Come gestiamo accesso e cancellazione quando i dati sono passati da un'AI?
In breve
Le persone hanno diritto di accedere ai dati che hai su di loro (art. 15 GDPR) e in certi casi di ottenerne la cancellazione (art. 17). Vale anche per prompt, risposte e report in cui è stata usata l'AI. Devi rispondere senza ingiustificato ritardo e al più tardi entro un mese. È molto più semplice quando il servizio di AI ha visto solo pseudonimi: i dati reali sono tutti da te, e cancellare la chiave elimina il collegamento.
Perché la pseudonimizzazione aiuta
Senza pseudonimizzazione il nome di una persona può trovarsi in cento conversazioni di un servizio di AI in cui non puoi cercare. Con GoalCube i dati reali sono tutti nell'UE, l'AI ha visto solo codici e trovi tutto su una persona in un unico posto.
Come fare
- Verifica l'identità.Ma non chiedere più del necessario.
- Trova i dati ovunque.Anche nei report dell'AI, nelle decisioni e nei log.
- Spiega le decisioni automatizzate.Se l'AI ha inciso su una decisione, va spiegata la logica.
- Rispondi entro un mese.Il termine si può prorogare di due mesi nei casi complessi, ma la persona va avvisata.
- Cancella quando manca una base giuridica.E ricorda la cronologia del servizio di AI.
Cosa dice la legge
- Artt. 12 e 15 GDPR – diritto di accesso
- Termine di un mese; informazioni sulle decisioni automatizzate.
- Art. 17 GDPR – diritto alla cancellazione
- Il diritto all'oblio, con eccezioni.
- Art. 86 dell'AI Act
- Diritto alla spiegazione del ruolo dell'AI nelle decisioni prese con AI ad alto rischio.
Domande e risposte
Dobbiamo cancellare i dati presso OpenAI o Anthropic?
Sì, se hanno dati personali che devi cancellare. Con la pseudonimizzazione hanno solo codici, e i codici non significano nulla senza la chiave che resta da te.
E il log di audit?
Un log delle decisioni può avere una base per essere conservato, per esempio come documentazione. Valutalo nella tua policy di conservazione.
Fonti
A cura di Redazione GoalCube. Ultimo aggiornamento 11 ottobre 2026. GoalCube ti aiuta a rispettare l’AI Act e il GDPR. Non è consulenza legale.
Sii tra i primi.
Prevediamo di partire a novembre 2026. Iscriviti e ti scriveremo quando potrai iniziare.