AI e Privacy: Rischi e Come Proteggersi

Il problema privacy che molti ignorano

Ogni volta che scrivi qualcosa in ChatGPT, carichi un documento su un assistente AI o parli con un chatbot, stai condividendo dati. A volte sono dati banali ("scrivi una ricetta per la carbonara"). Ma molto spesso sono dati sensibili: email di lavoro, numeri di fatture, nomi di clienti, informazioni su trattative in corso, dati finanziari.

La domanda che pochi si pongono è: dove finiscono questi dati? Chi li vede? Per quanto tempo vengono conservati? Vengono usati per addestrare i modelli AI, rendendoli disponibili indirettamente ad altri utenti?

La buona notizia è che l'Europa ha le leggi sulla privacy più forti del mondo. Il GDPR è in vigore dal 2018, e l'AI Act europeo aggiunge un ulteriore livello di protezione specifico per i sistemi di intelligenza artificiale, con regole che entrano in vigore per gradi. La meno buona notizia è che la maggior parte delle persone non sa come applicare queste protezioni nella pratica quotidiana.

Cosa succede ai tuoi dati quando usi ChatGPT

Prendiamo l'esempio più concreto: ChatGPT, lo strumento AI più usato al mondo. Ecco cosa raccoglie OpenAI quando lo usi.

I dati che ChatGPT raccoglie

• Dati dell'account: nome, email, account collegati
• Contenuto dei prompt: tutto quello che scrivi, inclusi file e immagini caricate
• Dati tecnici: indirizzo IP, browser, tipo di dispositivo, posizione approssimativa
• Cronologia delle conversazioni: tutte le chat precedenti (a meno che tu non le elimini)

Come vengono usati

Ecco il punto critico: nei piani per privati (Free, Plus e Pro), OpenAI può usare le tue conversazioni per migliorare i propri modelli, a meno che tu non disattivi esplicitamente questa opzione. Significa che quello che scrivi potrebbe finire, in forma rielaborata, nel materiale di addestramento dei modelli futuri.

Nei piani per aziende (Business ed Enterprise), questa funzione è disattivata per impostazione predefinita. I dati non vengono usati per l'addestramento, e sono previsti controlli aggiuntivi sulla sicurezza e l'accesso.

La stessa logica vale per Claude (Anthropic), Gemini (Google) e gli altri assistenti AI: tutti raccolgono dati, e nelle versioni per privati quasi tutti li usano per l'addestramento se non lo disattivi tu. Leggere le privacy policy è importante, ma lo è ancora di più configurare correttamente le impostazioni.

Situazione a ottobre 2026

Ecco come si comportano i tre assistenti più usati. Le regole cambiano spesso: ricontrolla le impostazioni ogni tanto.

Attenzione a un dettaglio: anche con l'addestramento disattivato, se lasci un feedback (il pollice in su o in giù) su una risposta, quella conversazione può comunque essere usata per migliorare il modello.

I rischi concreti per professionisti e aziende

Per un uso personale e casuale, i rischi privacy dell'AI sono relativamente contenuti. Ma per i professionisti, le cose cambiano.

Violazione del segreto professionale

Un avvocato che incolla un contratto di un cliente in ChatGPT sta potenzialmente violando il segreto professionale. Un medico che descrive i sintomi di un paziente viola il segreto medico. Un commercialista che carica i bilanci di un'azienda cliente espone dati riservati.

Non importa che OpenAI dichiari di proteggere quei dati. Il punto è che il professionista sta trasferendo informazioni riservate a un soggetto terzo senza il consenso esplicito del cliente.

Violazione del GDPR

Se usi l'AI per elaborare dati personali di clienti, dipendenti o fornitori (nomi, email, numeri di telefono, dati finanziari), stai effettuando un trattamento di dati personali che deve rispettare il GDPR. Questo include:

• Avere una base giuridica per il trattamento
• Informare gli interessati
• Garantire la sicurezza dei dati
• Verificare che l'eventuale trasferimento dei dati fuori dall'UE (molti fornitori di AI sono americani) sia conforme

Fuga di dati aziendali

Un dipendente che usa ChatGPT per "riassumere le note della riunione strategica" sta potenzialmente esponendo informazioni riservate dell'azienda. Strategie di mercato, piani di lancio, dati finanziari non pubblici: tutto questo potrebbe finire nei sistemi di OpenAI.

Samsung ha vietato l'uso di ChatGPT ai propri dipendenti dopo che ingegneri avevano incollato codice sorgente proprietario nelle chat. Non è un caso isolato.

La normativa europea: GDPR e AI Act

Il GDPR e l'AI

Il GDPR si applica a qualsiasi trattamento di dati personali, incluso quello effettuato tramite sistemi AI. I principi chiave sono:

• Minimizzazione: raccogli solo i dati strettamente necessari
• Limitazione della finalità: usa i dati solo per lo scopo dichiarato
• Trasparenza: informa le persone su come vengono usati i loro dati
• Diritto alla cancellazione: le persone possono chiedere che i loro dati vengano eliminati

Quando usi un'AI per elaborare dati personali, tutti questi principi si applicano. Il Garante per la Privacy italiano è già intervenuto su ChatGPT: prima con il blocco temporaneo del 2023, poi con una sanzione di 15 milioni di euro a OpenAI a fine 2024 (sospesa dal Tribunale di Roma in attesa del giudizio). E continua a monitorare il settore.

L'AI Act europeo

L'AI Act, la legge europea sull'intelligenza artificiale, è il primo regolamento al mondo dedicato specificamente all'AI. Entrato in vigore ad agosto 2024, si applica per gradi. I divieti sono già operativi, e lo sono anche gli obblighi di trasparenza (per esempio dire alle persone che stanno parlando con un chatbot).

A luglio 2026 l'Unione Europea ha approvato una modifica (il cosiddetto "Digital Omnibus") che ha rinviato gli obblighi per i sistemi ad alto rischio: la scadenza principale è passata dal 2 agosto 2026 al 2 dicembre 2027, e al 2 agosto 2028 per l'AI integrata in prodotti già regolati (macchinari, dispositivi medici e simili).

L'AI Act classifica i sistemi AI per livello di rischio:

• Rischio inaccettabile: vietati (es. social scoring, manipolazione comportamentale)
• Alto rischio: soggetti a requisiti stringenti (es. AI per selezione del personale, credit scoring, sanità, giustizia)
• Rischio limitato: obblighi di trasparenza (es. chatbot, deepfake)
• Rischio minimo: nessun obbligo specifico (es. filtri antispam, raccomandazioni di contenuti)

Le sanzioni sono severe: fino a 35 milioni di euro o il 7% del fatturato mondiale annuo, superando persino le sanzioni del GDPR.

Come proteggersi: guida pratica

Impostazioni di privacy da attivare subito

Se usi ChatGPT, segui questi passaggi:

1. Disattiva l'addestramento: vai in Impostazioni > Controlli dati > disattiva "Migliora il modello per tutti". Questo impedisce che le tue conversazioni vengano usate per addestrare i modelli
2. Disattiva la memoria: nella sezione Personalizzazione delle impostazioni puoi spegnere la memoria se non vuoi che ChatGPT ricordi informazioni tra una conversazione e l'altra
3. Usa le chat temporanee: per conversazioni sensibili, usa la modalità chat temporanea. Non finiscono nella cronologia, non vengono usate per l'addestramento e vengono cancellate dai sistemi di OpenAI entro 30 giorni
4. Elimina le conversazioni: cancella regolarmente le conversazioni che contengono dati sensibili

Per Claude e Google Gemini trovi i passaggi equivalenti nella tabella più sopra. Tutti i principali assistenti AI offrono opzioni per limitare l'uso dei dati: il punto è ricordarsi di usarle.

Regole pratiche per l'uso professionale

• Mai dati personali di clienti: non inserire nomi, email, numeri di telefono, codici fiscali o altri dati identificativi
• Mai documenti riservati: contratti, bilanci, piani strategici, codice sorgente proprietario non vanno caricati sugli strumenti AI consumer
• Anonimizza prima di usare l'AI: se devi analizzare un contratto, sostituisci i nomi reali con nomi fittizi prima di incollarlo
• Usa piani aziendali: per un uso professionale serio, i piani Business/Enterprise di ChatGPT o i piani aziendali di Claude e Gemini offrono garanzie di privacy molto superiori
• Forma i dipendenti: stabilisci una policy aziendale sull'uso dell'AI e assicurati che tutti la conoscano

Per le aziende: prepararsi all'AI Act

Se la tua azienda usa sistemi AI, ecco i passaggi fondamentali:

1. Mappa i sistemi AI in uso: identifica tutti gli strumenti AI utilizzati in azienda, anche quelli usati informalmente dai dipendenti
2. Classifica il rischio: determina in quale categoria di rischio rientrano (la maggior parte degli usi aziendali rientra nel rischio limitato o minimo)
3. Aggiorna la documentazione: informativa privacy, registro dei trattamenti, DPIA se necessaria
4. Definisci una AI policy: regole chiare su cosa si può e cosa non si può fare con gli strumenti AI

Cosa puoi fare oggi

Azione 1: Controlla le impostazioni di ChatGPT (o dell'assistente AI che usi). Disattiva l'addestramento sui tuoi dati. Ci vogliono 30 secondi e protegge tutte le tue conversazioni future.

Azione 2: Anonimizza i dati sensibili. Prima di incollare qualsiasi documento in un'AI, sostituisci nomi, cifre, indirizzi e altri dati identificativi con informazioni fittizie. L'AI funziona ugualmente bene con dati anonimizzati.

Azione 3: Se sei un professionista con segreto professionale (avvocato, commercialista, medico), valuta un piano aziendale per gli strumenti AI che usi. La differenza tra un piano consumer e uno business in termini di privacy è enorme, e il costo aggiuntivo è trascurabile rispetto ai rischi.

Privacy e AI: un equilibrio necessario

L'intelligenza artificiale offre vantaggi enormi in termini di produttività e capacità. Ma questi vantaggi non giustificano il sacrificio della privacy, propria o dei propri clienti. L'Europa, con GDPR e AI Act, ha scelto una strada chiara: innovazione sì, ma con regole che proteggano i diritti fondamentali delle persone.

Per i professionisti italiani, il messaggio è semplice: usa l'AI, ma fallo in modo consapevole. Configura le impostazioni di privacy. Non inserire dati sensibili negli strumenti gratuiti. Forma il tuo team. E tieni d'occhio le scadenze dell'AI Act: per chi usa sistemi AI ad alto rischio le regole più stringenti arrivano a fine 2027, e conviene prepararsi per tempo.