GDPR e AI generativa: cosa può (e non può) fare uno studio
Le tre condizioni per usare l’AI generativa senza violare GDPR e segreto professionale: i tuoi dati non addestrano il modello, restano in EU e c’è un accordo sul trattamento dati. Più la pseudonimizzazione.
Il nodo
Caricare documenti riservati su un’AI pubblica significa consegnarli a un terzo, spesso fuori dall’UE, con il rischio che vengano conservati o usati per addestrare il modello. Per uno studio legale o un’azienda regolata è un problema di GDPR e di segreto professionale.
Le tre condizioni
Perché l’uso dell’AI generativa sia compatibile con GDPR e riservatezza, servono tre cose:
- Niente addestramento sui tuoi dati: non vengono mai usati per addestrare il modello.
- Dati in EU: trattati e conservati nell’Unione.
- Un accordo sul trattamento dati firmato con il fornitore, che definisce ruoli e garanzie.
Una soluzione ospitata sui tuoi server (nella tua sede o su un server dedicato in EU) le soddisfa tutte e tre già in partenza.
La pseudonimizzazione
Il GDPR (art. 4(5) e 32) prevede la pseudonimizzazione come misura di sicurezza: nomi, codici fiscali e IBAN vengono sostituiti da codici segnaposto prima che il modello li veda. Attenzione ai limiti: riduce il rischio, ma non è anonimizzazione, e non protegge il contenuto (una strategia difensiva resta leggibile). Per quello serve il tuo spazio privato: i dati non escono, non si conserva alcun registro, nessuno può leggerli.
La direzione normativa
In Italia la Legge 132/2025 ha reso l’AI un tema di legge, allineandosi all’EU AI Act. Non aggiunge molti nuovi obblighi rispetto al Regolamento europeo, ma indica la rotta: tenere i dati sotto controllo è la postura prudente.
In sintesi
Si può usare l’AI generativa in modo conforme, a patto di scegliere una soluzione che non fa uscire i dati. Se vuoi capire cosa è possibile nel tuo caso, inizia con 3 ore.
Guida informativa, non consulenza legale. Per il tuo caso specifico consulta un legale specializzato in privacy.