ChatGPT è sicuro per i dati aziendali?

Usare ChatGPT con dati aziendali può essere ragionevolmente sicuro, ma non lo è di default: dipende da quali dati immetti e da quale versione usi. Il rischio maggiore non è tecnico, è umano — incollare informazioni riservate senza mascherarle. La difesa più efficace è ridurre a monte i dati sensibili che escono dall’azienda.

Questa guida fa parte del cluster sulla privacy dell’AI generativa: per il quadro completo su cosa succede ai tuoi input, parti dalla pillar cosa fa ChatGPT dei tuoi dati.

Risposta rapida

• Non è pericoloso di per sé, ma diventa rischioso se ci immetti dati riservati in chiaro.
• La versione conta: i piani business offrono più garanzie della versione gratuita (vedi ChatGPT gratuito vs business).
• Il rischio principale è umano: dipendenti che incollano dati di clienti o segreti aziendali.
• La soluzione non è vietare, ma governare: policy chiare + una misura tecnica che riduca i dati immessi.

I 3 rischi per l’azienda

Quando si valuta se ChatGPT è sicuro per i dati aziendali, i pericoli concreti si riducono a tre.

1. Fuoriuscita di dati personali e riservati. Ogni informazione incollata lascia il perimetro aziendale. Nome di un cliente, codice fiscale di un dipendente, IBAN di un fornitore, ma anche codice proprietario o dati economici non pubblici: una volta immessi, non li controlli più. Nella versione gratuita, gli input possono inoltre concorrere a migliorare i modelli.

2. Responsabilità normativa. Se immetti dati personali, l’azienda resta titolare del trattamento e ne risponde. Il principio di minimizzazione dei dati impone di trattare solo ciò che è strettamente necessario.

Nessuno strumento ti rende automaticamente conforme: la conformità resta una responsabilità del titolare. Uno strumento può però aiutarti a ridurre i dati che immetti.

3. Shadow AI. Il rischio più sottovalutato è che l’uso avvenga senza controllo. Quando l’azienda non fornisce strumenti né regole, le persone usano gli assistenti AI — ChatGPT, ma anche Claude o Gemini — con account personali, spesso incollando dati reali. È la cosiddetta Shadow AI, e sfugge del tutto alla governance. Secondo il Netskope Cloud & Threat Report l’adozione di app di AI generativa nelle aziende è cresciuta rapidamente, in larga parte tramite account non gestiti.

Cosa espone di più i dati

Non tutti gli usi sono ugualmente rischiosi. Il pericolo cresce con questi comportamenti:

• Incollare documenti interi (contratti, buste paga, referti) senza toglierne i dati identificativi.
• Usare account personali invece di licenze aziendali gestite.
• Caricare fogli di calcolo con anagrafiche di clienti o dipendenti.
• Non avere una regola su cosa è ammesso: in assenza di indicazioni, ognuno decide da sé.

Ecco un esempio concreto: un responsabile HR chiede a un assistente AI di riassumere una valutazione. La versione a sinistra espone tutto; quella a destra ottiene lo stesso risultato senza far uscire un solo dato personale.

Valutazione di Laura Bianchi (CF BNCLRA85M41F205X),
assunta il 12/03/2019, ruolo Account Manager.
Retribuzione annua lorda: 34.500 €.
IBAN per accredito: IT60X0542811101000000123456.
Residenza: Via Garibaldi 8, 20121 Milano.
Note: buona performance, obiettivo Q2 non raggiunto.

Valutazione di [NOME_1] (CF [CF_1]),
assunta il [DATA_1], ruolo Account Manager.
Retribuzione annua lorda: 34.500 €.
IBAN per accredito: [IBAN_1].
Residenza: [INDIRIZZO_1].
Note: buona performance, obiettivo Q2 non raggiunto.

La versione mascherata è ancora perfettamente utile: l’AI — che si tratti di ChatGPT, Claude o Gemini — può riassumere, correggere il tono, suggerire una struttura. Ma non ha mai visto chi è la persona, il suo CF, l’IBAN o l’indirizzo.

Governare invece di vietare

La tentazione, davanti a questi rischi, è vietare ChatGPT in azienda. Nella pratica non funziona: le persone lo trovano utile e continuano a usarlo di nascosto, con account personali — peggiorando il problema. Governare è più efficace che proibire, e si regge su tre leve.

1. Una policy chiara. Poche righe che dicano cosa si può e non si può immettere: mai dati personali di clienti o dipendenti, mai segreti industriali, mai credenziali. Una regola comprensibile è più rispettata di un divieto generico.

2. Formazione. Le persone raramente vogliono violare le regole: spesso non sanno che incollare un nome è un problema. Spiegare il rischio, con esempi concreti, riduce gli errori più di qualsiasi blocco tecnico.

3. Una misura tecnica praticabile. È la leva che rende la regola sostenibile. Se chiedi ai dipendenti di rimuovere a mano ogni dato da ogni documento, prima o poi qualcuno salterà il passaggio. Uno strumento che maschera i dati automaticamente e in locale, prima che raggiungano qualunque motore di AI generativa, trasforma la buona intenzione in un gesto di pochi secondi. Questa è, in sostanza, l’idea alla base delle policy anti-Shadow AI: non chiudere la porta, ma rendere sicuro il passaggio.

L’AI Act introduce inoltre un obbligo di alfabetizzazione (AI literacy): chi impiega sistemi di AI deve garantire che il personale abbia competenze adeguate al loro uso.

Il ruolo di uno strumento di supporto

Policy e formazione stabiliscono la regola; uno strumento di supporto all’anonimizzazione la rende praticabile ogni giorno. PrivActa riconosce automaticamente nomi, codici fiscali, IBAN, partite IVA e indirizzi italiani e li sostituisce con segnaposto coerenti, sul dispositivo, prima dell’invio a qualunque motore AI — ChatGPT, Claude, Gemini o altri. L’elaborazione avviene in locale: il documento originale non passa da alcun cloud.

Per un’azienda significa dare ai team un modo semplice di rispettare la policy senza rallentare il lavoro. Scopri come funziona PrivActa o vedi il taglio pensato per le imprese e i team aziendali.

PrivActa non sostituisce il giudizio umano né garantisce da solo la conformità — resta buona pratica ricontrollare il risultato prima dell’invio — ma trasforma un principio astratto in un controllo ripetibile.

Prova PrivActa sui tuoi documenti

Vuoi vedere come si comporta sui file reali della tua azienda? Scarica PrivActa e maschera nomi, codici fiscali e IBAN prima di usarli con l’AI: l’elaborazione resta sul tuo dispositivo, sempre.

In sintesi

ChatGPT è sicuro per i dati aziendali quanto lo rendi tu: non è lo strumento a decidere, ma cosa immetti e come governi il suo uso. Il divieto totale sposta il problema nell’ombra; la combinazione di policy, formazione e minimizzazione a monte lo affronta davvero. Per approfondire, leggi le differenze tra versione gratuita e business e come si pone ChatGPT rispetto al GDPR.