È lecito trattare dati personali con ChatGPT?

Sì, trattare dati personali con ChatGPT può essere lecito, ma non lo è in automatico: serve una base giuridica valida (art. 6 GDPR), il rispetto dei principi di minimizzazione e trasparenza e una valutazione del rischio. Immettere dati identificativi in chiaro senza queste condizioni rende il trattamento illecito, e la responsabilità resta del titolare.

Lo stesso vale per qualunque assistente AI — Claude, Gemini, Copilot: il fornitore cambia, i tuoi obblighi di titolare no. Questa guida fa parte del cluster AI Act e GDPR per le aziende: qui rispondiamo alla domanda specifica sulla liceità del trattamento dei dati personali con ChatGPT.

Risposta rapida

Perché il trattamento di dati personali con ChatGPT sia lecito, devono valere insieme quattro condizioni:

1. Base giuridica — hai un fondamento valido tra quelli dell’art. 6 GDPR (consenso, contratto, obbligo legale, legittimo interesse).
2. Minimizzazione — invii solo i dati strettamente necessari allo scopo, non l’intero fascicolo.
3. Trasparenza — l’interessato sa (o può sapere) che i suoi dati possono essere trattati anche tramite strumenti di AI.
4. Valutazione del rischio — hai considerato dove finiscono i dati e, se serve, svolto una valutazione d’impatto.

Se anche una sola manca, il trattamento è a rischio di illiceità.

Serve una base giuridica

Non esiste un trattamento di dati personali “libero”: ogni volta che immetti in ChatGPT il nome di un cliente, un codice fiscale o un referto, stai trattando dati personali, e ti serve una delle basi giuridiche previste dall’ art. 6 GDPR .

Le basi disponibili sono sei, ma nella pratica dell’uso dell’AI in azienda contano soprattutto:

• Consenso — l’interessato ha acconsentito a quel trattamento specifico. Attenzione: dev’essere libero, informato e revocabile, e raramente copre da solo l’invio a un fornitore terzo.
• Esecuzione di un contratto — il trattamento è necessario per eseguire un contratto di cui l’interessato è parte.
• Obbligo legale — sei tenuto per legge a quel trattamento.
• Legittimo interesse — hai un interesse legittimo che prevale sui diritti dell’interessato (va valutato e documentato con un bilanciamento).

Nessuna di queste basi è automatica e nessuna è “attivata” dal semplice fatto di usare uno strumento comodo. La base va individuata prima del trattamento e documentata. Se stai trattando dati particolari — salute, convinzioni, dati giudiziari — non basta l’art. 6: servono le condizioni più stringenti dell’ art. 9 GDPR , e in molti casi conviene semplicemente non farli uscire dal tuo dispositivo.

I principi GDPR in gioco

Avere una base giuridica è necessario ma non sufficiente. Il trattamento deve rispettare anche i principi dell’art. 5 GDPR. Tre sono decisivi quando si usa un assistente AI:

Minimizzazione dei dati. Il art. 5(1)(c) GDPR impone di trattare solo i dati adeguati, pertinenti e limitati a quanto necessario. Se chiedi all’AI di riscrivere una lettera, non le serve il codice fiscale reale del destinatario: gliene basta un segnaposto. Ridurre i dati a monte è il modo più diretto per rispettare questo principio.

Limitazione della finalità. I dati raccolti per una finalità non possono essere usati per un’altra incompatibile. Incollare in un motore AI dati raccolti per tutt’altro scopo può violare questo principio, a prescindere dalla base giuridica iniziale.

Trasparenza e liceità. L’interessato deve poter sapere come sono trattati i suoi dati. Se non è stato informato che i suoi dati possono passare per strumenti di AI, la trasparenza è a rischio. Per i professionisti si aggiunge il dovere, introdotto dalla L. 132/2025, art. 13 , di informare il cliente dell’uso di sistemi di AI nella prestazione.

A monte di tutto resta un dato di fatto tecnico: quando immetti un testo in ChatGPT, quel testo esce dal tuo dispositivo e viene trasmesso ai server del fornitore. Le impostazioni privacy o i piani a pagamento migliorano le garanzie, ma non cambiano questo punto. Ecco perché la liceità non si gioca solo sulla carta, ma su cosa fai prima di premere invio.

Come ridurre il rischio (minimizzazione)

Il modo più concreto per rendere lecito — e sicuro — l’uso dell’AI è agire a monte: ridurre o mascherare i dati personali prima che raggiungano l’assistente. Se il testo che invii non contiene più dati riconducibili a una persona, quel passaggio si sposta fuori dal campo di applicazione del GDPR (vedi considerando 26 GDPR ).

Ecco come applicare la minimizzazione in pratica:

1. Individua i dati identificativi — nome, codice fiscale, IBAN, indirizzo, email, telefono, oltre a eventuali dati particolari.
2. Maschera invece di rinunciare — sostituisci ogni dato con un segnaposto coerente ([NOME_1], [CF_1]), così il testo resta utile all’AI ma non contiene più i valori reali.
3. Invia solo la versione minimizzata — l’assistente lavora sul testo mascherato; i dati reali non lasciano il tuo dispositivo.

Prepara una risposta al reclamo del sig. Mario Rossi
(CF RSSMRA80A01H501U), cliente dal 2019, che contesta
l'addebito sull'IBAN IT60X0542811101000000123456
per il contratto n. 214.

Prepara una risposta al reclamo del sig. [NOME_1]
(CF [CF_1]), cliente dal 2019, che contesta
l'addebito sull'IBAN [IBAN_1]
per il contratto n. [DOC_1].

La versione a destra riduce l’esposizione: l’AI può ancora aiutarti a scrivere la risposta, ma non riceve dati che identificano una persona. È così che la minimizzazione dell’art. 5(1)(c) diventa un gesto operativo, non solo un principio sulla carta.

In pratica con PrivActa

Farlo a mano su ogni documento è lento e un dato dimenticato basta a re-identificare una persona. PrivActa è uno strumento di supporto all’anonimizzazione: come misura tecnica di minimizzazione (art. 5(1)(c) GDPR), individua e maschera automaticamente nomi, codici fiscali, IBAN, P.IVA e indirizzi italiani, sostituendoli con segnaposto coerenti sul dispositivo, prima che il testo raggiunga qualunque motore AI — ChatGPT, Claude o Gemini.

Un punto va detto con onestà: PrivActa non ti rende conforme al GDPR e non esaurisce i tuoi obblighi. La liceità del trattamento resta una responsabilità del titolare — base giuridica, informativa, valutazione del rischio restano a carico tuo. Quello che PrivActa fa è ridurre l’esposizione dei dati che effettivamente escono, trasformando la minimizzazione in un passaggio veloce e ripetibile. Puoi scoprire come funziona o vedere l’approccio pensato per la conformità e la gestione del rischio.

Domande frequenti

È lecito inserire dati personali in ChatGPT? Può esserlo, ma non in automatico. Serve una base giuridica valida (art. 6 GDPR), il rispetto della minimizzazione e della trasparenza e una valutazione del rischio. Immettere dati identificativi in chiaro senza queste condizioni rende il trattamento illecito: la responsabilità resta del titolare.

Qual è la base giuridica per usare ChatGPT con dati personali? Dipende dal contesto: consenso, contratto, obbligo legale o legittimo interesse. Nessuna base è automatica: va individuata prima del trattamento e documentata. Per i dati particolari servono le condizioni più stringenti dell’art. 9.

Anonimizzare i dati prima di inviarli a ChatGPT risolve il problema del GDPR? Riduce il rischio, non lo azzera. Se i dati non sono più riconducibili a una persona, quel passaggio esce dal campo del GDPR. Ma anonimizzare a monte è una misura tecnica di minimizzazione: non sostituisce la base giuridica né le altre valutazioni del titolare.

Chi è responsabile se i dati inseriti in ChatGPT finiscono esposti? Il titolare del trattamento, cioè chi decide finalità e mezzi. Resta responsabile anche quando l’invio parte da un account personale usato per lavoro.

Guide correlate

• La pillar del cluster: AI Act e GDPR per le aziende.
• Cosa insegnano i provvedimenti su ChatGPT: Garante privacy e ChatGPT.
• Il rischio in concreto: dati sensibili in ChatGPT, i rischi per l’azienda.
• Il metodo pratico: anonimizzare i dati prima di usarli con l’AI.

Se gestisci trattamenti di dati personali e vuoi ridurre il rischio dell’uso quotidiano dell’AI, scopri l’approccio PrivActa alla conformità oppure vedi la pagina dedicata alle aziende.