Possiamo inviare dati personali a un'AI americana? I trasferimenti secondo il GDPR
In breve
Sì, ma solo con una base giuridica. Se il fornitore americano di AI aderisce all'EU-US Data Privacy Framework (decisione della Commissione di luglio 2023), il trasferimento può basarsi su quello. Altrimenti si usano le clausole contrattuali tipo con una valutazione del trasferimento. Nel settembre 2025 il Tribunale dell'UE ha confermato il Data Privacy Framework, ma la causa è stata impugnata davanti alla Corte di giustizia. La via più sicura è lasciare i nomi reali nell'UE: pseudonimizza prima di inviare i dati e tieni la chiave presso di te.
Tre strade
| Strada | Cosa richiede | Rischio |
|---|---|---|
| Data Privacy Framework | Il fornitore aderisce al framework | Dipende dalla causa davanti alla Corte di giustizia |
| Clausole contrattuali tipo | Contratto e valutazione del trasferimento | Richiede lavoro e documentazione |
| I nomi restano nell'UE | Pseudonimizzazione nell'UE prima dell'AI | Il più basso, ma per te restano dati personali |
Come GoalCube tiene i nomi nell'UE
| Cliente | Città | Argomento | |
|---|---|---|---|
| Federica Fontana | federica.fontana@example.com | Bologna | Rimborso |
| Matteo Colombo | matteo.colombo@example.com | Torino | Consegna |
| Elena Moretti | elena.moretti@example.com | Parma | Reclamo |
| Luca Gallo | luca.gallo@example.com | Cagliari | Consegna |
| Stefano Ferrari | stefano.ferrari@example.com | Bergamo | Rimborso |
Richiesta Buongiorno, sono Federica Fontana. Ho restituito l'ordine 7012345678 due settimane fa, ma non ho ancora ricevuto il rimborso. Potete accreditarlo su IT23 K020 0802 4210 0010 4827 316? Cordiali saluti, Federica
| Cliente | Città | Argomento | |
|---|---|---|---|
| [PERSON_1] | [EMAIL_1] | [STED] | Rimborso |
| [PERSON_2] | [EMAIL_2] | [STED] | Consegna |
| [PERSON_3] | [EMAIL_3] | [STED] | Reclamo |
| [PERSON_4] | [EMAIL_4] | [STED] | Consegna |
| [PERSON_5] | [EMAIL_5] | [STED] | Rimborso |
Richiesta Buongiorno, sono [PERSON_1]. Ho restituito l'ordine [ID_1] due settimane fa, ma non ho ancora ricevuto il rimborso. Potete accreditarlo su [IBAN_1]? Cordiali saluti, [PERSON_1]
Federica Fontana e Stefano Ferrari aspettano un rimborso e vanno ricontattati oggi. Luca Gallo aspetta un pacco da 10 giorni. Bozza di risposta per Federica Fontana: "Buongiorno Federica Fontana, grazie per la pazienza. Il rimborso è in arrivo e sarà sul suo conto entro 5 giorni lavorativi."
[PERSON_1] e [PERSON_5] aspettano un rimborso e vanno ricontattati oggi. [PERSON_4] aspetta un pacco da 10 giorni. Bozza di risposta per [PERSON_1]: "Buongiorno [PERSON_1], grazie per la pazienza. Il rimborso è in arrivo e sarà sul suo conto entro 5 giorni lavorativi."
| Candidato | Nato il | Codice fiscale | Datore di lavoro | Esperienza |
|---|---|---|---|---|
| Valentina Greco | 1985-03-12 | GRCVNT85C52Z000K | Cartiera Valdarno Srl | 12 |
| Davide Lombardi | 1992-11-02 | LMBDVD92S02Z000H | Logistica Adriatica Srl | 4 |
| Silvia Barone | 1988-06-21 | BRNSLV88H61Z000T | Metalmeccanica Friulana Srl | 9 |
| Roberto Serra | 1979-01-30 | SRRRRT79A30Z000W | Farmaceutica Tirrena SpA | 18 |
CV Valentina Greco lavora da 12 anni su budget e report mensili alla Cartiera Valdarno Srl. Ha introdotto un nuovo sistema ERP e coordina un team di tre persone. Contatto: valentina.greco@example.com.
| Candidato | Nato il | Codice fiscale | Datore di lavoro | Esperienza |
|---|---|---|---|---|
| [PERSON_1] | 40–49 anni | [ID_1] | [VIRKSOMHED_1] | 12 |
| [PERSON_2] | 30–39 anni | [ID_2] | [VIRKSOMHED_2] | 4 |
| [PERSON_3] | 30–39 anni | [ID_3] | [VIRKSOMHED_3] | 9 |
| [PERSON_4] | 40–49 anni | [ID_4] | [VIRKSOMHED_4] | 18 |
CV [PERSON_1] lavora da 12 anni su budget e report mensili alla [VIRKSOMHED_1]. Ha introdotto un nuovo sistema ERP e coordina un team di tre persone. Contatto: [EMAIL_1].
Conviene fissare un colloquio con Valentina Greco e Silvia Barone, che hanno più di 5 anni di esperienza; chiedi a Silvia Barone dell'esperienza con i sistemi ERP. Davide Lombardi ha 4 anni di esperienza, ne servono 5. La decisione spetta a una persona.
Conviene fissare un colloquio con [PERSON_1] e [PERSON_3], che hanno più di 5 anni di esperienza; chiedi a [PERSON_3] dell'esperienza con i sistemi ERP. [PERSON_2] ha 4 anni di esperienza, ne servono 5. La decisione spetta a una persona.
| Fornitore | Referente | Conto | Scadenza |
|---|---|---|---|
| Componenti Brianza Srl | Paolo Vitale | IT60 S030 6909 6061 0000 0062 831 | 2027-01-31 |
| Cloud Adriatico Srl | Marta Leone | IT78 D020 0805 3640 0010 4563 921 | 2026-12-31 |
| Precisione Padana Srl | Simone Fabbri | IT97 Z010 0503 2000 0000 0058 274 | 2028-06-30 |
| Imballaggi Salentini Srl | Nicoletta Barbieri | IT45 F050 3401 6000 0000 0417 385 | 2027-03-31 |
Condizioni Componenti Brianza Srl fornisce componenti speciali per il Progetto Cristallo. Il prezzo viene adeguato ogni anno all'indice dei prezzi al consumo più il 3 %. La responsabilità è limitata al 10 % del valore annuo del contratto. Per modifiche rivolgetevi a Paolo Vitale.
| Fornitore | Referente | Conto | Scadenza |
|---|---|---|---|
| [VIRKSOMHED_1] | [PERSON_1] | [IBAN_1] | 2027-01-31 |
| [VIRKSOMHED_2] | [PERSON_2] | [IBAN_2] | 2026-12-31 |
| [VIRKSOMHED_3] | [PERSON_3] | [IBAN_3] | 2028-06-30 |
| [VIRKSOMHED_4] | [PERSON_4] | [IBAN_4] | 2027-03-31 |
Condizioni [VIRKSOMHED_1] fornisce componenti speciali per il [PROJEKT_1]. Il prezzo viene adeguato ogni anno all'indice dei prezzi al consumo più il 3 %. La responsabilità è limitata al 10 % del valore annuo del contratto. Per modifiche rivolgetevi a [PERSON_1].
Il contratto con Componenti Brianza Srl si rinnova da solo se non viene disdetto entro il 31 ottobre. È importante per un progetto interno, quindi conviene rinegoziare il prezzo invece di disdire. Anche il contratto con Imballaggi Salentini Srl si rinnova da solo; la scadenza per la disdetta è il 31 dicembre.
Il contratto con [VIRKSOMHED_1] si rinnova da solo se non viene disdetto entro il 31 ottobre. È importante per un progetto interno, quindi conviene rinegoziare il prezzo invece di disdire. Anche il contratto con [VIRKSOMHED_4] si rinnova da solo; la scadenza per la disdetta è il 31 dicembre.
Dati fittizi. A sinistra ciò che resta nell'UE; a destra ciò che vede l'AI negli USA.
L'AI negli USA vede [PERSON_1], non Federica Fontana. La chiave è presso GoalCube nell'UE, e i nomi vengono reinseriti nella risposta solo da te.
Come fare
- Scopri dove vengono trattati i dati.Guarda il contratto del fornitore e il tuo piano.
- Verifica la base giuridica.Adesione al Data Privacy Framework o clausole contrattuali tipo.
- Invia il meno possibile.Nomi, email e codici fiscali raramente servono.
- Tieni la chiave nell'UE.Con la pseudonimizzazione nell'UE i nomi reali non lasciano l'UE.
- Abbi un piano B.Se il Data Privacy Framework cade, devi poter continuare.
Cosa dice la legge
- Artt. 44–49 GDPR – trasferimenti di dati personali verso paesi terzi
- Trasferimento solo con una decisione di adeguatezza, garanzie adeguate o deroghe.
- Decisione (UE) 2023/1795 – EU-US Data Privacy Framework
- Decisione di adeguatezza per le aziende americane aderenti, dal 10 luglio 2023.
- Decisione (UE) 2021/914 – clausole contrattuali tipo
- Clausole standard per il trasferimento verso paesi terzi.
Domande e risposte
Il Data Privacy Framework è ancora valido?
Sì, a ottobre 2026. Il Tribunale dell'UE ha respinto un ricorso nel settembre 2025, ma la sentenza è stata impugnata davanti alla Corte di giustizia (causa C-703/25 P). Tieniti aggiornato e abbi un piano B.
È un trasferimento se l'AI vede solo pseudonimi?
I dati pseudonimizzati restano dati personali per te, quindi le regole valgono. Ma il rischio per le persone è molto più basso quando i nomi reali e la chiave restano nell'UE.
E l'EU Data Boundary di Microsoft?
Tiene la maggior parte dei dati nell'UE, ma controlla le eccezioni come il flex routing per Copilot.
Fonti
- Decisione (UE) 2023/1795 su EUR-Lex
- Data Privacy Framework: elenco delle aziende aderenti
- Garante per la protezione dei dati personali
A cura di Redazione GoalCube. Ultimo aggiornamento 11 ottobre 2026. GoalCube ti aiuta a rispettare l’AI Act e il GDPR. Non è consulenza legale.
Sii tra i primi.
Prevediamo di partire a novembre 2026. Iscriviti e ti scriveremo quando potrai iniziare.