Inviare il database clienti a ChatGPT: cosa è legale

Consideri questo testo come le note di un professionista condivise gratuitamente: mostriamo come si struttura di solito la procedura, non come debba essere necessariamente configurata nel Suo caso specifico. Si trova in un ufficio di 50 persone. Il commerciale alza lo sguardo dal portatile e dice che da un mese incolla estratti del database clienti su ChatGPT per preparare le offerte piu rapidamente. Funziona, gli fa risparmiare 2 ore al giorno. La domanda e: e legale? Per un'azienda che opera come titolare del trattamento dei dati personali, la risposta dipende da un solo fattore: quale tipo di account utilizza il commerciale e se l'azienda ha stipulato un accordo di nomina a responsabile del trattamento con il fornitore. La maggior parte delle PMI utilizza account personali gratuiti, ed e l'opzione peggiore.

AIImmagine generata dall'IA.

La differenza non e marginale. Nei piani Free e Plus, OpenAI agisce come titolare autonomo: non esiste alcun accordo di nomina a responsabile del trattamento e i contenuti possono essere usati per l'addestramento dei modelli. Nei piani Team, Enterprise e API, OpenAI agisce come responsabile del trattamento, sottoscrive un Data Processing Addendum e permette di disattivare l'addestramento sui dati del cliente. Questa e la prima decisione da cui dipende tutto il resto. La base giuridica e solitamente l'art. 6, par. 1, lett. b o f del GDPR, e per i dati particolari l'art. 9. Il trasferimento verso gli Stati Uniti, a seguito della decisione della Commissione del 10 luglio 2023, si basa sul Data Privacy Framework, a condizione che il fornitore sia certificato.

Cosa realizzare questa settimana

Fase 1: verificare gli account utilizzati dal personale. Tempo: 30 minuti, eseguita dal titolare o dall'IT. Basta chiedere ai team sales e marketing chi usa ChatGPT, Claude o Gemini e se accede con l'email aziendale o personale. Fase 2: passare a un account aziendale. Tempo: 1 giorno, eseguita dall'amministratore. Per 50 utenti il costo e di circa 15.000–30.000 PLN all'anno con il piano Team (25–30 USD al mese per utente). Nei piani Team ed Enterprise si sottoscrive il DPA e si disattiva l'addestramento nelle impostazioni. Fase 3: aggiornare il registro delle attivita di trattamento. Tempo: 2 ore, eseguita dal referente privacy/DPO. La voce deve includere: nome del trattamento (es. "Preparazione offerte con ChatGPT Team"), finalita, base giuridica, categorie di interessati e dati, destinatario (OpenAI Ireland Ltd come responsabile del trattamento), trasferimento verso gli USA ex art. 45 GDPR in combinato disposto con il DPF, periodo di conservazione (fino a 30 giorni per le API, per la durata contrattuale per Enterprise) e misure di sicurezza. Fase 4: aggiornare l'informativa privacy e informare i dipendenti. Tempo: 2 ore, eseguita dal marketing o dal legale. Basta aggiungere un paragrafo sul nuovo responsabile del trattamento e ricordare via email di inserire nel modello solo i dati strettamente necessari alla risposta.

Cosa non fare subito

Non acquisti subito il piano Enterprise: per 50 persone e spesso sovradimensionato, il piano Team e sufficiente e la differenza di prezzo puo essere del doppio. Non implementi un modello open source in locale solo per evitare il cloud: e un progetto che richiede mesi, mentre la questione si risolve con un account aziendale in una settimana. Non riscriva la privacy policy da zero: di solito basta un'integrazione a quella esistente. Non blocchi del tutto l'accesso all'AI ai dipendenti, perche torneranno a usare gli account privati perdendo ogni controllo. E non firmi il DPA senza verificare che il fornitore figuri effettivamente nel registro del Data Privacy Framework: il documento contrattuale da solo non basta senza la certificazione attiva.

AIImmagine generata dall'IA.

Come verificare il funzionamento dopo due settimane

Un unico indicatore: la percentuale di dipendenti che utilizzano l'AI su un account aziendale con l'addestramento disattivato. La verifica e immediata: nel pannello di amministrazione di OpenAI controlla quante persone accedono con l'email aziendale e quante usano ancora account privati. Se dopo due settimane oltre il 20% degli utenti lavora ancora con account gratuiti, significa che la formazione non e bastata: occorre riaprire il confronto o bloccare tecnicamente l'accesso alle versioni gratuite. Una quota inferiore al 20% e accettabile per iniziare; allineerai il resto nel mese successivo.

I costi di questa settimana riguardano principalmente il tempo: circa 6 ore di lavoro suddivise tra quattro persone. Le licenze aziendali comportano una spesa nell'ordine di 15.000–30.000 PLN all'anno, ma va confrontata con il rischio: la sanzione per mancanza di base giuridica o di accordo sul trattamento dei dati arriva fino a 20 milioni di EUR o al 4% del fatturato annuo. In concreto, le PMI ricevono raramente il massimo delle sanzioni, ma l'istruttoria dell'autorita per la protezione dei dati puo protrarsi per mesi. Se preferisce non farlo internamente, HEXART implementa queste configurazioni per i clienti: dalla scelta del piano alla firma del DPA, fino alla registrazione nel registro dei trattamenti e alla formazione del team. Nessuna rivoluzione, in una settimana.