Si possono usare ChatGPT, Copilot o Gemini con i dati dei clienti, ma non con qualsiasi versione. Le versioni per uso personale, gratuite o a pagamento, possono usare le conversazioni per addestrare i modelli e non nascono per un contratto di trattamento dati con un’azienda. Le versioni aziendali (ChatGPT Business ed Enterprise, Microsoft Copilot con account di lavoro, Gemini in Google Workspace) escludono l’addestramento per impostazione predefinita e si accompagnano a un accordo sul trattamento dei dati. Per il GDPR è questa la differenza che conta. Qui trovi cosa chiede la norma, un confronto tra versioni (condizioni verificate al 28 ottobre 2026) e quando ha senso un modello in locale.
Cosa chiede il GDPR quando usi uno strumento AI
Quando un collaboratore incolla in un assistente AI una email, un contratto o un estratto conto di un cliente, lo studio o l’azienda resta titolare del trattamento. Con le versioni aziendali coperte da un accordo sul trattamento dei dati, il fornitore tratta quei dati per conto dell’azienda come responsabile; con un account personale questo rapporto contrattuale con l’azienda manca. Dal Regolamento (UE) 2016/679 discendono quattro obblighi pratici.
- Scegliere fornitori affidabili (art. 28, par. 1). Il titolare “ricorre unicamente a responsabili del trattamento che presentino garanzie sufficienti” per misure tecniche e organizzative adeguate.
- Avere un contratto (art. 28, par. 3). Il trattamento da parte del fornitore deve essere disciplinato da un contratto che stabilisca, tra l’altro, oggetto, durata, natura e finalità del trattamento e tipo di dati. È il DPA (Data Processing Addendum) che i fornitori offrono per le versioni aziendali.
- Usare solo i dati necessari (art. 5, par. 1, lett. c). I dati devono essere “limitati a quanto necessario” rispetto alle finalità: per riassumere un contratto spesso non servono nomi, codici fiscali o IBAN.
- Sicurezza e valutazione d’impatto (artt. 32 e 35). Servono misure adeguate al rischio e, quando un trattamento con nuove tecnologie può presentare un rischio elevato per le persone, una valutazione d’impatto prima di iniziare.
Per gli studi professionali c’è un obbligo in più, di fonte nazionale: l’art. 13 della L. 132/2025 chiede di comunicare al cliente, con linguaggio chiaro, quali sistemi di AI vengono usati.
Versioni personali e aziendali a confronto
La tabella riassume le condizioni pubblicate dai fornitori. Le policy cambiano spesso: le date indicate sono quelle riportate sulle pagine ufficiali al momento della verifica.
| Strumento | Addestramento sui contenuti | Contratto e controlli | Note utili |
|---|---|---|---|
| ChatGPT Free, Plus, Pro | Possibile; si disattiva da Impostazioni › Controlli dei dati | La pagina sul DPA di OpenAI lo prevede per Business, Enterprise e API | Il feedback con il pollice può far usare l’intera conversazione anche dopo l’opt-out |
| ChatGPT Business | Escluso per impostazione predefinita | DPA disponibile; gli amministratori gestiscono la conservazione | Accesso alle conversazioni anche per revisori esterni, solo per abusi |
| ChatGPT Enterprise | Escluso per impostazione predefinita | DPA disponibile; conservazione decisa dagli amministratori | Residenza dei dati in Europa per i clienti idonei |
| Microsoft Copilot con account personale | Usato, salvo opt-out o categorie escluse | Non si applica agli account di lavoro | — |
| Microsoft Copilot con account di lavoro (Entra ID) | Prompt, risposte e dati di Microsoft Graph non addestrano i modelli di base | Impegni GDPR ed EU Data Boundary di Microsoft 365 | I modelli Anthropic sono esclusi dall’EU Data Boundary |
| App Gemini con account personale | Le chat servono a migliorare i servizi Google, modelli Gemini compresi; una parte è letta da revisori umani | Impostazione “Salva l’attività” | Con l’attività disattivata le chat restano 72 ore |
| Gemini in Google Workspace | Nessun addestramento senza permesso del cliente | I prompt sono dati del cliente secondo il Cloud Data Processing Addendum | Nessuna revisione umana delle chat nell’app Gemini |
OpenAI (ChatGPT)
Per i piani individuali OpenAI indica che i contenuti possono essere usati per addestrare i modelli e che ci si può opporre disattivando “Migliora il modello per tutti” in Impostazioni › Controlli dei dati; le chat temporanee non vengono usate per l’addestramento (OpenAI Help Center). Per Business, Enterprise e API la pagina Enterprise privacy (aggiornata all’8 gennaio 2026) esclude l’addestramento predefinito e prevede la firma di un DPA. La residenza dei dati in Europa è annunciata per ChatGPT Enterprise, Edu e API, non per Business.
Microsoft Copilot
Il nome è lo stesso, ma le regole dipendono dall’account. Le FAQ sulla privacy di Copilot per gli utenti privati indicano che Microsoft usa i dati di Copilot per l’addestramento, salvo opt-out o categorie escluse, e precisano che non si applicano a chi accede con un account Entra ID. Per gli account di lavoro, la documentazione Microsoft (aggiornata al 26 ottobre 2026) esclude l’addestramento dei modelli di base e conferma l’EU Data Boundary. C’è un’eccezione da conoscere: i modelli forniti da Anthropic sono esclusi dall’EU Data Boundary, e l’amministratore decide se attivarli.
Google Gemini
Per l’app Gemini con account personale, la pagina sulla privacy (aggiornata al 23 ottobre 2026) dice che un sottoinsieme delle chat è esaminato da revisori umani e invita a non inserire informazioni riservate. Con Gemini in Google Workspace Google dichiara che i dati del cliente non vengono usati per addestrare i modelli senza permesso e che i prompt sono dati del cliente secondo il Cloud Data Processing Addendum.
Regole pratiche per lo studio o l’azienda
- Niente account personali per lavoro. Le versioni personali non prevedono un contratto di trattamento dati con l’azienda, quello richiesto dall’art. 28.
- Leggi e conserva il DPA dello strumento scelto, insieme alla lista dei sub-responsabili.
- Configura le impostazioni dell’amministratore: conservazione delle conversazioni, connettori attivi, modelli di terze parti.
- Riduci i dati inseriti. Togli nomi, codici fiscali e IBAN quando non servono al compito.
- Scegli fornitori trasparenti sui dati di addestramento. L’EDPB ha osservato che un modello sviluppato con dati personali trattati illecitamente può incidere sulla liceità del suo utilizzo, salvo che il modello sia stato adeguatamente anonimizzato (parere 28/2024).
- Scrivi le regole in una policy e informa i clienti quando la legge lo richiede.
Il servizio di configurazione sicura e audit parte proprio da questi controlli. Per informativa e policy, vedi l’area compliance e normativa.
Quando ha senso un modello in locale
Un modello installato su un server nella sede dello studio elabora i testi senza inviarli a un servizio esterno. Può essere la scelta giusta quando:
- i documenti sono coperti da segreto professionale o da accordi di riservatezza che escludono servizi esterni;
- si trattano categorie di dati particolari, come quelli sanitari;
- il cliente chiede esplicitamente che i suoi dati non escano dall’azienda.
Restano comunque gli obblighi di sicurezza dell’art. 32: un server in sede va protetto, aggiornato e controllato come ogni altro sistema. Prima di decidere, conviene provare il modello locale sui propri documenti e confrontarne i risultati con quelli di un servizio cloud.
Domande frequenti
Se disattivo l’addestramento nella versione gratuita, sono in regola?
Non basta. Resta da verificare il contratto di trattamento dati richiesto dall’art. 28 GDPR, che OpenAI indica per Business, Enterprise e API, e restano gli obblighi di minimizzazione e sicurezza.
Anonimizzare i dati risolve il problema?
Riduce molto il rischio, ma togliere un nome non sempre rende un dato anonimo: dettagli come date, importi o luoghi possono rendere il cliente riconoscibile. Nel dubbio, tratta il testo come dato personale.
Copilot con l’account Microsoft 365 aziendale è già a posto?
Con un account di lavoro valgono gli impegni contrattuali di Microsoft 365, ma vanno controllati i permessi su SharePoint e Teams: Copilot mostra a ciascun utente tutto ciò che può già vedere.
Le condizioni dei fornitori possono cambiare?
Sì, e spesso. Le pagine citate qui riportano date di aggiornamento recenti: vanno ricontrollate prima di adottare uno strumento e almeno a ogni rinnovo.
Fonti
- EUR-Lex, Regolamento (UE) 2016/679 (GDPR), artt. 5, 28, 32, 35
- OpenAI Help Center, Come vengono utilizzati i tuoi dati per migliorare le prestazioni del modello
- OpenAI, Enterprise privacy at OpenAI
- OpenAI, Introducing data residency in Europe
- Microsoft Support, Privacy FAQ for Microsoft Copilot
- Microsoft Learn, Data, Privacy, and Security for Microsoft Copilot
- Google, Centro per la privacy delle app Gemini
- Google Workspace, Generative AI in Google Workspace Privacy Hub
- EDPB, Opinion on AI models: GDPR principles support responsible AI
- Normattiva, Legge 23 settembre 2025, n. 132, art. 13
Vuoi verificare come il tuo studio o la tua azienda usa oggi gli strumenti AI con i dati dei clienti? Richiedi una consulenza.
