Compliance
GDPR e intelligenza artificiale generativa: guida per il DPO
Redazione Delphis · Pubblicato il · 6 min di lettura
L'uso aziendale dell'intelligenza artificiale generativa rientra nel GDPR (Regolamento (UE) 2016/679) ogni volta che un assistente elabora dati personali: un nome in un'email da riassumere, un contratto con dati di controparti, un curriculum da confrontare, un ticket di assistenza da classificare. Questo articolo è informativo e non sostituisce un parere legale: serve a impostare le domande giuste con il DPO e con il consulente.
Quando un assistente generativo tratta dati personali?
Un assistente generativo tratta dati personali quando una persona scrive o incolla informazioni nel prompt, quando carica file o li collega da archivi aziendali, e quando l'output contiene o ricostruisce informazioni riferibili a persone identificabili. Anche cronologie e log possono contenere dati personali dei dipendenti.
Il perimetro si decide per caso d'uso. Riassumere un documento tecnico privo di riferimenti a persone è un conto, analizzare messaggi di clienti è un altro. Il primo passo è sapere quali strumenti sono in uso e per quali finalità.
Quale base giuridica si applica ai trattamenti con AI generativa?
Ogni trattamento richiede una base giuridica tra quelle dell'art. 6 del GDPR. L'azienda la individua per ciascuna finalità, non per lo strumento. Un assistente che aiuta a redigere risposte ai clienti si collega, di norma, alla stessa base del trattamento di partenza (esecuzione del contratto o legittimo interesse); un uso nuovo, come l'analisi di conversazioni per addestrare modelli, richiede una valutazione autonoma.
Se la base è il legittimo interesse, va documentato il bilanciamento con le aspettative delle persone. I dati raccolti per una finalità non si riutilizzano con un assistente per scopi diversi senza verificarne la compatibilità. Il consenso raramente è adatto nei rapporti di lavoro, per lo squilibrio tra le parti: è una valutazione da condividere con il consulente legale.
Che cosa cambia per l'informativa agli interessati?
Gli artt. 13 e 14 impongono di informare le persone su finalità, base giuridica, destinatari e trasferimenti. Se un assistente generativo diventa parte del trattamento, l'informativa deve riflettere la realtà: il fornitore compare tra i destinatari o le categorie di destinatari, e le finalità devono coprire l'uso effettivo.
In pratica occorre rivedere l'informativa a clienti e fornitori, quella ai dipendenti e il registro dei trattamenti, con cadenza fissa perché le funzioni attive cambiano. Lo stesso vale per gli obblighi di trasparenza dell'AI Act (Regolamento (UE) 2024/1689) quando una persona interagisce con un sistema di AI: i due piani si sovrappongono e conviene gestirli insieme.
Come si applica la minimizzazione ai prompt?
L'art. 5 chiede che i dati siano adeguati, pertinenti e limitati a quanto necessario. Nei prompt si scontra con l'abitudine di incollare tutto: email con firma e recapiti, contratti completi, fogli con colonne anagrafiche inutili.
Misure concrete di minimizzazione:
- Definire in policy quali categorie di dati non vanno mai inserite negli assistenti, o solo in strumenti approvati.
- Pseudonimizzare o rimuovere i dati identificativi prima dell'invio, quando la finalità lo consente.
- Limitare i connettori verso archivi aziendali ai soli repository necessari, con permessi coerenti con quelli degli utenti.
- Formare le persone su esempi reali del proprio ruolo, non su regole astratte.
Una policy scritta bene riduce il problema alla fonte: ne parla l'articolo su come scrivere una policy AI aziendale.
Il fornitore dell'assistente è responsabile del trattamento?
Nell'uso aziendale tipico, l'azienda è titolare e il fornitore è responsabile del trattamento: tratta i dati per conto dell'azienda e secondo le sue istruzioni. L'art. 28 richiede un contratto o altro atto giuridico che regoli, tra l'altro, oggetto e durata, tipologia di dati, misure di sicurezza, ricorso a sub-responsabili, assistenza per i diritti degli interessati, cancellazione o restituzione a fine rapporto.
La qualifica non è automatica e dipende dalle condizioni effettive. Un account aziendale si colloca in modo diverso da un account personale usato per lavoro, dove l'azienda non ha alcun accordo. Da verificare sui termini contrattuali, non sul nome del prodotto:
- se esiste un accordo sul trattamento dei dati e quale ne è il contenuto;
- se i contenuti degli utenti possono servire ad addestrare i modelli del fornitore;
- i tempi di conservazione di prompt e conversazioni;
- chi sono i sub-responsabili e dove operano.
Quando serve la DPIA per l'AI generativa?
La valutazione d'impatto sulla protezione dei dati (DPIA) dell'art. 35 è obbligatoria quando un trattamento può presentare un rischio elevato per i diritti e le libertà delle persone. Non esiste una regola che la imponga per ogni uso di un assistente generativo, e nemmeno una che la escluda.
Elementi che spingono verso una DPIA:
- trattamento su larga scala di dati personali;
- dati di categorie particolari o relativi a persone vulnerabili, compresi i lavoratori;
- uso di nuove tecnologie con effetti sulle persone, come selezione del personale o valutazione di clienti;
- combinazione di archivi diversi tramite connettori.
Conviene decidere per caso d'uso, tracciando la decisione anche quando la DPIA non serve. Un registro dei casi d'uso è la base per farlo in modo ordinato. Nei casi che rientrano tra i sistemi ad alto rischio dell'AI Act, la valutazione GDPR si affianca agli obblighi dei deployer.
Che cosa dice il GDPR sui trasferimenti extra UE?
Il capo V del GDPR consente il trasferimento di dati personali verso paesi terzi solo a condizioni precise: una decisione di adeguatezza, garanzie adeguate come le clausole contrattuali standard, o altri strumenti previsti. Molti fornitori di AI generativa hanno sede o infrastrutture fuori dall'Unione, o ricorrono a sub-responsabili che lo sono.
Domande da porre al fornitore e da annotare:
- In quale regione vengono elaborati e conservati prompt, file e log?
- Esistono opzioni di residenza dei dati nell'Unione e sono attive nel proprio contratto?
- Quali strumenti di trasferimento sono utilizzati e con quali sub-responsabili?
- Il personale del fornitore può accedere ai contenuti, e quando?
La risposta incide sia sulla DPIA sia sul rapporto con la sicurezza delle informazioni, che per i soggetti rientranti nella NIS2 aggiunge la gestione del rischio sulla catena di fornitura: ne parla l'articolo su NIS2 e intelligenza artificiale.
Checklist per il DPO sull'AI generativa
- Censire strumenti e casi d'uso di AI generativa in uso, inclusi quelli non autorizzati (shadow AI).
- Per ciascun caso d'uso, indicare le categorie di dati personali coinvolte e le persone interessate.
- Associare una base giuridica per finalità e documentarla nel registro dei trattamenti.
- Verificare che le informative a clienti, fornitori e dipendenti descrivano l'uso effettivo.
- Controllare l'accordo con il fornitore secondo l'art. 28: istruzioni, sicurezza, sub-responsabili, cancellazione.
- Verificare uso dei contenuti per addestramento e tempi di conservazione.
- Mappare località di trattamento e strumenti di trasferimento extra UE.
- Decidere e motivare per iscritto se serve la DPIA, e riesaminarla quando cambia l'uso.
- Definire una policy sui dati ammessi nei prompt e formare le persone.
- Fissare una revisione periodica di strumenti, funzioni e termini contrattuali.
Dove si colloca Delphis
Delphis è una piattaforma indipendente dai fornitori di AI che collega spesa, adozione, impatto e obblighi normativi. Per il tema GDPR offre una vista per strumento e caso d'uso su ciò che il DPO deve sapere: quali assistenti sono in uso, in quali reparti, con quale intensità, e quali obblighi si applicano a ciascuno. La mappatura normativa aiuta a capire obblighi e gap, ma non è un parere legale. Per approfondire, vedi la pagina Compliance.
Fonti
Domande frequenti
- Il GDPR si applica all'uso di ChatGPT, Copilot o Claude in azienda?
- Sì, quando i prompt, i documenti caricati o gli output contengono dati personali di clienti, dipendenti o terzi. Il titolare del trattamento è l'azienda che decide di usare lo strumento, non il fornitore.
- Il fornitore dell'assistente è responsabile del trattamento?
- Nell'uso aziendale tipico sì, e serve un accordo ai sensi dell'art. 28 del GDPR che ne definisca istruzioni, misure di sicurezza e sub-fornitori. Il ruolo va verificato caso per caso sui termini contrattuali e sulle funzionalità attivate.
- Serve sempre una DPIA per usare l'AI generativa?
- No. La valutazione d'impatto (art. 35) è richiesta quando il trattamento presenta un rischio elevato per le persone, ad esempio per scala, tipologia di dati o finalità. Va decisa per caso d'uso, non per strumento.
- Come si evita che dati personali finiscano nei prompt?
- Con una policy chiara su cosa si può inserire, formazione mirata, configurazioni aziendali dei tool e un presidio sull'uso di account personali. La minimizzazione si ottiene con regole e strumenti insieme.
Vuoi vederlo sui tuoi strumenti AI?
Una demo sui tuoi casi d'uso, con il nostro team e senza impegno.
Richiedi la mappa dei tuoi obblighi