ChatGPT in azienda: GDPR, privacy e compliance
Adottare ChatGPT in un'azienda italiana richiede attenzione al GDPR, alla privacy dei dipendenti e alle linee guida del Garante. Ecco cosa serve sapere nel 2026.
Garante Privacy e ChatGPT: stato attuale
Dopo il blocco temporaneo del 2023, OpenAI ha implementato le misure richieste dal Garante italiano: informativa pubblica, possibilità di opt-out dal training, verifica eta, diritto di cancellazione. ChatGPT e' utilizzabile in Italia, ma le aziende restano titolari del trattamento dei dati che inviano al servizio.
Ruoli GDPR
- OpenAI: responsabile del trattamento (su Team/Enterprise tramite DPA firmato)
- Azienda cliente: titolare del trattamento
- Dipendenti: utenti finali, devono ricevere informativa interna
Cosa NON inserire in ChatGPT (consumer/Plus)
- Dati personali di clienti senza consenso o base giuridica
- Dati sanitari, giudiziari o categorie particolari art. 9 GDPR
- Documenti coperti da segreto professionale
- Codici sorgente proprietari critici
- Credenziali, password, API key, dati bancari
Cosa cambia con Team ed Enterprise
- OpenAI firma Data Processing Agreement (DPA)
- Dati esclusi dal training del modello by default
- Storage geografico configurabile (Enterprise: EU data residency disponibile)
- SOC 2 Type 2 + ISO 27001 certificati
- Audit log e SCIM provisioning
Checklist compliance
- Nominare un referente interno AI/privacy
- Aggiornare il Registro dei trattamenti includendo l'uso di ChatGPT
- Sottoscrivere DPA con OpenAI (Team/Enterprise)
- Redigere policy interna d'uso (cosa si puo/non si puo fare)
- Formare i dipendenti su prompt sicuri
- Implementare DLP (Data Loss Prevention) su browser aziendali
- Valutare DPIA se trattate dati su larga scala
AI Act europeo
Il Regolamento UE 2024/1689 (AI Act) e' in vigore con applicazione progressiva. Per ChatGPT (modello di general purpose AI) gli obblighi ricadono prevalentemente su OpenAI, ma le aziende devono:
- Identificare se l'uso e' a "rischio limitato", "alto" o vietato
- Informare gli utenti che stanno interagendo con un'AI
- Garantire trasparenza su decisioni automatizzate che impattano persone
Diritti degli interessati
Se inserite dati personali altrui in ChatGPT, gli interessati possono esercitare:
- Diritto di accesso (art. 15)
- Diritto alla cancellazione (art. 17) — OpenAI ha modulo dedicato
- Opposizione al trattamento (art. 21)
Policy d'uso interna: punti chiave
- Lista approvata di task per cui usare ChatGPT
- Divieto esplicito di caricare dati sensibili
- Obbligo di verifica output prima dell'uso
- Conservazione log conversazioni rilevanti per audit
- Sanzioni in caso di violazione
Vuoi adottare ChatGPT in azienda in modo conforme? G Tech Group guida la tua organizzazione su privacy, policy e training. Contattaci per una consulenza.