L’AI Act non fa paura
se sai cosa guardare

Non con dati dell’azienda, qualunque sia lo strumento. Con un account personale non c’è nessun contratto fra azienda e fornitore, e le conversazioni dei piani personali possono finire nell’addestramento dei modelli, salvo che l’utente lo disattivi. Con un piano aziendale (Copilot con l’account di lavoro, ChatGPT Business o Enterprise, Claude for Work, le API) i dati non servono ad addestrare i modelli, salvo scelta esplicita, c’è un accordo sul trattamento dei dati e l’amministratore decide chi entra. Anche Gemini e Grok hanno versioni per le aziende: le condizioni vanno lette prima di sceglierle, con le stesse domande. Fonti: OpenAI, Anthropic, piani commerciali, Anthropic, piani personali.

Sì, nell’informativa privacy. Il fornitore AI che tratta i dati per conto tuo è un destinatario dei dati, e il GDPR chiede di indicare a chi passano, anche solo per categorie, e se escono dall’UE con quali garanzie (articoli 13 e 14). Basta una voce del tipo “fornitori di servizi informatici, compresi strumenti di intelligenza artificiale”, più un accordo sul trattamento dei dati con il fornitore. Di norma non serve un consenso apposta, se l’AI serve allo stesso scopo per cui hai i dati. Per i professionisti c’è un obbligo in più: dire al cliente quali sistemi di AI si usano nella prestazione (legge 132/2025, art. 13). E se anonimizzi prima di caricare, il problema non si pone.

Non in assoluto, ma per chi usa già Microsoft 365 è il più semplice da mettere in regola: con l’account di lavoro lavora sotto il contratto già firmato per SharePoint, OneDrive e Outlook, e prompt e documenti letti non servono ad addestrare i modelli. Attenzione a una cosa: Copilot mostra tutto ciò che l’utente può vedere, e lo stesso vale per qualsiasi strumento collegato alle cartelle aziendali, quindi una cartella stipendi aperta a tutti salta fuori alla prima domanda. Prima di attivarlo si rivedono i permessi. Fonte: Microsoft, dati e privacy di Copilot.

Dipende dal fornitore e dal piano. Copilot aziendale rientra nell’EU Data Boundary di Microsoft, con due eccezioni dichiarate: le ricerche sul web e i modelli di Anthropic disponibili dentro Copilot (fonte). OpenAI offre la conservazione dei dati in Europa per alcuni piani e configurazioni, da scegliere all’apertura dell’area di lavoro. Se per voi è un requisito, va verificato prima di firmare, per qualsiasi fornitore. L’unico modo perché i dati non escano affatto è un modello in locale, installato su un computer o un server dell’azienda (per esempio con Ollama): richiede hardware adatto e un minimo di competenza tecnica.

No. Trasferire dati a un fornitore negli Stati Uniti è lecito con le garanzie del GDPR: l’adesione al Data Privacy Framework UE-USA, riconosciuto dalla Commissione nel 2023, oppure le clausole contrattuali standard, più un DPA firmato. Il GDPR si viola in modi più banali: dati di terzi su account personali, nessun accordo con il fornitore, dati sanitari senza valutazione d’impatto, informativa che non cita l’AI. Due rischi residui: il ricorso contro il Data Privacy Framework è ancora pendente, e i fornitori americani sono soggetti al CLOUD Act, che può obbligarli a consegnare dati alle autorità USA anche se conservati altrove.

Su un account personale no, se il bilancio non è pubblico. Su un piano aziendale con DPA sì, meglio ancora dopo aver tolto nomi e cifre che non servono all’analisi.

È la cosiddetta shadow AI: quando l’azienda non fornisce uno strumento, le persone usano il proprio, e i dati escono senza contratto e senza controllo. La responsabilità del trattamento resta dell’azienda. Vietare non funziona, sposta solo il problema dove nessuno lo vede. Funzionano tre cose insieme: uno strumento aziendale sicuro, una policy scritta anche di una pagina, un team formato.