GDPR e intelligenza artificiale: cosa vale per le PMI

L'AI Act e il GDPR sono due leggi diverse che spesso si incontrano. La prima regola i sistemi di intelligenza artificiale; la seconda regola i dati personali, chiunque li tratti e con qualunque strumento.

Per una PMI il punto pratico è semplice: incollare in un assistente la mail di un cliente, il curriculum di un candidato o il verbale di una riunione è un trattamento di dati personali. Le regole che già conosci per gestionali e archivi valgono anche qui, con qualche attenzione in più. Questa pagina dà un orientamento generale; le scelte sul tuo caso vanno verificate con il tuo consulente privacy.

Cosa dice la norma

La legge italiana sull'intelligenza artificiale richiama espressamente il regolamento (UE) 2016/679, cioè il GDPR, e il codice privacy ¹. Chiede che il trattamento dei dati personali legato all'uso dell'AI avvenga in modo lecito, corretto e trasparente, e compatibile con le finalità per cui i dati sono stati raccolti ¹. Le informazioni alle persone vanno date con un linguaggio chiaro e semplice, in modo da far conoscere i rischi e il diritto di opporsi al trattamento dei propri dati ¹.

In pratica, per ogni uso dell'AI su dati personali conviene chiedersi quattro cose. Su quale base giuridica tratto questi dati? Le persone sono state informate? Il fornitore dello strumento è vincolato da un accordo sul trattamento? I dati restano protetti, anche rispetto all'addestramento dei modelli?

Sull'ultimo punto le condizioni cambiano molto tra versioni per privati e versioni aziendali. Per esempio, Google dichiara che in Workspace i dati non vengono usati per addestrare i modelli senza permesso, mentre OpenAI dichiara che i dati inviati tramite API non servono all'addestramento salvo scelta del cliente ^{2, 3}.

A chi si applica

• Ogni impresa che inserisce in strumenti di AI dati di clienti, fornitori, dipendenti o candidati.
• Chi costruisce chatbot o automazioni che raccolgono dati dalle persone.
• Professionisti che trattano dati delicati, come quelli sanitari o giudiziari.
• Chi usa l'AI per valutare o profilare persone.

Da quando

Il GDPR si applica a ogni trattamento, senza scadenze legate all'AI. La legge 132/2025, che collega espressamente intelligenza artificiale e protezione dei dati, è in vigore dal 10 ottobre 2025 ¹. Il momento giusto per i controlli è prima di introdurre uno strumento nuovo, non dopo averci caricato i dati.

Cosa fare in pratica

1. Fai l'elenco degli strumenti di AI che toccano dati personali e, per ciascuno, di quali dati si tratta.
2. Preferisci le versioni aziendali, verificando nelle pagine del fornitore cosa dichiarano su addestramento e conservazione.
3. Firma o accetta l'accordo sul trattamento dei dati offerto dal fornitore e conservalo.
4. Aggiorna l'informativa privacy indicando l'uso dell'AI dove serve.
5. Dai al personale una regola chiara su quali dati non vanno mai incollati negli assistenti.
6. Per usi delicati, come dati sanitari o valutazioni di persone, chiedi al consulente privacy se serve una valutazione d'impatto.

Gli errori da evitare

• Usare account personali gratuiti per lavorare su dati dei clienti.
• Pensare che un piano aziendale chiuda da solo tutte le questioni privacy.
• Caricare interi archivi in un assistente senza sapere dove finiscono.
• Dimenticare che anche i dati dei dipendenti sono dati personali.

Le altre norme spiegate senza burocratese sono in Regole.