I tuoi dati sono al sicuro con l’AI? Privacy, GDPR e Claude

«Sì, mi piacerebbe usare l’AI, ma… i miei dati dove vanno a finire?». È quasi sempre la prima domanda seria che mi fanno gli imprenditori, e ti dico subito una cosa: è la domanda giusta. Chi mette in dubbio la sicurezza dei propri dati prima di adottare uno strumento nuovo non è frenato dalla paura, sta ragionando da persona responsabile. Il problema è che intorno a questo tema circolano tanti allarmismi e poche informazioni precise.

In questo articolo voglio fare ordine sul tema AI, privacy e dati aziendali: cosa dice il GDPR, cosa succede concretamente quando usi un assistente come Claude, e soprattutto cosa puoi dargli in pasto senza rischi e cosa invece conviene tenere fuori. Non è una consulenza legale — per quella servono il tuo DPO o un avvocato specializzato — ma è il quadro pratico che uso ogni volta che aiuto un’azienda a partire con l’AI in modo sereno.

L’obiezione più sana che ricevo

Quando un cliente mi dice «ho paura per i miei dati», di solito sotto ci sono tre timori diversi, ed è utile separarli. Il primo: «i miei documenti finiscono a disposizione di tutti?». Il secondo: «l’AI userà i miei dati per addestrarsi, e domani racconterà i miei segreti a un concorrente?». Il terzo: «sto violando il GDPR senza saperlo?».

Sono tre preoccupazioni legittime, ma con risposte molto diverse tra loro. E la buona notizia è che, con le scelte giuste, sono tutte gestibili. Il rischio vero non è usare l’AI: è usarla senza sapere come funziona, incollando dati sensibili nel primo strumento gratuito che capita senza aver letto due righe di condizioni.

Cosa dice davvero il GDPR sull’AI

Il GDPR non vieta l’uso dell’intelligenza artificiale. Non c’è un articolo che dice «non puoi usare un assistente AI». Quello che il regolamento chiede è ciò che ha sempre chiesto per qualsiasi trattamento di dati personali: avere una base giuridica, trattare solo i dati che servono davvero (principio di minimizzazione), essere trasparenti con le persone i cui dati tratti, e proteggere quei dati con misure adeguate.

Quando usi uno strumento AI di un fornitore esterno per trattare dati personali, dal punto di vista del GDPR quel fornitore agisce in genere come responsabile del trattamento (data processor), mentre la tua azienda resta il titolare (data controller). Tradotto: la responsabilità di decidere cosa trattare e perché rimane tua. Per questo, quando si usa un servizio del genere su dati personali, andrebbe formalizzato un accordo sul trattamento dei dati (il cosiddetto DPA) e verificato dove vengono trattati i dati, specie se fuori dall’Unione Europea.

Il GDPR non ti chiede di non usare l’AI. Ti chiede di sapere quali dati le stai dando, perché, e con quali garanzie. È una disciplina, non un divieto.

C’è poi un punto su cui invito sempre a non improvvisare: le decisioni automatizzate. Se usi l’AI per scrivere bozze, riassumere documenti o preparare risposte che poi una persona rivede e approva, sei in un terreno tranquillo. Se invece la usassi per prendere decisioni che producono effetti significativi sulle persone senza alcun intervento umano — pensa a uno scoring che esclude candidati o clienti — entri in un’area più delicata del regolamento, dove serve molta più cautela. Il consiglio pratico è semplice: tieni sempre una persona nel ciclo decisionale.

Cosa succede ai dati che dai a Claude

Qui sta la differenza che cambia tutto, e che pochi conoscono: non tutti gli strumenti AI trattano i tuoi dati allo stesso modo. Le condizioni dei piani consumer gratuiti sono diverse da quelle dei piani business o delle API pensate per le aziende. Prima di usare qualunque strumento su dati di lavoro, la regola d’oro è una sola: leggi cosa dice il fornitore sul trattamento e sull’addestramento.

Nel caso di Anthropic, l’azienda che sviluppa Claude, il posizionamento sulla privacy è uno dei motivi per cui lo consiglio alle PMI. In linea generale, le offerte rivolte alle aziende sono costruite per non usare i contenuti delle conversazioni di lavoro per addestrare i modelli, e mettono a disposizione strumenti di gestione, controllo e conservazione dei dati. Le condizioni esatte cambiano nel tempo e a seconda del piano, quindi vanno sempre verificate sul contratto specifico — ma il principio di fondo è che esiste un percorso pensato per chi tratta informazioni riservate.

Se vuoi capire più a fondo come ragiona Claude e perché ha un’impostazione diversa rispetto ad altri assistenti, ne ho parlato nell’articolo su Claude e ChatGPT a confronto: la cura per la sicurezza e l’affidabilità è una delle differenze che si notano di più in un contesto aziendale.

Cosa puoi dare in pasto all’AI (e cosa no)

Veniamo al punto più concreto. Quando lavoro con un’azienda, propongo di immaginare i dati su tre livelli, come tre cassetti con tre diverse cautele.

Primo cassetto — verde, dai pure. Tutto ciò che è già pubblico o non identifica nessuno: testi del sito, descrizioni di prodotto, comunicati, materiali di marketing, bozze di articoli, documentazione tecnica generica. Qui l’AI lavora benissimo e non c’è alcun rischio privacy. È da qui che faccio partire quasi tutti.

Secondo cassetto — giallo, con attenzione. Dati interni non pubblici ma non particolarmente sensibili: procedure aziendali, listini, modelli di documenti, email di lavoro ripulite dai dati personali dei singoli. Si possono usare, a patto di farlo con uno strumento serio (piano business, condizioni chiare) e con un minimo di buon senso nel rimuovere ciò che non serve.

Terzo cassetto — rosso, fermati e pensa. Dati personali di clienti e dipendenti (anagrafiche, contatti, contratti), dati sanitari, dati di pagamento, informazioni coperte da segreto. Questo cassetto non va aperto a cuor leggero: serve una base giuridica, lo strumento giusto, eventualmente un DPA, e quasi sempre conviene anonimizzare o pseudonimizzare prima. Spesso scopriamo che, per ottenere il risultato che serve, i dati identificativi non erano nemmeno necessari.

Questo terzo cassetto è anche il motivo per cui, quando un’azienda ha bisogno di lavorare su dati interni in modo continuativo, ragioniamo su come integrare l’AI nei processi in modo controllato. È esattamente il lavoro di metodo di cui parlo nella pagina sulla consulenza Claude e AI per PMI: prima si mappa quali dati toccano i processi, poi si decide come e con quali garanzie usarli.

Cinque regole pratiche per la tua azienda

Al di là della teoria, queste sono le abitudini che faccio adottare a chi inizia. Non sono complicate, ma fanno la differenza tra usare l’AI in modo professionale e usarla alla carlona.

• Scegli lo strumento prima del compito. Per i dati di lavoro usa piani business con condizioni chiare, mai account personali o servizi gratuiti di cui non sai nulla.
• Minimizza sempre. Prima di incollare un documento, chiediti: «mi serve davvero il nome e il codice fiscale qui dentro, o posso togliere ciò che non serve al risultato?».
• Tieni una persona nel ciclo. L’AI prepara, propone, riassume. La decisione che ha effetti sulle persone resta a un essere umano.
• Scrivi una piccola policy interna. Bastano poche righe condivise col team: cosa si può dare all’AI, cosa no, con quale strumento. Evita che ognuno faccia di testa sua.
• Aggiorna registro e informative. Se l’AI entra stabilmente in un trattamento di dati personali, va riflessa nel registro dei trattamenti e, dove serve, nell’informativa privacy.

Queste regole non rallentano l’adozione: la rendono possibile. La differenza tra un’azienda che usa l’AI e una che non osa è quasi sempre questa cornice minima di buon senso, non un grande investimento tecnologico.

La privacy non è un freno, è un metodo

Se sei arrivato fin qui con la preoccupazione di prima, spero di avertela trasformata in qualcosa di più utile: una lista di domande da porre e di cautele da prendere. L’AI applicata al lavoro non è incompatibile con il GDPR — lo diventa solo quando la si usa senza testa. Con lo strumento giusto, dati ben scelti e una persona che supervisiona, puoi avere i vantaggi senza correre i rischi che temevi.

Il mio approccio è sempre lo stesso: prima capiamo i processi e i dati che li attraversano, poi decidiamo come far entrare l’AI in modo controllato. Se vuoi vedere come questo si traduce in un percorso concreto per la tua azienda, ne parlo nel cluster sull’AI per le aziende; e se preferisci partire affiancato fin dal primo giorno, la consulenza dedicata nasce proprio per adottare Claude con metodo, privacy compresa.