GDPR e AI generativa: cosa può (e non può) fare uno studio
Le tre condizioni per usare l’AI generativa senza violare GDPR e segreto professionale: no-training, dati in EU, DPA. Più la pseudonimizzazione.
Il nodo
Caricare documenti riservati su un’AI pubblica significa trasferirli a un terzo, spesso fuori dall’UE, con il rischio che vengano conservati o usati per addestrare il modello. Per uno studio legale o un’azienda regolata è un problema di GDPR e di segreto professionale.
Le tre condizioni
Perché l’uso dell’AI generativa sia compatibile con GDPR e riservatezza, servono tre cose:
- No-training: i tuoi dati non vengono usati per addestrare il modello.
- Dati in EU: trattati e conservati nell’Unione.
- DPA firmato con il fornitore, che definisce ruoli e misure.
Un’architettura self-hosted (on-premise o server dedicato in EU) le soddisfa tutte e tre per costruzione.
La pseudonimizzazione
Il GDPR (art. 4(5) e 32) prevede la pseudonimizzazione come misura di sicurezza: nomi, codici fiscali e IBAN vengono sostituiti con token prima che il modello li veda. Attenzione ai limiti: riduce il rischio, ma non è anonimizzazione, e non protegge il contenuto (una strategia difensiva resta leggibile). Per quello serve l’isolamento: egress bloccato, zero log, nessun accesso umano.
La direzione normativa
In Italia la Legge 132/2025 ha reso l’AI un tema di legge, allineandosi all’EU AI Act. Non aggiunge molti nuovi obblighi rispetto al Regolamento europeo, ma indica la rotta: tenere i dati sotto controllo è la postura prudente.
In sintesi
Si può usare l’AI generativa in modo conforme, a patto di scegliere un’architettura che non fa uscire i dati. Se vuoi capire cosa è possibile nel tuo caso, partiamo da un assessment gratuito.
Guida informativa, non consulenza legale. Per il tuo caso specifico consulta un legale specializzato in privacy.