Nomina a responsabile del trattamento (DPA) con il fornitore di AI: cosa controllare?
In breve
Quando un servizio di AI tratta dati personali per conto tuo, è un responsabile del trattamento e serve un contratto ai sensi dell'art. 28 GDPR (la nomina a responsabile, o DPA). I grandi servizi includono un DPA standard nei piani business. Controlla soprattutto: che i dati siano trattati solo secondo le tue istruzioni (niente addestramento), dove vengono trattati e su quale base sono trasferiti, i sub-responsabili, la cancellazione e la sicurezza. I piani gratuiti e personali di solito non hanno alcun DPA.
A che punto sono i grandi servizi
| Servizio | Piani | Si addestra sui tuoi dati? | Dati in UE? | Accordo sul trattamento dei dati? | Connettori propri? |
|---|---|---|---|---|---|
| ChatGPT OpenAI, USA | Business (ex Team) ed Enterprise | No. Di default i dati aziendali non vengono usati per l’addestramento. | Solo Enterprise: i nuovi workspace possono avere i dati archiviati ed elaborati nell’UE. Non Business. | Sì. L’accordo sul trattamento dei dati fa parte del contratto (OpenAI Ireland per i clienti UE). | Sì. Connettori propri tramite la modalità sviluppatore; li attiva un amministratore. |
| Claude Anthropic, USA | Team ed Enterprise | No. I dati non vengono usati per l’addestramento, a meno che l’azienda non dia il consenso. | No. I dati sono archiviati negli USA; non si può scegliere l’archiviazione nell’UE. | Sì. L’accordo sul trattamento dei dati è incluso automaticamente nelle condizioni commerciali. | Sì. Un proprietario aggiunge connettori propri per tutta l’organizzazione. |
| Microsoft 365 Copilot Microsoft, USA | Componente aggiuntivo di Microsoft 365 per le aziende | No. Prompt, risposte e dati aziendali non vengono usati per l’addestramento. | Sì, entro l’EU Data Boundary. Per i nuovi clienti UE, però, le richieste possono essere elaborate fuori dall’UE nei picchi di carico (flex routing), funzione che si può disattivare. | Sì. Coperto dalle condizioni dei prodotti e dall’accordo sul trattamento dei dati di Microsoft. | Sì, tramite agenti in Copilot Studio. Requisiti di licenza non confermati. |
| Vibe (tidl. Le Chat) Mistral AI, Francia | Pro, Team ed Enterprise | Pro e Team: sì di default; un amministratore deve disattivarlo. Enterprise: no. | Server nell’UE (Svezia). Alcune funzioni possono inviare dati fuori dall’UE; solo Enterprise può disattivarle. | Sì. Non è confermato se copra anche Pro e Team. | Sì. Un amministratore può aggiungere connettori propri. |
| Gemini i Google Workspace Google, USA | Workspace Business ed Enterprise | No. I dati di Workspace e i prompt non vengono usati per l’addestramento senza autorizzazione. | Archiviazione ed elaborazione nell’UE solo con Enterprise Plus o con l’opzione Data Regions. Business: solo archiviazione. | Sì. Un amministratore deve accettarlo nella Console di amministrazione, se non è già nel contratto. | Non confermato per Gemini in Workspace. |
Verificato 9 ottobre 2026. I piani gratuiti e personali (ChatGPT Free/Plus, Claude Free/Pro, l’app Gemini, Vibe Free) non hanno un accordo sul trattamento dei dati e possono addestrarsi sui dati. Non sono adatti ai dati personali dell’azienda.
La trappola: l'AI dentro gli altri strumenti
Molti strumenti hanno aggiunto funzioni di AI: CRM, contabilità, posta elettronica. Controlla che il DPA copra anche la funzione di AI e se questa invia dati a un sub-responsabile come OpenAI o Anthropic.
Come fare
- Istruzioni.I dati servono solo a fornirti il servizio, non all'addestramento.
- Luogo e trasferimento.Dove vengono trattati i dati, e su quale base?
- Sub-responsabili.Chi sono, e come vieni avvisato dei cambiamenti?
- Cancellazione e conservazione.Per quanto tempo vengono conservati prompt e risposte?
- Sicurezza e violazioni.Quali misure, e in quanto tempo vieni avvisato di una violazione?
Cosa dice la legge
- Art. 28 GDPR – responsabile del trattamento
- Il paragrafo 3 elenca cosa deve contenere il contratto.
- Clausole contrattuali tipo della Commissione (2021/915) – art. 28
- Clausole standard utilizzabili come contratto con il responsabile del trattamento.
Domande e risposte
ChatGPT ha un DPA?
Sì, nei piani Business ed Enterprise. Per i clienti UE si stipula con OpenAI Ireland.
Dobbiamo firmare qualcosa con Anthropic?
Il DPA fa parte automaticamente delle condizioni commerciali di Anthropic.
GoalCube è un responsabile del trattamento?
Sì. GoalCube tratta dati personali per tuo conto nell'UE e stipula un DPA. Il servizio di AI riceve solo pseudonimi.
Fonti
A cura di Redazione GoalCube. Ultimo aggiornamento 11 ottobre 2026. GoalCube ti aiuta a rispettare l’AI Act e il GDPR. Non è consulenza legale.
Sii tra i primi.
Prevediamo di partire a novembre 2026. Iscriviti e ti scriveremo quando potrai iniziare.