ChatGPT e GDPR: un'azienda può usare ChatGPT con dati personali?

ChatGPT, Copilot e altri servizi AIUltimo aggiornamento 11 ottobre 20262 min di lettura

In breve

ChatGPT si può usare in azienda secondo le regole del GDPR, ma non con i piani gratuiti o personali quando ci sono dati personali. Scegli ChatGPT Business o Enterprise: OpenAI per impostazione predefinita non si addestra sui tuoi dati e la nomina a responsabile del trattamento è inclusa. I dati sono trattati di norma negli USA; solo con Enterprise possono essere archiviati ed elaborati in UE. La via più sicura è che ChatGPT non veda mai i nomi veri: pseudonimizza i dati in UE prima di inviarli.

Provalo tu: cosa vede ChatGPT?

Scrivi un testo con nomi, numeri di telefono ed e-mail. Guarda cosa vedrebbe l'AI con GoalCube. Il testo non lascia il tuo browser.

Prova tuGoalCube Data Vault

Le cinque domande a cui devi saper rispondere

Quale piano usiamo e abbiamo una nomina a responsabile del trattamento?
OpenAI si addestra sui nostri dati?
Dove sono trattati i dati e qual è la base del trasferimento?
Quali dati personali inviamo – e sono necessari?
L'uso è nel nostro registro dei sistemi di AI e i dipendenti hanno fatto un corso?

Come si confronta ChatGPT con gli altri

Vedi il confronto dei servizi AI per Claude, Copilot, Mistral e Gemini.

Come fare

Scegli un piano business.Business o Enterprise – non Free o Plus per i dati di lavoro.
Verifica la nomina a responsabile.Per i clienti UE si stipula con OpenAI Ireland.
Verifica l'addestramento.I piani business per impostazione predefinita non usano i tuoi dati per addestrare i modelli.
Verifica dove sono trattati i dati.Di solito negli USA. Il trasferimento ha bisogno di una base giuridica.
Non inviare nomi se puoi evitarlo.Con GoalCube ChatGPT vede solo [PERSON_1].
Registra l'uso.Nel tuo registro dei sistemi di AI, con finalità e rischio.

Cosa dice la legge

Art. 28 GDPR – responsabili del trattamento: Obbligo di un contratto o altro atto giuridico con il responsabile del trattamento.
Art. 44–46 GDPR – trasferimenti: Il trasferimento verso gli USA richiede una base, per esempio il Data Privacy Framework o le clausole contrattuali tipo.
Art. 5, paragrafo 1, lettera c), GDPR – minimizzazione dei dati: Solo i dati necessari per il compito.

Domande e risposte

ChatGPT è «approvato GDPR»?

Non esiste un'approvazione GDPR per gli strumenti. Deve rispettare le regole il tuo uso: piano, contratto, finalità e minimizzazione dei dati.

OpenAI si addestra sui nostri dati?

Non per impostazione predefinita in Business ed Enterprise. Nei piani gratuiti e personali le conversazioni possono essere usate per l'addestramento, a meno che tu non lo disattivi.

I dati possono restare in UE?

Solo in Enterprise i nuovi workspace possono avere dati archiviati ed elaborati in UE. Con GoalCube i nomi veri non lasciano mai l'UE, qualunque sia il piano.

Fonti

A cura di Redazione GoalCube. Ultimo aggiornamento 11 ottobre 2026. GoalCube ti aiuta a rispettare l’AI Act e il GDPR. Non è consulenza legale.

Sii tra i primi.

Prevediamo di partire a novembre 2026. Iscriviti e ti scriveremo quando potrai iniziare.