Un commerciale ti mostra una slide con la parola «Enterprise» in maiuscolo, un lucchetto e tre loghi di certificazioni. Concludi che i tuoi dati sono coperti e firmi. È il momento esatto in cui la maggior parte delle aziende europee si assume un rischio legale che non ha valutato. Perché «enterprise» è un’etichetta di marketing, non una clausola di contratto —e il GDPR non si rispetta con un bollino, si rispetta con un’architettura.
IA generativa e GDPR: perché il marchio «enterprise» non ti protegge
Il GDPR ti si applica dal primo minuto, e si applica a te, non al tuo fornitore. Sei tu il titolare del trattamento: se metti dati personali dei tuoi clienti o del tuo team in uno strumento di IA generativa, la legge si aspetta che tu sappia dove finiscono quei dati, chi li tratta e con quali garanzie. Il fornitore è, nel migliore dei casi, il tuo responsabile del trattamento —e lo è davvero solo se c’è un contratto che lo dice. L’etichetta «enterprise» descrive un piano tariffario; non descrive cosa succede al tuo dato una volta uscito dalla tua organizzazione.
La distinzione conta perché le sanzioni non sono teoriche. L’articolo 83 del GDPR prevede multe fino a 20 milioni di euro o al 4% del fatturato annuo globale, a seconda di quale sia maggiore, per le violazioni più gravi. Nessuno ti multa per aver usato l’IA; possono multarti per aver trattato dati personali senza base giuridica, senza contratto di trattamento, o trasferendoli fuori dallo Spazio Economico Europeo senza garanzie. Un lucchetto su una slide non copre questo rischio.
Quello che il tuo fornitore non ti dice (e nemmeno tu chiedi)
Non è che mentano. È che le domande scomode non escono nella demo, e nemmeno tu le fai perché la parola «enterprise» ti ha già tranquillizzato. Ecco quelle che restano senza risposta:
- Dove vengono archiviati e trattati fisicamente i miei dati? Nell’UE, o negli Stati Uniti con «misure equivalenti»?
- Il fornitore addestra i suoi modelli con quello che gli mando? Su quale piano esattamente smette, e come lo verifico?
- Per quanto tempo conserva i miei dati, e chi può leggerli in quel periodo (inclusi revisori umani per «abuso»)?
- Quali sub-responsabili ci sono sotto? Un fornitore di IA raramente tratta da solo: c’è l’hosting, il logging, il monitoraggio, e ognuno è un’altra azienda che tocca il tuo dato.
- C’è un contratto di trattamento (DPA) firmato, o solo termini di servizio che accetto con un clic?
Dove vive il tuo dato conta più di quale modello usa
La conversazione pubblica sull’IA gira attorno al modello: quale è più sveglio, quale allucina meno. Per il GDPR, il modello è quasi irrilevante. Quello che conta è la geografia e la catena di custodia del dato. Se il tuo fornitore tratta su server statunitensi, entri nel terreno dei trasferimenti internazionali: ti serve una base di legittimità (una decisione di adeguatezza, clausole contrattuali standard) e, dopo anni di scossoni giuridici proprio su questo tema, è meglio che quella base sia documentata e non data per scontata.
È qui che l’architettura batte l’etichetta. Due strumenti con lo stesso modello sotto possono avere profili di rischio opposti a seconda di dove ospitano il dato, se lo cifrano in transito e a riposo, e se ti lasciano scegliere una regione. La domanda non è «il tuo prodotto è sicuro?» —a quello ti dicono sempre di sì. La domanda è «dove, esattamente, viene trattato questo dato specifico, e me lo metti per iscritto?».
«Non addestriamo con i tuoi dati»: leggi le clausole in piccolo
È la frase star di ogni demo. E di solito è vera —con condizioni—. Molti fornitori non addestrano con i tuoi dati sui piani a pagamento per aziende, ma lo fanno sui piani gratuiti o individuali che il tuo team usa per conto suo senza che tu lo sappia. La fuga di dati raramente arriva dal contratto aziendale; arriva dal commerciale che incolla l’elenco clienti nella versione gratuita per «scrivere un’email più in fretta». Il «non addestriamo con i tuoi dati» del contratto non copre l’account personale che qualcuno ha aperto martedì.
GDPR non è l’AI Act (e tutti e due ti si applicano)
Meglio non confonderli. Il GDPR regola i dati personali e ti si applica oggi, senza periodo di grazia, che tu usi l’IA o no. L’AI Act regola i sistemi di IA in base al loro livello di rischio e arriva a fasi: gli obblighi di trasparenza (avvisare che l’utente parla con un’IA, etichettare i contenuti generati) iniziano ad applicarsi ad agosto 2026, mentre buona parte degli obblighi per i sistemi ad alto rischio per uso è stata rinviata —secondo l’accordo provvisorio di maggio 2026— a dicembre 2027. Traduzione pratica: non aspettare l’AI Act per mettere in ordine i tuoi dati. Il GDPR ti obbliga già, ed è quello che porta le multe grandi.
La sicurezza la decide la tua architettura, non il tuo fornitore
È il nocciolo della questione. Puoi acquistare lo strumento più «enterprise» del mercato e restare comunque fuori norma, perché la conformità non è solo nel prodotto che compri: è in come lo monti. Quali dati lasci entrare, quali campi anonimizzi prima, chi ha accesso, cosa viene registrato, cosa viene conservato, dove metti il limite tra ciò che il sistema fa da solo e ciò che passa da una persona. Questa è architettura, ed è tua. Il fornitore ti vende un motore; l’auto la monti tu, e sei tu a rispondere se esce di strada.
Per questo la parte noiosa —la governance del dato— è quella che davvero ti protegge. Sapere quale informazione sensibile hai, dove vive, chi la tocca e con quale contratto non è burocrazia: è la differenza tra usare l’IA con la rete e usarla alla cieca. Se non hai quella mappa, disegnarla è il primo lavoro, prima di scegliere un modello. Noi la trattiamo per quello che è —infrastruttura— nel servizio di governance del dato: sapere quali dati hai, dove vivono e chi li tocca, e la blindiamo con sicurezza pensata per i sistemi di IA, non solo per la rete classica.
Cosa chiedere prima di firmare
Non serve essere avvocati per non firmare alla cieca. Prima di mettere dati personali in qualsiasi strumento di IA generativa, esigi risposte per iscritto su questo:
- Regione di trattamento e archiviazione: UE sì o no, e mi lasci sceglierla?
- Un DPA firmato conforme all’articolo 28, con elenco dei sub-responsabili incluso.
- Politica di addestramento e conservazione: cosa fai col mio dato, quanto lo tieni, come lo cancello.
- Trasferimenti internazionali: se esce dal SEE, con quale base legale e quali garanzie documentate.
- Accesso umano: chi, dalla tua parte, può leggere le mie conversazioni e in quali circostanze.
E in parallelo, metti in ordine il tuo: una policy d’uso chiara perché il tuo team sappia cosa può e cosa non può incollare in una chat. Lo sviluppiamo nel dettaglio nella guida su come impostare la policy d’uso di ChatGPT nella tua azienda, dentro la guida madre su usare ChatGPT in azienda senza teatro e senza brutte sorprese. Lo strumento più caro non ti salva da una policy che non esiste.