// guida · dati e AI

I tuoi dati aziendali e l'AI: cosa puoi caricare senza rischi

01 · 09 · 2026 — GUIDA: DATI E AICosa puoi caricare davvero in una chat AI

Hai il preventivo di un cliente aperto sullo schermo e vorresti farlo sistemare all'AI. Il dito è sul copia, e ti fermi: ma questo posso incollarlo? È la domanda più frequente che mi fanno le partite IVA da quando usano questi strumenti tutti i giorni, e di solito riceve due risposte, entrambe inutili. La prima è «tranquillo, non guarda nessuno». La seconda è «l'AI è vietata dal GDPR». Sono false tutte e due. La verità è che esiste una riga netta fra ciò che puoi incollare senza pensarci e ciò che non deve uscire dall'azienda — e in mezzo c'è una zona grigia che si risolve con trenta secondi di lavoro. Questa guida ti dà la riga, il metodo e le impostazioni da controllare stasera.

1 · Dove finisce davvero quello che incolli in chat

Quando premi invio, il testo esce dal tuo computer e arriva sui server del fornitore. Lì succedono tre cose diverse, e conviene tenerle separate. La prima: la conversazione viene salvata, perché serve a farti riprendere il discorso e resta nella cronologia finché non la cancelli. La seconda: in alcuni casi i tuoi contenuti servono ad addestrare i modelli — è la parte che spaventa, ed è anche l'unica che puoi spegnere con un interruttore. La terza: una quota di conversazioni può essere letta da revisori umani per controlli di qualità e sicurezza, di solito in forma ridotta e anonimizzata.

La regola pratica: sui piani gratuiti e personali l'addestramento è quasi sempre attivo di partenza, sui piani a pagamento per aziende quasi sempre no, ma la parola «quasi» va sciolta guardando le impostazioni del tuo account, non un articolo — le condizioni cambiano ogni pochi mesi. Cerca la voce che parla di miglioramento del modello o training e spegnila. Nella stessa schermata trovi di solito anche la conservazione della cronologia: se puoi ridurla, riducila.

Perché ti riguarda: è l'unica mossa di questa guida che dura cinque minuti e vale per tutto quello che farai nei prossimi due anni. Falla adesso su ogni assistente che usi, compresi quelli dentro gli strumenti che già paghi, e rifalla quando cambi piano — passando da gratuito a pagamento le impostazioni non si portano dietro da sole. E se in azienda siete in più di uno, controlla anche i loro account: la riservatezza è una catena, la spezza l'anello distratto.

2 · La lista nera: cosa non incollare mai

Questa parte è corta apposta, perché deve stare in testa senza ripassi. Fuori dalla chat restano sempre e comunque: anagrafiche complete di clienti, fornitori e dipendenti (nome, indirizzo, codice fiscale, telefono, IBAN messi insieme); certificati medici, referti, buste paga, contratti di lavoro, dati su cause e precedenti penali — sono le categorie che il GDPR protegge di più e che ti espongono di più; password, chiavi API, credenziali di accesso e codici a due fattori, che non vanno incollati da nessuna parte, AI o no; documenti coperti da accordo di riservatezza, listini e contratti di terzi, perché lì il problema non è il Garante ma la firma che hai messo sull'NDA. Aggiungo una voce che sfugge sempre: gli screenshot. Una schermata del gestionale contiene tutta la riga del cliente anche se a te interessava solo la colonna del totale.

Perché ti riguarda: il criterio unico da ricordare quando sei di fretta è questo — se non lo manderesti per mail a uno sconosciuto educato, non lo incolli in un servizio che non controlli. Vale anche per la posta: un assistente collegato alla casella aziendale legge tutto quello che c'è dentro, non solo la mail che stai scrivendo. Se stai valutando di dargli quel tipo di accesso, gli agenti AI per aziende si montano al contrario di come li vendono: permessi minimi, azioni approvate, un registro di quello che hanno fatto.

3 · Anonimizzare in trenta secondi: il metodo

Qui sta il trucco che risolve il 90% dei casi reali, ed è banale: al modello il nome del tuo cliente non serve. Sostituisci «Rossi Costruzioni srl» con «Cliente A», «Bianchi» con «Fornitore B», togli partita IVA, indirizzi, telefoni e IBAN, e se gli importi sono delicati arrotondali o scalali tutti per lo stesso fattore. Poi incolli. La risposta che ottieni è identica — l'AI sta lavorando sulla struttura del testo, non sull'anagrafica — ma quello che è uscito dall'azienda non è più riconducibile a nessuno.

Due accortezze per farlo bene. La prima: anonimizza prima di incollare, non dopo. Chiedere all'AI di «togliere i dati sensibili» da un testo che le hai già dato è come chiudere il rubinetto dopo l'allagamento — glieli hai comunque mandati. La seconda: attenzione ai dati che identificano anche senza nome. In un paese di tremila abitanti «l'unico ristorante con la terrazza sul lago» è un nome e cognome. Se il caso è così specifico da riconoscersi da solo, cambia i dettagli o cambia strumento.

Perché ti riguarda: con l'anonimizzazione la zona grigia sparisce quasi tutta. Preventivi, offerte, mail difficili, contratti da spiegare, analisi di vendite: tutto diventa caricabile, purché ripulito. Ed è un'abitudine che si impara in una settimana — dopo la fai senza accorgertene, come mettere la cintura.

4 · GDPR in pratica: chi risponde se qualcosa esce

La cosa più importante da sapere è anche la meno intuitiva: davanti al Garante risponde la tua azienda, non il fornitore dell'AI. Nel linguaggio del GDPR tu sei il titolare del trattamento, chi ti fornisce lo strumento è il responsabile. Da questo discendono tre adempimenti concreti, e nessuno dei tre è complicato. Uno: se nell'AI passano dati di persone — clienti, dipendenti, contatti — serve un contratto che nomini il fornitore responsabile del trattamento (i servizi seri lo mettono a disposizione da firmare online, spesso solo sui piani business). Due: l'informativa privacy e il registro dei trattamenti vanno aggiornati, perché è comparso un nuovo strumento che tratta quei dati. Tre: va guardato dove stanno i server e se i dati escono dall'Unione Europea, perché in quel caso servono le garanzie previste per i trasferimenti.

Poi c'è la parte che il GDPR non copre ma che ti costa uguale: l'AI Act europeo chiede trasparenza su quando il contenuto è generato dall'AI, e i doveri più stringenti riguardano gli usi ad alto rischio — selezione del personale, valutazione del credito, cose così. Se usi l'AI per scrivere e organizzare, sei lontanissimo da quella zona. Se la usi per decidere su delle persone, quello è il momento di sentire un avvocato vero: io scrivo software, non pareri legali, e la differenza conta.

Perché ti riguarda: non è burocrazia astratta, è la differenza fra un controllo che si chiude in mezz'ora e uno che diventa un problema. Se sei una piccola impresa la fatica reale è meno di quanto sembri: un contratto da firmare, due paragrafi da aggiungere all'informativa, una riga nel registro. Se preferisci partire da una mappa di cosa stai già trattando e come, è esattamente il primo pezzo di una consulenza AI per PMI fatta bene.

5 · Quando il dato è davvero sensibile: le alternative

Esistono lavori in cui il dato serve dentro per intero e anonimizzarlo non ha senso: lo studio medico, il consulente del lavoro, chi gestisce pratiche legali, chi lavora su un archivio clienti completo. In quei casi non si tratta di stare più attenti, si tratta di cambiare strumento. Le opzioni sono tre, in ordine di sforzo. Piano business con contratto: costa qualche decina di euro al mese per utente, e in cambio hai la nomina a responsabile, niente addestramento sui tuoi contenuti e amministrazione centralizzata. Conservazione azzerata: alcuni fornitori, sui piani per aziende o via API, permettono di non conservare nulla dopo la risposta — la conversazione sparisce, la cronologia non esiste. Modello che gira in casa tua: un modello aperto installato sul computer dell'ufficio o su un server tuo; oggi la qualità è più che sufficiente per riassumere, classificare e riscrivere, e il dato non esce fisicamente dalla stanza.

Perché ti riguarda: la terza opzione è quella che quasi nessuno considera e che risolve il problema alla radice, soprattutto se il lavoro delicato è sempre lo stesso e ripetitivo. Si monta una volta, si collega a quello che già usi e poi la domanda «posso incollarlo?» smette proprio di esistere. È lo stesso ragionamento con cui si progettano le automazioni AI in azienda: il dato resta dov'è, si muove solo il risultato.

In sintesi

Spegni l'addestramento e accorcia la cronologia nelle impostazioni, tieni fuori dalla chat anagrafiche complete, dati sanitari e giudiziari, credenziali e documenti sotto riservatezza, anonimizza tutto il resto prima di incollarlo, ricordati che il titolare del trattamento sei tu e metti a posto contratto, informativa e registro, e quando il dato è davvero sensibile cambia strumento invece di sperare. Il punto non è usare meno l'AI: è sapere in ogni momento che cosa esce di casa. Se stasera fai una cosa sola, apri le impostazioni dell'assistente che usi di più e guarda com'è messo l'interruttore dell'addestramento. Nella maggior parte dei casi che ho visto era acceso, e nessuno lo sapeva.

Vuoi capire quali dati della tua attività puoi dare in pasto all'AI, e quali proprio no?
Mezz'ora di chiacchierata, zero impegno, parlato semplice, senza avvocatese
Parliamone →