Il GDPR in parole semplici
Il GDPR è il regolamento europeo che dice come si trattano i dati delle persone: nomi, telefoni, indirizzi, messaggi, preventivi intestati. Per una piccola impresa si riduce a una regola: usa solo i dati che ti servono, per lo scopo per cui li hai raccolti, tienili al sicuro e sappi sempre dove sono.
Il testo lo chiama "principi" e li elenca all'art. 5. Tradotti per chi ha un'azienda:
- Scopo chiaro. Se un cliente ti ha dato il numero per un preventivo, quel numero serve per il preventivo. Usarlo per altro richiede una base diversa, come il consenso.
- Il minimo indispensabile. Il regolamento la chiama minimizzazione: se allo strumento basta il nome del cantiere, non serve passargli il codice fiscale del cliente.
- Dati esatti e non eterni. Si correggono quando sono sbagliati e non si tengono più a lungo del necessario.
- Sicurezza. Protezione da accessi non autorizzati, perdite e danni.
- Saperlo dimostrare. Il titolare deve essere in grado di provare che rispetta le regole. Il Garante la chiama responsabilizzazione.
Il titolare sei tu, o meglio la tua impresa. Lo strumento di intelligenza artificiale non cambia questa posizione: è un fornitore in più che maneggia dati per conto tuo, come il commercialista che tiene la contabilità o la ditta che gestisce il gestionale.
Le sanzioni non sono simboliche. L'art. 83 del regolamento prevede, per la violazione dei principi di base, fino a 20 milioni di euro o, per le imprese, fino al 4% del fatturato mondiale annuo se superiore. Sono tetti massimi, e il Garante li gradua caso per caso, ma bastano a far capire che un contratto fatto bene vale il tempo di leggerlo.
Quando i dati sono più delicati
Alcuni dati hanno una protezione rafforzata. L'art. 9 vieta di trattare i dati relativi alla salute, salvo casi precisi come il consenso esplicito. Se hai un negozio di ausili sanitari, una prescrizione o il nome di una patologia scritto in una mail sono dati sanitari. Con questi dati la regola è semplice: allo strumento passa solo quello che serve davvero, e prima di collegare qualsiasi cosa ne parli con chi segue la tua privacy.
Il responsabile del trattamento: perché serve un contratto
Il fornitore che tratta dati per tuo conto si chiama responsabile del trattamento. Puoi sceglierlo solo se offre garanzie sufficienti, e il rapporto va regolato da un contratto scritto che elenca cosa può e cosa non può fare. Nel linguaggio dei fornitori questo contratto si chiama DPA, accordo sul trattamento dei dati.
L'art. 28 del GDPR dice cosa deve esserci dentro. In parole semplici, il fornitore si impegna a:
- Usare i dati solo secondo le tue istruzioni scritte, anche quando si tratta di spostarli fuori dall'UE.
- Far firmare un impegno di riservatezza a chi, dalla sua parte, può vederli.
- Proteggerli con misure di sicurezza adeguate.
- Non passare il lavoro ad altri fornitori senza il tuo permesso scritto, specifico o generale. Se il permesso è generale, deve avvisarti dei cambi e darti modo di opporti.
- Aiutarti a rispondere ai clienti che chiedono di vedere, correggere o cancellare i propri dati.
- Aiutarti sulla sicurezza e sulle violazioni.
- Cancellare o restituire tutti i dati alla fine del servizio, a tua scelta, comprese le copie.
- Darti le informazioni per verificare che rispetta il contratto, e accettare controlli.
Il Garante, nella pagina sui doveri di titolari e responsabili, ricorda che il responsabile ha obblighi propri, come tenere il registro dei trattamenti e adottare misure di sicurezza, e che risponde verso di te anche per i sub-fornitori a cui si appoggia.
I grandi fornitori pubblicano il loro DPA già pronto e lo collegano ai termini di servizio. Le condizioni commerciali di Anthropic, per esempio, dicono che i dati inviati attraverso i servizi sono trattati secondo il loro Data Processing Addendum. Il problema nasce con i piccoli fornitori e con chi assembla più servizi: lì il contratto va chiesto, letto e firmato.
Server in UE: cosa vuol dire e perché conta
"Server in UE" vuol dire che i dati vengono conservati ed elaborati in centri dati dentro l'Unione europea. Conta perché fuori dall'UE il GDPR permette di trasferire dati solo con garanzie precise. Tenerli in UE è la strada più semplice: meno passaggi da verificare, meno clausole da leggere.
Le regole stanno nel capo V del regolamento. L'art. 45 ammette il trasferimento verso un paese che la Commissione europea ha giudicato adeguato. Per gli Stati Uniti la Commissione ha adottato la decisione di adeguatezza il 10 luglio 2023: vale per le società americane che partecipano al Data Privacy Framework. Se il fornitore non vi aderisce, servono altre garanzie, come le clausole contrattuali tipo previste dall'art. 46.
Diversi grandi fornitori oggi offrono la scelta della regione:
- OpenAI ha introdotto la conservazione dei dati in Europa il 5 febbraio 2025 per ChatGPT Enterprise, ChatGPT Edu e la piattaforma per sviluppatori, che per l'Europa va attivata creando un nuovo progetto (OpenAI).
- Google per Gemini in Workspace permette ai clienti di scegliere se archiviare e trattare i dati in UE o negli Stati Uniti (Google Workspace).
- Microsoft ha annunciato a febbraio 2025 il completamento del suo EU Data Boundary, il perimetro che tiene in UE i dati dei clienti europei dei servizi cloud (Microsoft).
Attenzione al dettaglio: in quasi tutti i casi la regione europea è un'opzione da attivare o legata a certi piani. Non dare per scontato che sia così di default. Chiedilo, e fattelo scrivere.
I tuoi dati servono ad addestrare i modelli?
Nelle versioni aziendali dei principali strumenti, di regola no: i contenuti dei clienti non vengono usati per addestrare i modelli. Nelle versioni personali o gratuite le condizioni possono essere diverse e cambiano nel tempo. Per questo la domanda va fatta per ogni strumento e per ogni piano.
"Addestrare" vuol dire usare testi e documenti per migliorare il modello che poi risponde a tutti. Il timore è legittimo: se il preventivo di un tuo cliente finisse dentro l'addestramento, potresti perdere il controllo su quell'informazione.
Cosa dicono i documenti ufficiali dei fornitori:
| Fornitore | Cosa dichiara sull'addestramento | Dove sono i dati |
|---|---|---|
| Anthropic (servizi commerciali) | Non può addestrare modelli sui contenuti dei clienti | Secondo il DPA del fornitore |
| OpenAI (piani aziendali e piattaforma sviluppatori) | Nessun addestramento sui dati aziendali, salvo scelta esplicita del cliente | Europa disponibile per Enterprise, Edu e sviluppatori |
| Google (Gemini in Workspace) | Dati non usati per addestrare modelli fuori dal tuo dominio senza autorizzazione | UE o Stati Uniti, a scelta del cliente |
Fonti: Anthropic, OpenAI, Google Workspace. Le condizioni cambiano: rileggile quando rinnovi.
C'è anche un rischio più banale. Il dipendente che copia la mail di un cliente in un'app gratuita sul suo telefono, con il suo account personale, sta facendo uscire dati dall'azienda senza contratto e senza controllo. La soluzione è dare alle persone uno strumento aziendale, con il contratto giusto, e dire chiaramente quali dati non vanno incollati altrove.
Le cinque domande da fare a ogni fornitore
Prima di collegare uno strumento ai dati dei clienti, chiedi per iscritto dove sono i server, se i dati servono ad addestrare i modelli, se c'è un contratto sul trattamento dei dati, come e quando vengono cancellati, e chi li può leggere. Se un fornitore non sa rispondere a una di queste, hai già la tua risposta.
| Domanda | Risposta che va bene | Campanello d'allarme |
|---|---|---|
| Dove sono i server? | In UE, con il nome del centro dati o della regione | "Nel cloud", senza dire dove |
| I dati servono ad addestrare i modelli? | No, ed è scritto nel contratto | "Di solito no" o "dipende dalle impostazioni" senza dettagli |
| C'è un contratto sul trattamento dei dati (art. 28)? | Sì, ecco il documento | "Non serve" o "è tutto nei termini d'uso" senza un DPA |
| Come si cancellano i dati alla fine? | Tempi scritti, conferma di cancellazione, anche delle copie | Nessun tempo indicato |
| Chi li può leggere? | Elenco dei sub-fornitori, persone autorizzate con obbligo di riservatezza | Nessun elenco, nessun avviso in caso di cambi |
Dove sono i server
Fatti dire la regione e se è attiva sul tuo piano. Se una parte del servizio passa da fuori UE, chiedi su quale base: Data Privacy Framework o clausole contrattuali tipo.
Se i dati servono ad addestrare i modelli
Vale la risposta scritta nel contratto, non quella a voce. Chiedi anche cosa succede se un utente lascia un giudizio su una risposta o segnala un errore: alcuni servizi trattano quei casi in modo diverso.
Il contratto sul trattamento dei dati
Deve coprire gli otto punti dell'art. 28 visti sopra. Se il fornitore usa a sua volta servizi di terzi, come un fornitore di modelli o un hosting, l'elenco dei sub-responsabili va allegato o pubblicato.
La cancellazione
L'art. 28 dice che alla fine del servizio i dati vanno cancellati o restituiti, a tua scelta, comprese le copie. Chiedi in quanti giorni e come te lo confermano.
Chi accede
Chi, dalla parte del fornitore, può vedere i tuoi dati e perché: assistenza, manutenzione, controlli di sicurezza. Ognuno deve avere un obbligo di riservatezza.
L'AI Act: cosa ti riguarda davvero
L'AI Act è il regolamento europeo sull'intelligenza artificiale. Per una piccola impresa che usa strumenti per preparare preventivi, promemoria e risposte, la parte che conta di più riguarda la trasparenza: chi parla con un chatbot deve sapere che sta parlando con una macchina. Queste regole si applicano da agosto 2026.
Secondo la Commissione europea, il regolamento è entrato in vigore il 1° agosto 2024 ed è applicabile dal 2 agosto 2026, con alcune eccezioni. Le regole di trasparenza, che comprendono l'avviso nei chatbot e l'etichetta sui contenuti generati, partono ad agosto 2026. Gli obblighi più pesanti riguardano i sistemi ad alto rischio, come quelli usati per selezionare il personale o per decisioni sull'istruzione: con le modifiche approvate nel 2026 si applicano dal 2 dicembre 2027.
In pratica: se metti un assistente che risponde ai clienti sul sito o su WhatsApp, scrivilo chiaramente nel primo messaggio. Se usi uno strumento solo per preparare bozze che poi rileggi e mandi tu, l'AI Act pesa poco sulla tua giornata. Il GDPR, invece, pesa sempre.
Cosa resta in azienda: una lista pratica
In azienda restano la responsabilità sui dati, le decisioni e la lista degli strumenti che li toccano. Il resto si organizza con poche abitudini: passare allo strumento solo i dati che servono, usare account aziendali, tenere i contratti in una cartella e rivederli una volta l'anno.
- Un elenco degli strumenti. Quali usi, chi li usa, quali dati ci passano, dove sono i server. Una pagina di Excel basta.
- Una cartella con i contratti. DPA di ogni fornitore, con la data in cui l'hai scaricato.
- Account aziendali, non personali. Quando una persona lascia l'azienda, l'accesso si chiude e i dati restano a te.
- Una regola su cosa non incollare. Dati sanitari, documenti d'identità, coordinate bancarie dei clienti: fuori dagli strumenti, salvo casi previsti e controllati.
- Il consenso per il marketing. Se usi lo strumento per mandare promozioni su WhatsApp o via SMS, serve il consenso specifico. Ne parliamo nella guida su come far tornare i clienti in un salone.
- Le decisioni alle persone. Lo strumento prepara bozze, le persone decidono cosa mandare e a chi.
Se stai valutando da dove partire, la guida su quanto tempo si recupera con l'AI in una piccola impresa ti aiuta a scegliere le attività. Il nostro servizio meno lavoro d'ufficio con l'intelligenza artificiale lavora con quello che usi già e tiene i dati su server in UE: si parte da una proposta scritta gratuita di tre pagine, con tre idee, la stima delle ore al mese e il prezzo scritto prima di iniziare.