GDPR e chatbot IA: cosa devono sapere le aziende

Quali dati personali tratta un chatbot IA?

Non appena un utente interagisce con un chatbot IA si generano dati. I più evidenti sono i contenuti della conversazione: input testuali, domande, reclami, dettagli prenotazione. Spesso sono dati personali ai sensi GDPR perché contengono identificatori diretti come nome o e-mail oppure possono essere associati a una persona insieme ad altri dati. Anche gli indirizzi IP trasmessi tecnicamente via webchat sono dati personali.

Nei chatbot usati in processi con account cliente si aggiungono altre categorie: numeri cliente, cronologie ordini, informazioni pagamento (se integrato nel checkout) o dati sanitari (in applicazioni mediche). Queste categorie particolari ai sensi dell'art. 9 GDPR richiedono un livello di protezione elevato e misure tecniche e giuridiche specifiche.

Il principio di minimizzazione dei dati (art. 5 par. 1 lett. c GDPR) richiede di trattare solo i dati realmente necessari allo scopo. Per un FAQ-bot senza autenticazione significa: i contenuti conversazione non dovrebbero essere conservati indefinitamente, gli indirizzi IP dovrebbero essere anonimizzati e i dati personali raccolti solo se strettamente necessari al processo di servizio. Un chatbot configurato con attenzione è quindi molto meno problematico dal punto di vista privacy di uno pianificato male.

Requisiti GDPR per l'operatività chatbot

Il GDPR impone una serie di requisiti fondamentali a ogni trattamento. Primo: ogni trattamento necessita di una base giuridica ai sensi dell'art. 6 GDPR — consenso dell'utente, necessità contrattuale, interesse legittimo o altra base prevista dalla legge. La base deve essere definita e documentata prima del trattamento e, in caso di dubbio, motivabile all'autorità di controllo.

Secondo: esiste un ampio obbligo informativo verso gli interessati. Gli utenti devono sapere quali dati vengono trattati, per quale scopo, per quanto tempo, chi può riceverli e quali diritti possiedono — accesso, rettifica, cancellazione e limitazione. Le informazioni devono essere chiare e comprensibili, tipicamente nell'informativa privacy e tramite un avviso nella finestra chat.

Terzo: il GDPR prescrive «Privacy by Design e by Default» (art. 25). Significa che configurazioni favorevoli alla privacy devono essere lo standard fin dall'inizio, non aggiunte successive. Per i chatbot IA: periodi di conservazione brevi di default, anonimizzazione dei log, permessi restrittivi e possibilità semplice per gli utenti di cancellare i propri dati.

IA Cloud vs On-Premises: cosa significa per la privacy?

Con un chatbot IA Cloud, dati conversazione e richieste vengono inviati ai server esterni di un provider di modelli linguistici, elaborati lì e — in base alla configurazione — potenzialmente usati per training. Per il GDPR è decisivo dove si trovano i server. Con provider statunitensi la situazione è complessa dopo Schrems II. Provider UE o data center UE sono chiaramente preferibili secondo il diritto europeo. Inoltre serve un accordo sul trattamento dati (AVV/DPA).

On-Premises significa che l'intera infrastruttura — incluso il modello IA — gira su server controllati dall'azienda. Con IA locale nessun dato conversazione lascia l'infrastruttura. Viene così meno la necessità di un AVV con un provider IA Cloud per l'elaborazione, che avviene internamente. Per settori regolamentati — sanità, legale, finanza — On-Premises è spesso l'unica opzione ragionevole.

È possibile anche un approccio ibrido: infrastruttura chatbot e base di conoscenza girano su server sicuri nell'UE, mentre per casi meno sensibili viene usato un modello Cloud. Zentor App supporta entrambe le modalità — Cloud tramite provider IA esterno e completamente locale — lasciando all'azienda la scelta dell'architettura. La decisione va idealmente presa insieme a responsabile privacy e consulente legale.

Accordo sul trattamento dei dati (AVV/DPA): quando serve e cosa disciplina

L'accordo sul trattamento dei dati ai sensi dell'art. 28 GDPR è lo strumento centrale per disciplinare le responsabilità tra azienda (titolare) e fornitore esterno (responsabile) che tratta dati personali per conto del cliente. Nell'uso di un chatbot IA tramite SaaS, l'AVV è generalmente obbligatorio: il provider elabora dati conversazione sui propri server.

L'AVV deve essere concluso per iscritto o in formato elettronico equivalente e coprire contenuti minimi: oggetto e durata del trattamento, natura e finalità, categorie di dati e interessati, obblighi e diritti del titolare. Inoltre il responsabile deve garantire misure tecniche e organizzative adeguate (TOMs) e non usare sub-responsabili senza autorizzazione.

Importante: l'AVV deve essere concluso prima della messa in funzione del chatbot. La sua assenza nonostante il trattamento per conto è una violazione GDPR autonoma e sanzionabile. Verifica quindi per ogni provider se offre un AVV, quali sub-responsabili utilizza (ad es. provider Cloud o IA esterni) e come li gestisce. Provider seri come Zentor App offrono modelli standard e rendono trasparenti i contenuti.

Responsabile privacy e chatbot: cosa considerare?

Le aziende che hanno un responsabile della protezione dei dati (DSB/DPO) interno o esterno devono coinvolgerlo nell'introduzione del chatbot IA. Il DPO verifica l'implementazione conforme, valuta i rischi e monitora il rispetto GDPR. Non riguarda solo compliance formale ma configurazione tecnica concreta: quali dati vengono salvati, per quanto tempo, chi accede e come vengono gestite richieste degli interessati.

Uno dei compiti più importanti del DPO è verificare se serve una valutazione d'impatto sulla protezione dei dati (DSFA/DPIA) ai sensi dell'art. 35 GDPR. È obbligatoria quando il trattamento può comportare un rischio elevato per diritti e libertà delle persone. Può essere il caso di chatbot che trattano sistematicamente dati sensibili, fanno profiling o supportano decisioni con impatti significativi.

Anche quando un DPO non è obbligatorio per legge, è consigliabile una verifica privacy prima del Go-Live. Soprattutto nelle piccole aziende che usano per la prima volta un chatbot sono frequenti errori: informativa mancante o obsoleta, AVV dimenticato, periodi di conservazione troppo lunghi o concetti di cancellazione assenti. Una consulenza esterna può ripagarsi e proteggere da sanzioni rilevanti.

Misure tecniche e organizzative (TOMs) per chatbot

Il GDPR richiede all'art. 32 misure tecniche e organizzative adeguate per un livello di sicurezza proporzionato al rischio. Per chatbot IA significa concretamente: tutte le trasmissioni tra browser e Backend chatbot devono essere crittografate (TLS/HTTPS). Anche dati conversazione e contenuti della base di conoscenza archiviati dovrebbero essere crittografati — sia nel database sia sui supporti associati.

Sul lato accessi, il GDPR richiede limitazione: solo dipendenti e sistemi che ne hanno realmente bisogno possono accedere ai dati personali. Zentor App applica questo principio con Role-Based Access Control (RBAC), disponibile come modulo liberamente selezionabile nel pacchetto Individuale: ruoli diversi ricevono permessi diversi e tutti gli accessi vengono registrati nell'Audit Trail. In caso di necessità è quindi dimostrabile chi ha avuto accesso a quali dati e quando.

Dal punto di vista organizzativo, le TOM comprendono processi interni chiari: chi è responsabile della base di conoscenza? Come vengono gestite richieste di cancellazione? Come si garantisce che i dati conversazione non restino più del necessario? Come reagisce l'azienda in caso di incidente privacy, ad esempio se un chatbot rivela involontariamente dati di un altro utente? Questi processi devono essere documentati e verificati regolarmente.

Zentor App e GDPR: hosting UE e On-Premises come opzioni

Zentor App è stata sviluppata fin dall'inizio per consentire un'operatività conforme al GDPR. La piattaforma può essere ospitata su server UE — hosting, database e logica applicativa restano sotto diritto europeo. Se viene collegato opzionalmente un provider IA esterno, un eventuale utilizzo fuori UE avviene esclusivamente sulla base delle clausole contrattuali standard UE (art. 46 GDPR), evitando trasferimenti incontrollati verso Paesi terzi. Per aziende che valutano una soluzione Cloud, l'hosting UE è la prima decisione fondamentale verso la compliance.

Per aziende con requisiti privacy massimi Zentor App offre installazione On-Premises completa. In questo modello l'intera piattaforma — motore chatbot, base di conoscenza, Inbox omnicanale e componenti di elaborazione — gira su infrastruttura controllata dall'azienda. Con IA locale nessun dato conversazione o personale lascia l'ambiente IT. È particolarmente adatto a ospedali, studi legali, consulenze fiscali e altri settori in cui la privacy è essenziale.

Zentor App mette a disposizione accordi sul trattamento dati (AVV/DPA) per l'operatività Cloud e documenta i sub-responsabili utilizzati con nome azienda, Paese, finalità e base del trasferimento al punto 13 dell'informativa privacy. Le funzioni tecniche — RBAC, Audit Trail, periodi di conservazione configurabili e controlli accesso basati sui ruoli — sono configurabili come moduli liberamente selezionabili nel pacchetto Individuale. Crei così i presupposti tecnici per un chatbot conforme al GDPR; la valutazione giuridica del caso concreto resta compito del team privacy e dei consulenti legali.

Domande frequenti