Privacy e GDPR quando usi l’AI

Titolare e fornitori

Se usi API o SaaS AI per il sito, di solito sei titolare del trattamento per i dati che raccogli dai visitatori (chat, form arricchiti da AI) e responsabile verso i clienti se elabori loro dati tramite tool cloud. Il fornitore del modello è spesso responsabile del trattamento o sub-responsabile: serve contratto o DPA, elenco subprocessori e misure tecniche documentate. Non basta accettare i termini click-wrap senza leggerli: verifica retention, finalità secondarie e uso per addestramento.

Conserva la base giuridica per ogni flusso (contratto, consenso, legittimo interesse documentato) in modo separato dalla policy generica: in audit chiedono il percorso dei dati, non solo il link alla pagina privacy.

Dati nei prompt e chat

Vietato o da evitare fortemente: nomi, email, telefono, indirizzi, salute, codici fiscali, CV completi, ticket di supporto con dati personali, dump di database. Per bozze email usa placeholder. Se devi elaborare dati clienti (es. riassunto ticket), usa un ambiente con DPA, retention limitata e minimizzazione. Forma i dipendenti con scenari concreti: incollare un ticket cliente in una chat consumer è un errore tipico; offri template approvati senza dati personali o tool con DPA.

Documenta in privacy policy se usi l’AI per moderare commenti o recensioni: gli autori devono sapere che un sistema automatico (più eventuale revisione umana) tratta il testo prima della pubblicazione.

Base giuridica e trasparenza

Aggiorna informativa privacy: categorie dati, finalità (assistenza chat, personalizzazione), fornitori AI, periodo conservazione log chat, diritti interessato. Per marketing basato su AI valuta consenso o legittimo interesse con LIA. Cookie banner se il widget traccia o profila. Documenta DPIA se trattamento ad alto rischio (profilazione sistematica, dati sensibili).

Trasferimenti extra-UE

Molti modelli sono hostati negli USA: verifica SCC, Data Privacy Framework dove applicabile, opzione region EU su Azure/OpenAI/Google. Per chatbot sul sito preferisci hosting UE se il pubblico è prevalentemente italiano/EU e i messaggi contengono dati personali.

Cosa non incollare mai

VIETATO nei prompt/chat AI non approvati:
- Elenchi clienti, fatture, estratti conto
- Password, token API, chiavi private
- Cartelle cliniche o referti
- Conversazioni WhatsApp con identificativi
SOSTITUIRE con: “Cliente A”, “ordine #12345 (interno)” solo se il tool è in VPC con DPA

Chatbot e log

Definisci retention (es. 90 giorni), accesso solo al supporto autorizzato, anonimizzazione per analytics. Offri cancellazione su richiesta se associabile a una persona. Avvisa che le risposte sono automatiche e possono essere errate. Collega a policy correlate su AI Act e diritti quando usi sistemi ad alto impatto (raro su PMI base). Aggiorna il registro delle attività di trattamento con voce «strumenti AI» e valuta una DPIA semplificata se il chatbot tratta dati identificabili su larga scala.

Diritti degli interessati

Se conservi log chat con email o account utente, devi poter rispondere a richieste di accesso o cancellazione entro i termini GDPR. Mappa dove risiedono i log (dashboard del fornitore, export su storage) prima del go-live. Anonimizza gli IP se non servono per la sicurezza.

Per i dipendenti che usano l’AI su dati aziendali, prevedi una policy HR separata: sanzioni chiare sull’export di dati clienti verso tool non approvati.

Nel form contatto, evita un campo libero enorme se ogni invio viene analizzato dall’AI senza necessità: raccogli solo i campi necessari (minimizzazione dei dati).

Registro trattamenti e DPIA leggera

Aggiorna il registro delle attività di trattamento con la voce «strumenti AI» (finalità, categorie dati, retention, fornitore). Per molte PMI basta una DPIA semplificata documentata se il chatbot tratta dati identificabili su larga scala. Coinvolgi il DPO o un consulente privacy alla prima integrazione, non dopo un reclamo.

Verifica se il widget chat imposta cookie analytics di terze parti: potrebbe richiedere l’aggiornamento del banner e il consenso prima del caricamento degli script.

In caso di breach, se un log chat trapelasse hai 72 ore per valutare la notifica al garante: sapere dove sono i log è un prerequisito.

Errori comuni

• Widget chat senza aggiornamento privacy policy.
• Form che inviano tutti i campi a API AI senza necessità.
• Assumere «anonimo» perché il fornitore è noto.
• Nessuna formazione interna su dati nei prompt.

In breve

• DPA e subprocessori prima di produzione con dati reali.
• Minimizza PII nei prompt; piani enterprise senza training.
• Informativa e basi giuridiche aggiornate per chat e automazioni.
• Trasferimenti extra-UE documentati; preferisci region UE se possibile.
• Retention e diritti interessato sui log conversazione.