GDPR e IA: quali dati personali escono nei vostri prompt
Ultimo aggiornamento : 2026-11-04
Non appena un testo inviato a un’IA contiene dati personali, il GDPR si applica e l’organizzazione che decide di inviare il testo e ne fissa la finalità resta, in linea di principio, titolare del trattamento; questa guida elenca i punti da esaminare e mostra dove ndaact.ai aiuta.
Che cosa esce davvero in un prompt
Un prompt (il testo che incollate o digitate in un assistente) contiene spesso più della domanda. Una lettera da riassumere, un fascicolo da analizzare o un’e-mail da riformulare trasmettono al fornitore del modello nomi, recapiti e identificativi delle persone citate. Un nome in un testo è un dato personale; inviarlo a un fornitore è un trattamento.
I punti da esaminare
La tabella riprende gli articoli del GDPR che ricorrono più spesso nell’uso di un assistente IA. Ogni riga indica in che cosa può aiutare ndaact.ai e che cosa resta a vostro carico.
| Punto da esaminare | Che cosa dice il GDPR | Che cosa resta a vostro carico | In che cosa può aiutare ndaact.ai |
|---|---|---|---|
| Minimizzazione | I dati devono essere limitati a quanto necessario (art. 5, paragrafo 1, lettera c) | Decidere quali dati sono necessari per la finalità | Sostituire con segnaposto le entità rilevate prima dell'invio |
| Protezione fin dalla progettazione | Prevedere fin dall'inizio misure tecniche adeguate (art. 25) | Scegliere e documentare le misure | Fornire una misura tecnica locale, sul vostro PC |
| Fornitore dell'IA | Un contratto disciplina il responsabile del trattamento (art. 28) | Esaminare il contratto e le impostazioni del vostro account | Nulla: dipende dal vostro fornitore |
| Trasferimenti fuori dall'UE | I trasferimenti verso un paese terzo sono disciplinati (art. da 44 a 46) | Verificare dove il fornitore tratta i dati | Ridurre i dati identificativi che escono, senza eliminare il trasferimento |
| Sicurezza | Misure tecniche e organizzative adeguate (art. 32) | Valutare il livello di rischio della vostra attività | Pseudonimizzazione locale con tabella di corrispondenza cifrata sul vostro PC |
| Registro | Tenere un registro delle attività di trattamento (art. 30). Le organizzazioni con meno di 250 dipendenti ne sono esentate, salvo se il trattamento può presentare un rischio, non è occasionale o riguarda dati sensibili (art. 30, paragrafo 5) | Redigere il registro e mantenerlo aggiornato | Fornire una riga modello: vedere la guida sul registro |
| Valutazione d'impatto | Obbligatoria, prima del trattamento, quando può presentare un rischio elevato (art. 35) | Decidere se è necessaria e condurla | Nulla: la decisione è vostra |
Pseudonimizzare prima dell’invio: che cosa cambia
Il GDPR definisce la pseudonimizzazione all’articolo 4, punto 5: un trattamento tale che i dati non possano più essere attribuiti a una persona specifica senza informazioni aggiuntive, conservate separatamente. ndaact.ai applica questa idea prima dell’invio: le entità rilevate sono sostituite da segnaposto e la corrispondenza resta sul vostro PC. Il fornitore del modello riceve il testo con segnaposto al posto delle entità rilevate.
Per la differenza con l’anonimizzazione e lo stato della giurisprudenza europea, vedere la guida sulle definizioni e la guida sulla sentenza C-413/23 P. Un dato pseudonimizzato resta, in linea di principio, un dato personale: il GDPR continua ad applicarsi.
I limiti da conoscere
- Vengono sostituite solo le entità rilevate. Un’entità non rilevata parte in chiaro: rileggete il testo prima dell’invio quando la posta in gioco è alta.
- ndaact.ai non valuta la vostra base giuridica, il vostro contratto con il fornitore né l’opportunità di una valutazione d’impatto.
- Un testo può identificare una persona senza nominarla (situazione rara, contesto preciso). Nessuno strumento di rilevamento copre questo caso in modo affidabile.
- La conformità di un uso dipende dall’insieme: finalità, base giuridica, contratto, informazione degli interessati, sicurezza. La misura tecnica è solo una parte.
Prima di cominciare
- Scrivete in una frase la finalità dell’uso dell’IA.
- Percorrete la tabella e annotate, per ogni riga, chi decide da voi.
- Aggiungete l’uso al vostro registro, con il modello della guida dedicata.
- Fate rileggere dal vostro DPO o da un consulente, in particolare i trasferimenti e la valutazione d’impatto.