Possiamo usare ChatGPT, Claude o Copilot sui dati personali?
In breve
Sì, può essere lecito, ma solo se hai una base giuridica, usi solo i dati necessari, hai una nomina a responsabile del trattamento con il fornitore di AI e tieni sotto controllo i trasferimenti fuori dall'UE. La strada più sicura è far lavorare l'AI senza i nomi veri: pseudonimizza i dati prima di inviarli e tieni la chiave presso di te in UE. Per te i dati pseudonimizzati restano dati personali.
Cosa dice il GDPR?
Il GDPR non vieta l'AI. Ma valgono le stesse regole di quando usi i dati personali in altri modi:
- Ti servono una base giuridica e una finalità chiara.
- Puoi usare solo i dati necessari per l'attività (minimizzazione dei dati).
- Se il fornitore di AI tratta i dati per tuo conto, ti serve una nomina a responsabile del trattamento.
- Se i dati vanno in un Paese fuori dall'UE, il trasferimento deve avere una base specifica.
La parte difficile è la minimizzazione. Se chiedi all'AI di smistare le richieste dei clienti, le serve ciò che il cliente scrive – non il suo nome, la sua email, il suo numero di telefono e il suo numero di conto.
Fai lavorare l'AI senza i nomi veri
Pseudonimizzare significa sostituire nomi, email, codici identificativi e altri dati con codici fissi, per esempio [PERSON_1], prima di inviarli all'AI. La chiave resta a te. Quando torna la risposta, i nomi veri vengono reinseriti – ma solo presso di te.
Ecco come si presenta in GoalCube Data Vault. A sinistra ci sono i tuoi dati, che restano in UE. A destra c'è ciò che vede l'AI.
| Cliente | Città | Argomento | |
|---|---|---|---|
| Federica Fontana | federica.fontana@example.com | Bologna | Rimborso |
| Matteo Colombo | matteo.colombo@example.com | Torino | Consegna |
| Elena Moretti | elena.moretti@example.com | Parma | Reclamo |
| Luca Gallo | luca.gallo@example.com | Cagliari | Consegna |
| Stefano Ferrari | stefano.ferrari@example.com | Bergamo | Rimborso |
Richiesta Buongiorno, sono Federica Fontana. Ho restituito l'ordine 7012345678 due settimane fa, ma non ho ancora ricevuto il rimborso. Potete accreditarlo su IT23 K020 0802 4210 0010 4827 316? Cordiali saluti, Federica
| Cliente | Città | Argomento | |
|---|---|---|---|
| [PERSON_1] | [EMAIL_1] | [STED] | Rimborso |
| [PERSON_2] | [EMAIL_2] | [STED] | Consegna |
| [PERSON_3] | [EMAIL_3] | [STED] | Reclamo |
| [PERSON_4] | [EMAIL_4] | [STED] | Consegna |
| [PERSON_5] | [EMAIL_5] | [STED] | Rimborso |
Richiesta Buongiorno, sono [PERSON_1]. Ho restituito l'ordine [ID_1] due settimane fa, ma non ho ancora ricevuto il rimborso. Potete accreditarlo su [IBAN_1]? Cordiali saluti, [PERSON_1]
Federica Fontana e Stefano Ferrari aspettano un rimborso e vanno ricontattati oggi. Luca Gallo aspetta un pacco da 10 giorni. Bozza di risposta per Federica Fontana: "Buongiorno Federica Fontana, grazie per la pazienza. Il rimborso è in arrivo e sarà sul suo conto entro 5 giorni lavorativi."
[PERSON_1] e [PERSON_5] aspettano un rimborso e vanno ricontattati oggi. [PERSON_4] aspetta un pacco da 10 giorni. Bozza di risposta per [PERSON_1]: "Buongiorno [PERSON_1], grazie per la pazienza. Il rimborso è in arrivo e sarà sul suo conto entro 5 giorni lavorativi."
| Candidato | Nato il | Codice fiscale | Datore di lavoro | Esperienza |
|---|---|---|---|---|
| Valentina Greco | 1985-03-12 | GRCVNT85C52Z000K | Cartiera Valdarno Srl | 12 |
| Davide Lombardi | 1992-11-02 | LMBDVD92S02Z000H | Logistica Adriatica Srl | 4 |
| Silvia Barone | 1988-06-21 | BRNSLV88H61Z000T | Metalmeccanica Friulana Srl | 9 |
| Roberto Serra | 1979-01-30 | SRRRRT79A30Z000W | Farmaceutica Tirrena SpA | 18 |
CV Valentina Greco lavora da 12 anni su budget e report mensili alla Cartiera Valdarno Srl. Ha introdotto un nuovo sistema ERP e coordina un team di tre persone. Contatto: valentina.greco@example.com.
| Candidato | Nato il | Codice fiscale | Datore di lavoro | Esperienza |
|---|---|---|---|---|
| [PERSON_1] | 40–49 anni | [ID_1] | [VIRKSOMHED_1] | 12 |
| [PERSON_2] | 30–39 anni | [ID_2] | [VIRKSOMHED_2] | 4 |
| [PERSON_3] | 30–39 anni | [ID_3] | [VIRKSOMHED_3] | 9 |
| [PERSON_4] | 40–49 anni | [ID_4] | [VIRKSOMHED_4] | 18 |
CV [PERSON_1] lavora da 12 anni su budget e report mensili alla [VIRKSOMHED_1]. Ha introdotto un nuovo sistema ERP e coordina un team di tre persone. Contatto: [EMAIL_1].
Conviene fissare un colloquio con Valentina Greco e Silvia Barone, che hanno più di 5 anni di esperienza; chiedi a Silvia Barone dell'esperienza con i sistemi ERP. Davide Lombardi ha 4 anni di esperienza, ne servono 5. La decisione spetta a una persona.
Conviene fissare un colloquio con [PERSON_1] e [PERSON_3], che hanno più di 5 anni di esperienza; chiedi a [PERSON_3] dell'esperienza con i sistemi ERP. [PERSON_2] ha 4 anni di esperienza, ne servono 5. La decisione spetta a una persona.
| Fornitore | Referente | Conto | Scadenza |
|---|---|---|---|
| Componenti Brianza Srl | Paolo Vitale | IT60 S030 6909 6061 0000 0062 831 | 2027-01-31 |
| Cloud Adriatico Srl | Marta Leone | IT78 D020 0805 3640 0010 4563 921 | 2026-12-31 |
| Precisione Padana Srl | Simone Fabbri | IT97 Z010 0503 2000 0000 0058 274 | 2028-06-30 |
| Imballaggi Salentini Srl | Nicoletta Barbieri | IT45 F050 3401 6000 0000 0417 385 | 2027-03-31 |
Condizioni Componenti Brianza Srl fornisce componenti speciali per il Progetto Cristallo. Il prezzo viene adeguato ogni anno all'indice dei prezzi al consumo più il 3 %. La responsabilità è limitata al 10 % del valore annuo del contratto. Per modifiche rivolgetevi a Paolo Vitale.
| Fornitore | Referente | Conto | Scadenza |
|---|---|---|---|
| [VIRKSOMHED_1] | [PERSON_1] | [IBAN_1] | 2027-01-31 |
| [VIRKSOMHED_2] | [PERSON_2] | [IBAN_2] | 2026-12-31 |
| [VIRKSOMHED_3] | [PERSON_3] | [IBAN_3] | 2028-06-30 |
| [VIRKSOMHED_4] | [PERSON_4] | [IBAN_4] | 2027-03-31 |
Condizioni [VIRKSOMHED_1] fornisce componenti speciali per il [PROJEKT_1]. Il prezzo viene adeguato ogni anno all'indice dei prezzi al consumo più il 3 %. La responsabilità è limitata al 10 % del valore annuo del contratto. Per modifiche rivolgetevi a [PERSON_1].
Il contratto con Componenti Brianza Srl si rinnova da solo se non viene disdetto entro il 31 ottobre. È importante per un progetto interno, quindi conviene rinegoziare il prezzo invece di disdire. Anche il contratto con Imballaggi Salentini Srl si rinnova da solo; la scadenza per la disdetta è il 31 dicembre.
Il contratto con [VIRKSOMHED_1] si rinnova da solo se non viene disdetto entro il 31 ottobre. È importante per un progetto interno, quindi conviene rinegoziare il prezzo invece di disdire. Anche il contratto con [VIRKSOMHED_4] si rinnova da solo; la scadenza per la disdetta è il 31 dicembre.
Dati fittizi. Punta su un nome o su uno pseudonimo per vedere cosa va insieme.
Nota che anche il genere viene reso neutro. Raramente conta per l'attività, e non deve poter influenzare una valutazione.
Prova tu stesso
Scrivi o incolla un testo. Aggiungi le tue parole riservate – per esempio il nome di un progetto o di un cliente importante – e guarda cosa riceverebbe l'AI.
Cosa la pseudonimizzazione non risolve
La pseudonimizzazione è uno strumento potente, ma non risolve tutto:
- Per te i dati restano dati personali. Ti servono comunque base giuridica, accordi e regole sulla cancellazione.
- Il testo libero può rivelare una persona. "La nostra unica ingegnera a Bergamo" è riconoscibile anche senza nome. Per questo GoalCube mostra un rischio di reidentificazione per ogni record.
- L'AI può comunque sbagliare. Le decisioni sulle persone le deve prendere una persona – leggi l'articolo sulla decisione umana secondo l'art. 22 GDPR.
Come fare
- Annota l'uso.In cosa deve aiutarti l'AI e quali dati deve usare? È il primo passo sia per il GDPR sia per l'AI Act.
- Controlla base giuridica e finalità.Ti serve una base giuridica per trattare i dati, e la nuova finalità deve essere compatibile con quella per cui sono stati raccolti.
- Controlla il fornitore di AI.Hai una nomina a responsabile del trattamento? Il fornitore usa i tuoi dati per addestrare i suoi modelli? Dove vengono trattati i dati?
- Togli ciò che all'AI non serve.Nomi, email, codici fiscali, numeri di conto e indirizzi raramente servono per svolgere l'attività. Sostituiscili con pseudonimi prima di inviare i dati.
- Tieni la chiave in UE.Mostra i nomi veri solo presso di te, per esempio quando torna la risposta dell'AI.
- Valuta una valutazione d'impatto.Se l'AI valuta in modo sistematico, per esempio, candidati o dipendenti, una valutazione d'impatto (DPIA) può essere obbligatoria.
Cosa dice la legge
- Art. 5 GDPR – principi
- Tra gli altri limitazione della finalità e minimizzazione dei dati: usa solo i dati necessari per lo scopo.
- Art. 4, punto 5), e considerando 26 GDPR – pseudonimizzazione
- Dati che non si possono attribuire a una persona senza una chiave conservata separatamente. Chi ha la chiave tratta ancora dati personali.
- Art. 25 e 32 GDPR – protezione dei dati fin dalla progettazione e sicurezza
- La pseudonimizzazione è citata espressamente come misura che può proteggere gli interessati.
- Art. 28 GDPR – responsabile del trattamento
- Se un fornitore tratta dati personali per tuo conto, serve una nomina a responsabile del trattamento.
- Art. 35 GDPR – valutazione d'impatto
- Obbligatoria quando un trattamento può presentare un rischio elevato, per esempio la valutazione sistematica di persone.
- Art. 44 GDPR – trasferimenti fuori dall'UE
- I dati personali possono andare in Paesi fuori da UE/SEE solo su una base specifica, per esempio una decisione di adeguatezza o le clausole contrattuali tipo.
Domande e risposte
I dati pseudonimizzati sono anonimi?
No. Finché qualcuno – per esempio tu stesso – ha la chiave per risalire ai nomi veri, i dati restano dati personali secondo il GDPR. La pseudonimizzazione riduce il rischio, ma non ti esonera dalle regole.
Possiamo incollare un CV direttamente in ChatGPT?
Può essere lecito con una base giuridica e un accordo con il fornitore, ma un CV contiene molto che all'AI non serve: nome, indirizzo, età e spesso genere. Sono proprio i dati che possono influenzare una valutazione. Toglili o sostituiscili prima con pseudonimi.
L'AI si addestra sui nostri dati?
Dipende dal servizio e dal tuo contratto. Molte versioni business per impostazione predefinita non usano i dati dei clienti per l'addestramento, ma verifica il tuo contratto e le tue impostazioni.
E se il fornitore è fuori dall'UE?
Allora il trasferimento deve avere una base specifica. Con la pseudonimizzazione in UE i nomi veri non lasciano mai l'UE – l'AI riceve solo pseudonimi.
Vale anche per i dati aziendali riservati?
Il GDPR riguarda solo i dati personali, ma lo stesso metodo protegge anche nomi dei clienti, contratti, prezzi e nomi di progetti interni. In GoalCube puoi inserire le tue parole riservate, che vengono sempre nascoste.
Fonti
A cura di Redazione GoalCube. Ultimo aggiornamento 11 ottobre 2026. GoalCube ti aiuta a rispettare l’AI Act e il GDPR. Non è consulenza legale.
Sii tra i primi.
Prevediamo di partire a novembre 2026. Iscriviti e ti scriveremo quando potrai iniziare.