Usare ChatGPT nel rispetto del GDPR: come fare
ChatGPT, Copilot, Claude e Gemini sono utili per scrivere una lettera, riassumere un fascicolo o rispondere a un cliente. Ma che fine fanno i nomi, gli indirizzi e i numeri che vi incolla? E il GDPR lo consente? In questo articolo vediamo quali regole valgono e come usare i chatbot IA senza rischi per la privacy.
Cosa dicono le autorità di controllo?
In Italia il Garante per la protezione dei dati personali è stato tra i primi a intervenire: il 30 marzo 2023 ha disposto una limitazione provvisoria del trattamento dei dati degli utenti italiani da parte di ChatGPT, revocata a fine aprile 2023 dopo che OpenAI aveva introdotto alcune misure, tra cui più informazioni per gli utenti e la possibilità di opporsi all'uso dei dati per l'addestramento.
Il 6 agosto 2024 l'autorità olandese (Autoriteit Persoonsgegevens) ha avvertito che l'uso dei chatbot IA può causare violazioni dei dati. Aveva ricevuto diverse notifiche: in un caso un dipendente di uno studio medico aveva inserito, contro le regole interne, dati sanitari di pazienti in un chatbot; in un altro un dipendente di una società di telecomunicazioni aveva inserito un file con, tra l'altro, indirizzi di clienti. Secondo l'autorità, se un dipendente usa un chatbot contro le indicazioni del datore di lavoro e inserisce dati personali, si tratta di una violazione dei dati.
Quali regole del GDPR entrano in gioco?
- Base giuridica (articolo 6 GDPR): per condividere dati personali con un fornitore di IA serve una base giuridica valida. "Era comodo" non lo è.
- Minimizzazione (articolo 5, paragrafo 1, lettera c): non si possono trattare più dati del necessario. Per migliorare lo stile di una lettera i nomi reali non servono.
- Categorie particolari (articolo 9): salute, religione, origine etnica e simili non possono in linea di principio essere trattati, salvo eccezioni specifiche.
- Responsabile del trattamento (articolo 28): se un'organizzazione tratta dati personali tramite un servizio esterno, serve un contratto con quel servizio.
- Trasferimenti fuori dall'UE (articoli 44 e seguenti): molti fornitori di IA sono statunitensi. Il trasferimento è ammesso solo con garanzie adeguate, come l'EU-US Data Privacy Framework o le clausole contrattuali tipo.
- Violazioni dei dati (articoli 33 e 34): se qualcosa va storto, la violazione va spesso notificata al Garante entro 72 ore.
7 regole per usare ChatGPT nel rispetto del GDPR
1. Anonimizzi o pseudonimizzi prima di incollare
La regola più importante: non incolli in un chatbot dati personali identificabili. Sostituisca prima nomi, codici fiscali, IBAN, indirizzi, numeri di telefono e di pratica con etichette. VerumVault lo fa in locale nel Suo browser e Le permette poi di reinserire i dati reali nella risposta.
2. Ometta le categorie particolari
Salute, diagnosi, religione o precedenti penali non vanno in un chatbot pubblico. Descriva la situazione in modo generico ("un dipendente è in malattia da tempo") se basta per la Sua domanda.
3. Attenzione agli identificatori indiretti
Anche senza nome una persona può essere riconosciuta dalla funzione, dal comune o da un evento unico. Approfondisca in Pseudonimizzazione o anonimizzazione.
4. Controlli le impostazioni
Nella versione consumer di ChatGPT può disattivare, nelle impostazioni di controllo dei dati, l'uso delle conversazioni per migliorare i modelli, e può usare una chat temporanea. Secondo OpenAI, i piani aziendali non usano di default i dati inseriti per l'addestramento. Tenga presente che il fornitore tratta e conserva comunque i dati (temporaneamente). Le impostazioni non sostituiscono quindi l'anonimizzazione.
5. Stabilisca regole nella Sua organizzazione
Le autorità consigliano alle organizzazioni di definire regole chiare: i dipendenti possono usare i chatbot IA e, se sì, quali dati possono inserire e quali no? Lo metta per iscritto in una breve policy sull'IA e lo comunichi a tutti.
6. Condivida solo il necessario
Le serve aiuto per un paragrafo? Non incolli l'intero fascicolo. Meno testo, meno rischio.
7. Verifichi la risposta
L'IA può sbagliare, anche sul piano giuridico. Usi la risposta come bozza e verifichi personalmente fatti, termini e riferimenti normativi, soprattutto per ricorsi o atti.
Il procedimento in breve: incolli la lettera in VerumVault → controlli le etichette → versione sicura a ChatGPT → incolli la risposta → ripristini i nomi reali in locale. Il fornitore dell'IA vede solo [PERSONA_1], [IBAN_1] ed etichette simili.
Per avvocati e professionisti legali valgono anche obblighi di segreto professionale; legga Anonimizzare documenti per avvocati. Una guida pratica è in Anonimizzare un documento in 3 passaggi.
Anonimizzi gratis il Suo documento con VerumVault →Funziona in locale nel Suo browser · nessun upload · nessun accountDomande frequenti
Posso incollare dati personali in ChatGPT?
Di solito non è prudente e spesso non è consentito. Serve una base giuridica e non si possono condividere più dati del necessario. Anonimizzi o pseudonimizzi prima il testo.
È una violazione dei dati se un dipendente incolla dati di clienti in un chatbot?
Secondo l'autorità olandese per la protezione dei dati sì, se avviene contro le indicazioni del datore di lavoro. In molti casi va notificata all'autorità di controllo.
ChatGPT è sicuro se disattivo l'addestramento?
Aiuta, ma il fornitore tratta e conserva comunque i dati. Le impostazioni non sostituiscono l'anonimizzazione.
Come riottengo i nomi reali nella risposta dell'IA?
Incolli la risposta in 'Ripristina risposta IA' in VerumVault. Le etichette vengono sostituite in locale nel Suo browser con i dati reali.