GDPR e AI: cosa deve sapere una PMI prima di partire

Quando si parla di intelligenza artificiale e dati aziendali, la prima reazione è spesso il blocco: “non possiamo, c’è il GDPR”. La verità è più semplice e meno drammatica. Il GDPR non vieta l’AI: chiede di sapere quali dati usi, perché, dove finiscono e per quanto tempo restano. Sono domande a cui qualsiasi azienda ordinata dovrebbe già saper rispondere. Questa è una guida pratica ai punti da considerare prima di introdurre l’AI sui tuoi dati, senza terrorismo e senza fare finta di darti consulenza legale: per quella c’è il tuo consulente privacy.

Prima domanda: perché tratti quei dati

Ogni trattamento di dati personali ha bisogno di una base giuridica. Nella pratica, per una PMI, le più comuni sono il contratto (stai gestendo un ordine di un cliente), l’obbligo di legge (fatturazione) o il legittimo interesse (organizzare il tuo lavoro interno). Non serve sempre il consenso: spesso c’è già una base solida per i dati che usi tutti i giorni.

Il punto è che introdurre l’AI di solito non cambia il perché tratti quei dati, ma il come. Se prima un dipendente leggeva un ordine via email e lo ribatteva a mano, e adesso lo fa un’automazione, la finalità è la stessa. Cambia lo strumento, non la sostanza.

Chi è il titolare e chi il responsabile

Tu sei il titolare del trattamento: decidi cosa si fa con i dati. Il fornitore di un servizio AI che elabora quei dati per tuo conto è un responsabile del trattamento. Questo rapporto va messo nero su bianco con un contratto apposito, spesso chiamato DPA (accordo sul trattamento dei dati).

In concreto, prima di firmare con un fornitore verifica che metta a disposizione un DPA. Se non sa di cosa parli, è un segnale. Un fornitore serio lo ha pronto e te lo manda senza che tu debba insistere.

Dove sono i server e chi tocca i dati

Conta molto se i dati restano nell’Unione Europea o finiscono fuori. I trasferimenti extra-UE non sono vietati, ma richiedono garanzie aggiuntive. Per una PMI italiana la strada più tranquilla è scegliere fornitori che permettono di tenere l’elaborazione su server europei, quando possibile.

Questo è anche il motivo per cui vale la pena ragionare su dove fisicamente passano e si fermano le informazioni. Ne ho parlato in modo concreto spiegando dove finiscono i dati dei tuoi ordini, e in alcuni casi la soluzione più pulita è tenere tutto in casa, come con n8n self-hosted e GDPR.

I tuoi dati non devono addestrare modelli altrui

Questo è il punto che spaventa di più, ed è anche il più facile da gestire. La domanda da fare al fornitore è secca: i dati che ti mando vengono usati per addestrare i tuoi modelli? La risposta corretta, per un uso aziendale, è no.

Le offerte business serie prevedono per contratto che i dati inviati via API non vengano usati per l’addestramento. È una clausola che puoi pretendere e verificare. Il controllo del dato, qui, non è un dettaglio: è quello che distingue un’automazione fatta bene da una raccogliticcia. Restare titolare delle tue informazioni è una scelta, non un caso.

Tratta solo quello che serve

Il principio di minimizzazione dice una cosa di buon senso: usa solo i dati necessari allo scopo. Se l’AI deve estrarre le righe di un ordine, non ha bisogno dello storico completo del cliente. Meno dati esponi, meno rischio corri e meno hai da spiegare.

Lo stesso vale per conservazione e cancellazione: tieni i dati per il tempo che serve, poi cancellali. Un processo automatizzato ben disegnato può anche aiutarti a far rispettare queste regole, perché applica sempre lo stesso criterio.

Checklist prima di partire

Prima di mettere l’AI sui tuoi dati, controlla questi punti:

• Sai qual è la base giuridica del trattamento (di solito ce l’hai già).
• Il fornitore offre un DPA come responsabile del trattamento.
• Sai dove sono i server e se i dati escono dall’UE.
• Hai conferma scritta che i dati non addestrano modelli di terzi.
• Mandi solo i dati che servono allo scopo (minimizzazione).
• Hai una regola chiara su quanto tempo conservi i dati e quando li cancelli.
• L’informativa ai clienti è aggiornata se cambia qualcosa di rilevante.
• Hai sentito il tuo consulente privacy sui casi specifici.

L’AI Act, all’orizzonte

Oltre al GDPR sta arrivando l’AI Act, il regolamento europeo sull’intelligenza artificiale. Per la stragrande maggioranza delle automazioni di una PMI (leggere un ordine, estrarre dati da un PDF) parliamo di usi a rischio basso, con obblighi leggeri. Tienilo come orizzonte, non come allarme: chi sceglie fornitori seri e tiene il controllo dei propri dati parte già con il piede giusto.

Si può fare, in regola

Il messaggio è semplice: l’AI sui dati aziendali si può usare restando in regola. Serve scegliere bene il fornitore, sapere dove vanno i dati, trattare solo il necessario e farsi seguire dal proprio consulente privacy per i casi specifici. Non serve avere paura, serve avere ordine.

Se vuoi capire quali dei tuoi processi si possono automatizzare in modo pulito e sotto controllo, possiamo partire da una mappa gratuita del processo e vedere insieme cosa ha senso fare per primo.