AI e GDPR: cosa sapere prima di usare un assistente AI

Gli assistenti AI sono comodi, ma tutto quello che scrivi o carichi in una chat è un dato che esce dal tuo computer. Questa guida riassume le regole che valgono in Italia e le scelte pratiche che puoi fare subito. Non è una consulenza legale: per casi specifici rivolgiti a un professionista o al tuo responsabile della protezione dei dati (DPO).

Le tre regole da conoscere

• GDPR, Regolamento (UE) 2016/679: protegge i dati personali, cioè ogni informazione che riguarda una persona identificata o identificabile. Vale anche quando quei dati finiscono in un servizio di intelligenza artificiale.
• AI Act, Regolamento (UE) 2024/1689: regola i sistemi di intelligenza artificiale in base al rischio. È in vigore dal 1° agosto 2024 e si applica per gradi.
• Legge italiana 23 settembre 2025, n. 132: contiene disposizioni nazionali sull'intelligenza artificiale, da applicare in modo conforme all'AI Act. È in vigore dal 10 ottobre 2025.

Il calendario dell'AI Act

Secondo il calendario ufficiale della Commissione europea (aggiornato con il pacchetto di semplificazione noto come "Digital Omnibus"):

• dal 2 febbraio 2025 si applicano i divieti sulle pratiche di AI vietate e l'obbligo di alfabetizzazione sull'AI per chi fornisce o usa sistemi di AI in ambito professionale;
• dal 2 agosto 2025 si applicano le regole per i modelli di AI per finalità generali, come quelli alla base dei chatbot;
• dal 2 agosto 2026 si applica la maggior parte delle regole, comprese quelle di trasparenza (art. 50), e partono i controlli;
• dal 2 dicembre 2026 si applicano i nuovi divieti sui sistemi che generano deepfake sessuali non consensuali e materiale pedopornografico;
• dal 2 dicembre 2027 si applicano le regole per i sistemi ad alto rischio dell'Allegato III (ad esempio lavoro, istruzione, biometria);
• dal 2 agosto 2028 quelle per l'AI integrata in prodotti regolamentati (Allegato I).

Le date possono cambiare con nuovi atti europei: controlla sempre la pagina ufficiale del Servizio di assistenza sull'AI Act indicata tra le fonti.

Cosa non scrivere in una chat AI

• Dati di altre persone senza una base giuridica: nomi, contatti, CV, dati di clienti o colleghi.
• Dati particolari (art. 9 GDPR): salute, opinioni politiche, convinzioni religiose, orientamento sessuale, dati biometrici e genetici.
• Documenti riservati dell'azienda, contratti, credenziali, codici di accesso.
• Se ti serve lavorare su un testo con dati personali, prima rendilo anonimo: togli nomi, indirizzi, numeri e ogni dettaglio che permetta di riconoscere la persona.

Le impostazioni da controllare

Molti servizi permettono di scegliere se le conversazioni vengono usate per migliorare i modelli e per quanto tempo restano salvate. Le opzioni cambiano da servizio a servizio e nel tempo: nelle nostre schede trovi un riepilogo con il link alla pagina ufficiale.

• Cerca nelle impostazioni la voce sull'uso dei dati per l'addestramento o il miglioramento dei modelli e decidi se tenerla attiva.
• Verifica se esiste una modalità di chat temporanea o senza cronologia.
• Controlla come cancellare le conversazioni e l'account.
• Per l'uso in azienda preferisci piani business che prevedono un accordo sul trattamento dei dati (art. 28 GDPR) e verifica se i dati vengono trasferiti fuori dall'Unione europea (capo V del GDPR).

Se usi l'AI al lavoro

• Stabilisci quali strumenti sono ammessi e per quali attività, e spiegalo alle persone che li usano: l'AI Act chiede un livello sufficiente di alfabetizzazione sull'AI (art. 4).
• Se il trattamento può presentare un rischio elevato per le persone, valuta una valutazione d'impatto sulla protezione dei dati (DPIA, art. 35 GDPR).
• Informa clienti e dipendenti quando i loro dati vengono trattati con strumenti di AI, come richiedono gli articoli 13 e 14 del GDPR.
• Quando pubblichi immagini, audio o video generati o modificati con l'AI che sembrano reali, l'AI Act prevede obblighi di trasparenza (art. 50).

Il caso ChatGPT in Italia

Il Garante per la protezione dei dati personali è intervenuto più volte su ChatGPT. Nel marzo 2023 ha disposto una limitazione provvisoria del servizio in Italia. Il 20 dicembre 2024 ha chiuso l'istruttoria con una sanzione di 15 milioni di euro e l'obbligo di una campagna informativa di sei mesi. Secondo quanto indicato sul sito del Garante, il provvedimento è stato poi temporaneamente rimosso dopo la sentenza del Tribunale di Roma n. 4153/2026, pubblicata il 18 marzo 2026, che ha accolto l'opposizione di OpenAI.

A livello europeo, il Comitato europeo per la protezione dei dati (EDPB) ha adottato a dicembre 2024 il parere 28/2024 sull'uso dei dati personali nello sviluppo e nell'uso dei modelli di AI.

I tuoi diritti

• Puoi chiedere al fornitore l'accesso ai tuoi dati, la rettifica, la cancellazione e la limitazione del trattamento, e opporti al trattamento (articoli 15-21 GDPR).
• Se ritieni che i tuoi dati siano trattati in modo illecito puoi presentare un reclamo al Garante per la protezione dei dati personali (art. 77 GDPR).

In sintesi

• Tratta la chat come un luogo pubblico: niente dati di altri, dati sensibili o segreti aziendali.
• Controlla le impostazioni sull'uso dei dati prima di iniziare.
• Al lavoro usa strumenti approvati, con un accordo sul trattamento dei dati.
• Le regole cambiano: verifica sempre le fonti ufficiali indicate qui sotto.