Guida · Cosa fa ChatGPT dei tuoi dati
ChatGPT rispetta il GDPR?
Non esiste una risposta secca: ChatGPT non è “conforme al GDPR” in assoluto, perché la conformità dipende da come tratti tu i dati. OpenAI offre misure e strumenti, ma la base giuridica, l’informativa e la minimizzazione restano responsabilità del titolare del trattamento. Il modo più sicuro per usarlo è ridurre a monte i dati personali che immetti.
Questa guida fa parte del cluster cosa fa ChatGPT dei tuoi dati: qui ci concentriamo sul nodo normativo e su cosa dipende concretamente da te.
Risposta rapida
- La conformità non è una proprietà dello strumento, ma del trattamento che fai tu con esso.
- OpenAI ha introdotto misure (informativa, opt-out dall’addestramento, versioni business con contratti dedicati), ma non decide al posto tuo base giuridica e finalità.
- Il Garante privacy è intervenuto in passato: il tema resta aperto e sotto osservazione.
- La leva che controlli davvero è la minimizzazione: meno dati personali immetti, minore è il rischio.
I nodi GDPR ancora aperti
Quando usi ChatGPT con dati personali, il GDPR entra in gioco su più fronti. Vale la pena conoscerli, anche solo per capire dove si concentrano i rischi.
Base giuridica e finalità. Ogni trattamento di dati personali richiede una base giuridica (consenso, contratto, legittimo interesse…) e una finalità definita. Se incolli in ChatGPT i dati di un cliente per farti aiutare a scrivere un atto, quel trattamento devi poterlo giustificare tu — non lo fa OpenAI per te.
Minimizzazione. Il principio cardine ( GDPR art. 5(1)(c) ) impone di trattare solo i dati adeguati, pertinenti e limitati a ciò che serve. Immettere in un prompt nomi, CF o IBAN che non servono al compito è il tipico caso di trattamento eccessivo.
Trasferimenti extra-UE. I dati inviati agli assistenti AI possono essere trattati fuori dall’Unione Europea. Servono garanzie adeguate; le versioni business offrono più strumenti contrattuali, ma il tema va valutato caso per caso. Vale per ChatGPT come per Claude o Gemini: cambia il fornitore, non il principio.
Diritti degli interessati. Accesso, rettifica, cancellazione: se immetti dati personali di terzi in un sistema che non controlli, gestire questi diritti diventa complesso. Un motivo in più per non immettere ciò che non è necessario.
Cosa dice (e ha fatto) il Garante
Nel 2023 il Garante per la protezione dei dati personali ha disposto una limitazione temporanea del trattamento dei dati degli utenti italiani da parte di ChatGPT, rientrata dopo l’adozione di alcune misure da parte di OpenAI (tra cui informativa più chiara e strumenti di opt-out). Il messaggio pratico non è “ChatGPT è vietato”, ma: le autorità stanno guardando, e l’uso professionale con dati altrui non è un terreno neutro.
Dal 2 agosto 2026 si aggiunge il quadro dell’AI Act europeo ( Regolamento (UE) 2024/1689 — AI Act ), che introduce obblighi di trasparenza e di alfabetizzazione all’AI per chi la usa in ambito professionale. Anche qui, però, la responsabilità del trattamento dei dati personali resta ancorata al GDPR e a te.
Cosa dipende da te (il titolare)
Ecco il punto che spesso sfugge: puoi usare gli strumenti più “a norma” del mondo e restare comunque non conforme, se sei tu a immettere dati personali senza base giuridica o senza minimizzarli.
Il titolare del trattamento — lo studio, l’azienda, il professionista — è chi decide finalità e mezzi, e chi risponde davanti al Garante. Nessuna casella “ChatGPT for Business” sposta questa responsabilità. Per i professionisti si aggiunge il segreto professionale ( Art. 622 c.p. ): il dovere di riservatezza verso il cliente non si sospende quando ci si fa aiutare da un’AI.
La domanda giusta, quindi, non è “ChatGPT è conforme?” ma “cosa sto immettendo, e mi serve davvero?”.
Ridurre il rischio con la minimizzazione
La minimizzazione non è solo un principio: è la leva più concreta che hai. Se un dato personale non entra nel prompt, non c’è trasferimento, non c’è trattamento eccessivo, non c’è rischio che finisca dove non vuoi.
In pratica significa sostituire i dati identificativi con segnaposto coerenti prima dell’invio, così l’assistente AI lavora sul contenuto senza vedere le persone reali:
Riscrivi in tono formale questa comunicazione: "Gentile sig. Mario Rossi, la informiamo che la pratica n. 214 a Suo nome (CF RSSMRA80A01H501U) è stata definita. Il rimborso sarà accreditato sull'IBAN IT60X0542811101000000123456 intestato a Lei, residente in Via Verdi 12, 20121 Milano."
Riscrivi in tono formale questa comunicazione: "Gentile sig. [NOME_1], la informiamo che la pratica n. [DOC_1] a Suo nome (CF [CF_1]) è stata definita. Il rimborso sarà accreditato sull'IBAN [IBAN_1] intestato a Lei, residente in [INDIRIZZO_1]."
Il testo a destra fa fare all’AI esattamente lo stesso lavoro — riscrivere in tono formale — ma non le mostra chi è la persona, né il suo CF, IBAN o indirizzo. È minimizzazione applicata al prompt: riduci l’input al minimo necessario per il compito. Lo stesso ragionamento vale se usi Claude o Gemini invece di ChatGPT: il segnaposto protegge a monte, qualunque motore ci sia a valle.
Questo vale a prescindere dalla versione che usi. Anche ChatGPT Enterprise non riduce i dati che immetti tu: se ti interessa il confronto, vedi ChatGPT Enterprise e la privacy rispetto alla versione gratuita. E se ti chiedi se e quando i tuoi input alimentano i modelli, la guida ChatGPT usa i miei dati per l’addestramento? lo spiega nel dettaglio.
Fare la minimizzazione con PrivActa
Mascherare nome, CF, IBAN e indirizzo a mano in ogni prompt è possibile, ma lento e soggetto a dimenticanze — un codice fiscale in fondo a una tabella, un cognome in intestazione. È qui che uno strumento di supporto aiuta.
PrivActa è uno strumento di supporto all’anonimizzazione: individua e maschera automaticamente nomi, codici fiscali, IBAN, P.IVA e indirizzi italiani, sostituendoli con segnaposto coerenti, in locale, prima che il testo raggiunga qualunque motore AI — che sia ChatGPT, Claude o Gemini. Il documento originale non lascia mai il tuo dispositivo: niente cloud, niente upload. Non ti rende automaticamente conforme — la responsabilità resta del titolare — ma ti aiuta a minimizzare a monte ciò che immetti, che è esattamente la leva che il GDPR ti chiede di usare.
Se vuoi vedere il flusso completo, scopri come funziona PrivActa; se governi l’uso dell’AI in un’organizzazione, la pagina PrivActa per le aziende mostra come inquadrarlo in una policy interna.
Provalo sui tuoi documenti. Puoi installare PrivActa e vedere la minimizzazione applicata ai tuoi file, in locale: scarica PrivActa e verifica tu stesso quanto poco serve far uscire dal tuo dispositivo.
Domande frequenti
ChatGPT è conforme al GDPR?
Non esiste un timbro di conformità valido per ogni uso. OpenAI dichiara misure e strumenti (opt-out, DPA, versioni business), ma la conformità nel caso concreto dipende da come tratti tu i dati: base giuridica, informativa, minimizzazione. È il titolare del trattamento a doverla garantire, non il fornitore dello strumento.
Il Garante privacy ha bloccato ChatGPT?
Nel 2023 il Garante italiano ha disposto una limitazione temporanea del trattamento, poi rientrata dopo che OpenAI ha introdotto alcune misure. Restano istruttorie e attenzione delle autorità: significa che il tema è aperto e che l'uso professionale va gestito con prudenza.
Posso usare ChatGPT con dati di clienti o pazienti?
Puoi, ma sei tu il titolare del trattamento e ne rispondi. La strada più sicura è la minimizzazione: non immettere dati personali che non servono, e mascherare quelli identificativi prima dell'invio, così l'AI lavora sul contenuto senza vedere le persone reali.
I dati che scrivo in ChatGPT vengono usati per addestrare i modelli?
Dipende dalla versione e dalle impostazioni. In alcune configurazioni gli input possono essere trattati per migliorare i modelli; in altre (business/opt-out) no. In ogni caso, ciò che non invii non può essere trattato: ridurre a monte i dati è la garanzia più solida.
Basta usare ChatGPT Enterprise per essere a norma?
No. Le versioni business riducono alcuni rischi (niente uso per addestramento di default, contratti dedicati), ma non riducono i dati che immetti tu. La conformità resta una tua responsabilità e passa comunque dalla minimizzazione dell'input.