpenAI rispetta i requisiti del GDPR, ci troviamo di fronte a un rischio concreto che molti stanno ignorando.

Le autorità di vigilanza europee sulla privacy, tra cui il Garante italiano, hanno già aperto indagini e emesso provvedimenti su questi strumenti. Nel 2023 l'Italia fu il primo paese europeo a bloccare temporaneamente ChatGPT proprio per questioni legate alla privacy. Il blocco fu revocato dopo che OpenAI apportò alcune modifiche, ma la questione non è chiusa: è anzi in evoluzione costante, dal momento che le normative europee sull'AI continuano a svilupparsi anche nel 2026.

Cosa succede in concreto: i rischi reali

Voglio essere preciso perché su questo tema si tende o a esagerare o a minimizzare, e nessuna delle due posizioni è utile.

Il primo rischio è la perdita di controllo sui dati. Se inserisci informazioni riservate in un sistema AI che le usa per addestrare i propri modelli, quelle informazioni potrebbero influenzare le risposte che il sistema dà ad altri utenti in futuro, in modo indiretto e difficile da tracciare. Non si tratta di una fuga di dati visibile e immediata, ma di una forma di contaminazione del modello che è molto meno controllabile. Non è un caso teorico: nel 2023 Samsung fu costretta a vietare l'uso di ChatGPT ai propri dipendenti dopo che alcuni ingegneri avevano incollato nel chatbot porzioni di codice proprietario.

Il secondo rischio riguarda i contratti con i tuoi clienti. Se gestisci dati di terzi nell'ambito di un rapporto professionale, come accade per i commercialisti, gli avvocati, le agenzie di comunicazione, i consulenti del lavoro, hai probabilmente obblighi di riservatezza nei confronti di questi terzi. Utilizzare i loro dati su piattaforme AI senza il loro consenso può configurarti come inadempiente rispetto a questi obblighi, indipendentemente dal fatto che tu lo faccia in buona fede. La buona fede, in sede di contestazione, conta poco.

Il terzo rischio è reputazionale. Non è ancora diffusissimo come problema percepito, ma sta aumentando: i clienti chiedono sempre più spesso ai loro fornitori come vengono trattati i loro dati. Se un cliente ti chiede "i miei documenti li passi mai a un'AI?" e la risposta è "sì, ma non ci avevo pensato", l'impatto sulla fiducia è immediato e difficile da recuperare.

Cosa puoi fare concretamente: tre scenari diversi

La soluzione non è smettere di usare l'AI. Sarebbe un errore, perché gli strumenti di intelligenza artificiale offrono un vantaggio competitivo reale per le PMI che li sanno usare. La soluzione è usarli in modo informato, distinguendo tre scenari di rischio.

Il primo scenario è l'uso personale e non riservato: bozze di testi generici, ricerche, idee per contenuti marketing, traduzioni di testi non confidenziali. In questo caso puoi usare tranquillamente la versione base degli strumenti AI, anche gratuita, senza particolari precauzioni. Non stai passando dati sensibili, dunque il rischio è minimo e il vantaggio è concreto.

Il secondo scenario è l'uso con dati aziendali generici ma non personali: procedure interne, descrizioni di prodotti, template di email non personalizzate, analisi di mercato su dati aggregati. Qui conviene attivare la modalità che disabilita l'uso dei dati per il training del modello. Su ChatGPT Plus questa opzione si trova nelle impostazioni, sotto "Controlli dati". Su Google Gemini Advanced e Microsoft Copilot for Business esistono configurazioni analoghe. Non è una garanzia assoluta, ma riduce in modo significativo il rischio.

Il terzo scenario è l'uso con dati personali, riservati o coperti da segreto professionale: dati di clienti identificabili, documenti contrattuali, buste paga, relazioni mediche, fascicoli legali. Qui la risposta corretta è usare soltanto versioni enterprise o business delle piattaforme AI, che prevedono contratti specifici sulla protezione dei dati (i cosiddetti DPA, Data Processing Agreement), oppure adottare strumenti AI che girano localmente senza inviare nulla a server esterni.

Le opzioni enterprise: cosa offrono davvero

Le principali piattaforme AI offrono versioni pensate per le aziende che hanno bisogno di garanzie sulla privacy. ChatGPT Enterprise, ad esempio, non usa le conversazioni per addestrare i modelli, garantisce la crittografia dei dati in transito e a riposo, e fornisce un DPA conforme al GDPR. Analogamente, Microsoft Copilot for Microsoft 365, che si integra con Teams, Outlook ed Excel, è costruito su Azure e garantisce che i dati rimangano all'interno del tenant Microsoft dell'azienda, senza essere usati per addestrare modelli condivisi.

Queste soluzioni hanno un costo, di certo. Ma per una PMI che gestisce dati sensibili di clienti o dipendenti, il costo della versione enterprise è di gran lunga inferiore al rischio di una sanzione del Garante o di una causa per inadempimento contrattuale.

C'è poi una terza categoria di strumenti che vale la pena menzionare: i modelli AI open source che puoi installare ed eseguire direttamente sui tuoi server o sul tuo computer, senza che nessun dato esca dalla tua infrastruttura. Soluzioni come Ollama, che permette di far girare modelli come Llama o Mistral in locale, consentono di avere un assistente AI privato, senza costi per ogni richiesta e senza dipendenze da server esterni. Richiedono un minimo di competenza tecnica per essere configurati, ma per le PMI che trattano dati particolarmente sensibili è una strada che vale la pena esplorare con l'aiuto di un consulente tecnico.

Come valutare la situazione della tua attività

Non tutte le PMI hanno gli stessi rischi. Il livello di attenzione necessario dipende da che tipo di dati tratti nel tuo lavoro quotidiano e da quali obblighi di riservatezza hai nei confronti dei tuoi clienti.

Se gestisci una struttura ricettiva, un negozio, un'agenzia di comunicazione o un'attività artigianale senza accesso a dati sensibili di terzi, puoi adottare l'AI con molta libertà, avendo l'accortezza di non inserire mai negli strumenti gratuiti informazioni riconducibili a persone specifiche.

Se invece sei un professionista ordinistico, ossia un avvocato, un commercialista, un medico, un consulente del lavoro, oppure gestisci risorse umane o dati finanziari di clienti, il livello di attenzione deve essere decisamente più alto. In questi casi ti consiglio di mettere nero su bianco, anche in modo informale, quali strumenti usi e per quali attività, e di aggiornare la tua informativa privacy se non lo hai già fatto.

Una regola pratica da adottare subito

Se non sai da dove cominciare, ti propongo una regola semplice che uso quando lavoro con le PMI su questo tema: prima di incollare qualcosa in un tool AI, chiediti se ti sentiresti a disagio se quella stessa informazione la inviassi per email a un estraneo. Se la risposta è sì, non inserirla in un sistema AI senza prima aver verificato le garanzie che quel sistema offre sulla gestione dei dati.

Non è una regola perfetta, ma è un buon punto di partenza per sviluppare un approccio CONSAPEVOLE. L'AI è uno strumento potente, e come tutti gli strumenti potenti funziona meglio quando chi lo usa sa cosa sta facendo. Il vantaggio competitivo che offre è reale, ma è sostenibile soltanto se costruito su una base che non mette a rischio la fiducia dei clienti e il rispetto della normativa.

Se hai già integrato l'AI nel lavoro della tua attività e non hai mai fatto questa valutazione, il momento giusto per iniziare è adesso. Non perché ci sia già un danno, ma perché è molto più semplice costruire buone abitudini prima che si presenti un problema concreto.