DATI E AI - IN AZIENDA
I tuoi dipendenti usano ChatGPT con i dati dei clienti. Cosa rischia l’azienda.
Non è un’ipotesi: la maggior parte delle imprese ha almeno un uso di AI generativa che nessuno ha autorizzato. La strada non è vietarla - è darle un posto dove i dati non escono.
Il messaggio è già pronto, puoi modificarlo prima di inviare. Rispondiamo entro 24 ore lavorative.
OfficinaIA - Brianza
77%
dei dipendenti incolla dati sensibili nei prompt (rilevazione citata da Smartweek)
73%
delle imprese italiane ha almeno un uso di AI generativa non autorizzato (Anitec-Assinform 2025)
15 mln €
o 3% del fatturato mondiale: il massimo sanzionatorio AI Act per gli obblighi diversi dalle pratiche vietate
2 ago 2026
dal 2 agosto si applicano gli obblighi di trasparenza dell’art. 50 ed è iniziato l’enforcement
Quando serve scrivere una mail, riassumere un contratto o capire una clausola, la persona apre ChatGPT. È più veloce che chiedere in giro, e nessuno gliel’ha vietato. Dentro il prompt finiscono nomi di clienti, condizioni economiche, dati di produzione, a volte documenti interi.
L’azienda resta responsabile di quei dati anche quando il dipendente ha usato un account personale e gratuito. È questo il punto che frega: l’uso non è ufficiale, ma la responsabilità è tua. E se domani arriva una richiesta di accesso, una contestazione o un controllo, non sai nemmeno cosa è uscito.
§ 01
Cosa è già in vigore, e da quando
L’obbligo di alfabetizzazione sull’AI (art. 4) è in vigore da febbraio 2025: chi usa sistemi di AI per lavoro deve essere messo in condizione di farlo consapevolmente, e l’azienda deve poterlo dimostrare. Dal 2 agosto 2026 si applicano gli obblighi di trasparenza dell’art. 50 - chi interagisce con un sistema di AI deve esserne informato - ed è iniziato l’enforcement, con l’Italia che ha designato l’ACN come autorità. Gli obblighi per i sistemi ad alto rischio sono stati rinviati al dicembre 2027: il resto è già qui.
§ 02
Il rischio che non si vede: non è il modello, è la giurisdizione
Anche scegliendo un fornitore che dichiara i dati in Europa, se quel fornitore risponde al diritto statunitense resta esposto al Cloud Act: gli si può chiedere di consegnare i dati che tratta, anche quando i server sono fisici a Milano. Per questo le organizzazioni serie distinguono per livello di sensibilità dei dati: per quelli personali, sanitari o che contengono segreti industriali, l’unica strada che regge è l’elaborazione in locale.
IL CONFRONTO
Le tre strade, senza raccontarle meglio di come sono
Cosa succede davvero
Vietare e basta
L’AI entra dalla porta di servizio: account personali, telefono privato, nessuna traccia
Dare un ChatGPT aziendale
Uso autorizzato e tracciabile, ma i dati restano presso il fornitore
Portare l’AI in casa
I dati restano nella rete aziendale, su macchine tue
Cosa puoi dimostrare
Vietare e basta
Poco: non sai cosa è uscito né quando
Dare un ChatGPT aziendale
Il contratto e i log del fornitore
Portare l’AI in casa
Dove girano i modelli, quali dati trattano, come si tracciano
Costo
Vietare e basta
Zero sulla carta, il prezzo lo paghi in rischio
Dare un ChatGPT aziendale
Canone per utente al mese, cresce con le persone
Portare l’AI in casa
Una macchina, poi nessun costo al token
Quando ha senso
Vietare e basta
Non ha mai senso davvero: sposta il problema di nascosto
Dare un ChatGPT aziendale
Se i dati trattati non sono sensibili
Portare l’AI in casa
Se i dati non possono uscire, o se i volumi rendono il canone insostenibile
Cosa serve
Vietare e basta
-
Dare un ChatGPT aziendale
Una sottoscrizione aziendale e un contratto
Portare l’AI in casa
Un server, i modelli, e chi lo fa girare e lo mantiene
Il punto non è essere "contro il cloud": è sapere quali dati possono uscire e quali no. Un assistente per la comunicazione pubblica può stare tranquillamente su un servizio esterno; una registrazione di trattativa o una cartella clinica, no.
PASSO PER PASSO
Come si porta l’AI in casa, senza buttare quello che c’è
01
Una foto di quello che usate già
Quali strumenti girano, chi li usa, che dati ci mettono dentro - compresi quelli che nessuno ha autorizzato. È la parte che quasi nessuno ha mai fatto.
02
Le regole in una pagina, non un manuale
Cosa si può mettere in un prompt e cosa no, con i casi reali dell’azienda. Una policy che sta appesa e si legge, non cento pagine che nessuno apre.
03
Strumenti autorizzati al posto di quelli clandestini
Un assistente che risponde dai documenti aziendali, citando la fonte: l’uso si sposta lì da sé, perché è più comodo del copia-incolla.
04
Formazione di chi li usa
L’art. 4 chiede di poter dimostrare che le persone sono state messe in condizione di usare l’AI. Si fa sul sistema reale dell’azienda, non con le slide.
05
Le macchine
Server e modelli installati in azienda. I dati non escono, gli accessi restano tracciati, e se un giorno vuoi cambiare modello i documenti e il ferro sono già tuoi.
LA PROVA
Cosa abbiamo già fatto
Un assistente che risponde solo dai contenuti aziendali e cita le fonti su 2.500 articoli, e un servizio che trascrive le chiamate del centralino senza mandare l’audio a nessuno. Stessa impostazione: modelli in locale, nessuna API esterna.
Leggi il caso dell’assistenteDOMANDE DIRETTE
Le cose che ci vengono chieste per prime.
Siamo una PMI: l’AI Act ci riguarda?
Sì, ma meno di quanto spaventi il titolo. La gran parte dei sistemi usati in ufficio ricade nel rischio minimo o limitato, dove gli obblighi sono di trasparenza. Quello che riguarda chiunque usi un chatbot è informare chi interagisce e formare chi lo usa: due cose concrete, non un reparto di compliance.
Se uso un fornitore europeo sono a posto?
Sei messo meglio, ma non automaticamente a posto: conta la giurisdizione a cui risponde il fornitore e la sensibilità dei dati. Per dati personali o informazioni commerciali strategiche la strada che regge è l’elaborazione in locale.
Serve un server potentissimo?
Dipende dal modello e da quante persone lo usano insieme. Per un assistente sui documenti di una PMI basta tipicamente una macchina con una GPU da 24-48 GB. Si dimensiona sul lavoro reale, non sul catalogo.
Da dove si comincia?
Da un processo solo. Prendiamo un caso concreto - le chiamate, un manuale, le procedure di un reparto - lo mettiamo in funzione in azienda e misuriamo il risultato. Roadmap e presentazioni vengono dopo, se servono.
Fate anche la parte legale?
No. Noi mettiamo in piedi la parte tecnica. Per informative, valutazioni d’impatto, conservazione dei dati e accordi sindacali serve il vostro consulente o un legale: quello che possiamo fare è dargli i fatti tecnici di cui ha bisogno - dove girano i modelli, quali dati trattano, come si tracciano gli accessi.
Avvertenza
Questa pagina riassume obblighi e scadenze da fonti pubbliche (elencate qui sotto) e non è un parere legale. Prima di decidere su informative, conservazione dei dati o strumenti di controllo, verifica con il tuo consulente.
Fonti
- Commissione europea - dal 2 agosto 2026 al via l’enforcement dell’AI Act (comunicato)
- Il Sole 24 Ore - AI Act: gli obblighi già in vigore per imprese e professionisti
- Yellow Tech - i livelli di rischio e il rinvio dell’alto rischio al 2 dicembre 2027
- Smartweek - il 77% dei dipendenti incolla dati sensibili nei prompt
- Agenda Digitale - Sovereign AI: il Cloud Act e la giurisdizione sui dati
Parliamone di persona.
Analisi gratuita in Brianza e Lombardia. Rispondiamo entro 24 ore lavorative.
Il messaggio è già pronto, puoi modificarlo prima di inviare. Rispondiamo entro 24 ore lavorative.