Un dipendente ha inserito dati personali in ChatGPT. E adesso?
In breve
Mantieni la calma e agisci in fretta. Scopri quali dati sono stati inviati, a quale servizio e con quale piano. Cancella la conversazione e disattiva l'addestramento. Valuta se si tratta di una violazione dei dati personali (data breach): se è probabile che comporti un rischio per le persone, va notificata al Garante privacy entro 72 ore. Se il rischio è elevato, vanno avvisate anche le persone. Documenta sempre l'accaduto, anche quando non va notificato, e impara dall'errore.
Cosa conta nella valutazione?
| Aumenta il rischio | Riduce il rischio |
|---|---|
| Dati sensibili, codici fiscali, numeri di conto | Solo nomi ed email di lavoro |
| Molte persone | Poche persone |
| Piano gratuito con addestramento | Piano business senza addestramento e con DPA |
| I dati non si possono cancellare | La conversazione è cancellata |
Meglio prevenire
Con GoalCube i dipendenti possono usare l'AI su dati reali, perché l'AI vede solo codici. E se un nome finisce comunque nella risposta dell'AI, il controllo anti-fuga di GoalCube se ne accorge.
Come fare
- Blocca altre condivisioni.Chiedi al dipendente di fermarsi e di salvare uno screenshot.
- Definisci la portata.Quali dati, quante persone, quale servizio e quale piano.
- Limita il danno.Cancella la conversazione, disattiva l'addestramento e, se possibile, contatta il fornitore.
- Valuta il rischio.Dati sensibili, codici fiscali o molte persone aumentano il rischio.
- Notifica, se c'è un rischio.Al Garante privacy entro 72 ore da quando sei venuto a conoscenza della violazione.
- Documenta e impara.Ogni violazione va documentata internamente. Aggiorna policy e corso.
Cosa dice la legge
- Art. 33 GDPR – notifica all'autorità di controllo
- Entro 72 ore, a meno che sia improbabile che la violazione presenti un rischio.
- Art. 34 GDPR – comunicazione all'interessato
- In caso di rischio elevato per i diritti delle persone.
Domande e risposte
È sempre una violazione?
Non sempre. Se i dati sono finiti in un piano business con DPA, forse è più un errore di finalità che una violazione. Valuta caso per caso.
Come evitiamo che succeda di nuovo?
Una buona alternativa: uno strumento approvato in cui l'AI vede solo pseudonimi, così non importa se il dipendente usa dati reali.
Fonti
A cura di Redazione GoalCube. Ultimo aggiornamento 11 ottobre 2026. GoalCube ti aiuta a rispettare l’AI Act e il GDPR. Non è consulenza legale.
Sii tra i primi.
Prevediamo di partire a novembre 2026. Iscriviti e ti scriveremo quando potrai iniziare.