Free (gratuita)
Gli input vengono usati per impostazione predefinita per addestrare i modelli finché non lo disattivate. Nessun accordo sul trattamento dei dati, nessuna gestione. Non adatta ai dati aziendali.
ChatGPT e protezione dei dati: potete davvero usare ChatGPT in azienda?
ChatGPT è conforme al GDPR? Quale versione è adatta alle aziende, quali impostazioni configurare, cosa i dipendenti non devono mai inserire e quando un'IA aziendale propria è la scelta migliore.
Una collega copia un contratto cliente in ChatGPT. Le serve solo un breve riassunto. La risposta arriva in pochi secondi. Il contratto ora si trova sui server di un fornitore negli USA. La direzione non ne sa nulla. Proprio qui inizia il tema ChatGPT e protezione dei dati.
La buona notizia: ChatGPT non è vietato in azienda in quanto tale. La cattiva: con un account privato e senza regole si finisce rapidamente fuori dal GDPR. In questa guida scoprite quale versione è adatta e quali impostazioni privacy di ChatGPT configurare. Inoltre: cosa prevede la legge e quando un'IA aziendale propria è la soluzione più sicura.
In DOCSHERO® affianchiamo da oltre 20 anni le PMI nella gestione documentale e ora anche nell'introduzione dell'IA. Nella nostra guida all’IA raccogliamo ciò che consigliamo alle aziende: qui tutto su ChatGPT.
Aggiornato a ottobre 2026. Tutte le informazioni su OpenAI si basano sulle dichiarazioni pubbliche del fornitore e sulle fonti indicate sotto.
DOCSHERO® / Potenziale IA
Quanto tempo e denaro potreste risparmiare subito con l’IA?
Inserite il vostro sito e assicuratevi un primo colloquio senza impegno. Analizziamo prima la vostra azienda e vi mostriamo quali attività può svolgere un’IA, con i dati in azienda.
Non salviamo il dato inserito: il logo viene caricato tramite Google.
Scegliete un orario per il primo colloquio
L'essenziale in breve
- ChatGPT non è automaticamente conforme al GDPR. Se l'uso sia consentito dipende da versione, contratto e dati inseriti.
- Free, Plus e Pro non sono adatti ai dati aziendali. Manca un accordo sul trattamento dei dati e gli input vengono usati di default per l'addestramento.
- Business ed Enterprise offrono le basi: nessun addestramento con i vostri dati, accordo sul trattamento e gestione centralizzata. Il trasferimento negli USA va comunque messo in sicurezza.
- Senza policy, formazione e consiglio aziendale non funziona. Dal 2025 anche l'AI Act richiede misure per l'alfabetizzazione sull'IA.
- Per i documenti riservati un ChatGPT interno con fonti è la scelta più sicura, perché i dati restano in azienda.
In breve
ChatGPT è conforme al GDPR ed è sicuro?
La risposta onesta: dipende dalla versione, dal contratto e dai dati.
ChatGPT non è conforme al GDPR di per sé, ma potete usarlo in modo conforme al GDPR. Servono tre condizioni:
- La versione giusta: Per le aziende entrano in gioco ChatGPT Business, ChatGPT Enterprise o l'API. I piani gratuiti e personali non sono adatti ai dati personali perché manca un accordo sul trattamento dei dati.
- Un contratto corretto: Stipulate con OpenAI un accordo sul trattamento dei dati ai sensi dell'art. 28 GDPR e mettete in sicurezza il trasferimento verso gli USA.
- Regole chiare per gli input: I dipendenti sanno quali dati sono vietati e sono stati formati.
Se manca uno di questi punti, l'uso è rischioso. Alla domanda «ChatGPT è sicuro?» non si può quindi rispondere con un semplice sì o no. Diventa sicuro solo grazie all'organizzazione che lo circonda. Proprio qui vi supportiamo in DOCSHERO®: in un'analisi del potenziale dell'IA chiariamo insieme quali attività potete svolgere bene con ChatGPT e dove ha più senso una soluzione propria.
30 giorni
È il tempo per cui OpenAI conserva sui propri sistemi le chat eliminate e temporanee prima di cancellarle definitivamente, salvo obblighi di legge che impongano una conservazione più lunga.
Fonte: OpenAI, informazioni sulla conservazione dei dati
Trattamento dei dati
Quali dati tratta ChatGPT e dove finiscono?
Prima di parlare di contratti, conviene capire cosa succede davvero quando si scrive.
Tutto ciò che inserite in ChatGPT viene trattato sui server di OpenAI. Questo include:
- Prompt e risposte, cioè ogni domanda e ogni risultato nella cronologia
- File caricati come PDF, fogli di calcolo, presentazioni o contratti
- Immagini e screenshot, comprese le persone riconoscibili e i metadati
- Memorie che ChatGPT conserva su di voi per adattare le risposte future
- Dati dell'account e di utilizzo come indirizzo e-mail, indirizzo IP, dispositivo e dati di pagamento
La vostra controparte contrattuale in Europa è OpenAI Ireland Ltd. Gran parte del trattamento avviene però negli USA. Solo con ChatGPT Enterprise, ChatGPT Edu e progetti API idonei potete far conservare i dati in Europa, da febbraio 2025. Da gennaio 2026 OpenAI offre inoltre ai clienti Enterprise idonei la possibilità di calcolare le risposte su hardware in Europa.
Una lezione del 2025: Nella causa con il New York Times, OpenAI ha dovuto conservare da maggio a settembre 2025 anche le chat eliminate degli utenti privati. Ciò dimostra che le promesse di cancellazione di un fornitore possono essere sospese da un ordine del tribunale. Chi affida dati riservati a un sistema altrui non ne mantiene più il pieno controllo.
Nella pratica quotidiana: trattate ogni input in ChatGPT come se lo inviaste a un fornitore esterno. Perché è esattamente ciò che accade. Chi gestisce i propri documenti centralmente in un sistema ECM con autorizzazioni chiare sa almeno quali documenti sono riservati e chi può vederli. In DOCSHERO® impostiamo questi concetti di autorizzazione nei progetti ELO, così che poi anche l’IA veda solo ciò che può vedere.
Versioni a confronto
ChatGPT Plus, Business o Enterprise: quale versione è conforme al GDPR?
La differenza più importante non sta nelle funzioni, ma nel modo in cui vengono trattati i vostri dati.
Plus e Pro
Più potenza, ma per la protezione dei dati come la versione gratuita: l'addestramento è attivo di default e manca un accordo sul trattamento. ChatGPT Plus è un account privato, anche se la fattura la paga l'azienda.
Business
In precedenza «Team». I vostri dati non vengono usati per l'addestramento di default, è disponibile un accordo sul trattamento dei dati e gli amministratori gestiscono i membri centralmente. Il punto di partenza per team piccoli e medi.
Enterprise
Come Business, più single sign-on, diritti di amministrazione estesi, periodi di conservazione configurabili e la possibilità di conservare e trattare i dati in Europa.
API
Per applicazioni proprie. I dati non vengono usati per l'addestramento ed è disponibile un accordo sul trattamento. La qualità della protezione dei dati dipende molto da come è costruita l'applicazione.
Ne deriva una regola semplice: ChatGPT Plus e la protezione dei dati in azienda non vanno d'accordo non appena entrano in gioco dati personali o riservati. In ChatGPT Business la protezione dei dati è regolata molto meglio, perché ci sono contratto, gestione ed esclusione dall'addestramento. ChatGPT Enterprise aggiunge la conservazione in Europa e più controllo per l'IT.
Ma anche con Business o Enterprise, OpenAI resta un fornitore esterno negli USA. Se ciò basti per i vostri dati dipende da cosa trattate. Per i testi di marketing di solito sì. Per fascicoli del personale, dati sanitari o documentazione tecnica, piuttosto no. Questi dati vanno in un ambiente di cui decidete voi l'ubicazione: la vostra infrastruttura IT o un cloud in Germania, come quello che gestiamo con HEROcloud. Tra l’altro, le stesse domande si pongono per la protezione dei dati di Microsoft Copilot non appena il vostro team usa l’IA in Microsoft 365.
Quadro giuridico
ChatGPT e GDPR: cosa prevede la legge
Il GDPR si applica a ChatGPT come a qualsiasi altro software con cui trattate dati personali.
Non appena in un prompt compaiono un nome, un indirizzo e-mail, un numero cliente o una foto, state trattando dati personali. Si applicano allora gli obblighi del GDPR:
Base giuridica (art. 6 GDPR): Ogni trattamento richiede una base giuridica, ad esempio l'esecuzione di un contratto o il legittimo interesse. Per categorie particolari come i dati sanitari (art. 9 GDPR) i requisiti sono molto più elevati.
Trattamento per conto terzi (art. 28 GDPR): OpenAI tratta i dati per vostro conto. Serve quindi un accordo sul trattamento dei dati. OpenAI lo offre per Business, Enterprise e l'API, non per Free, Plus o Pro.
Trasferimenti verso paesi terzi (art. 44 e ss. GDPR): I dati vanno negli USA. Secondo le nostre informazioni di ottobre 2026, OpenAI non è certificata nell'EU-US Data Privacy Framework. Il trasferimento si basa quindi sulle clausole contrattuali standard ed è opportuno documentare una valutazione d'impatto del trasferimento. Verificate voi stessi lo stato attuale nell'elenco ufficiale DPF, perché può cambiare.
Registro delle attività di trattamento (art. 30 GDPR): L'uso di ChatGPT va inserito nel registro con finalità, categorie di dati e destinatari. Chi gestisce già i documenti con un'archiviazione a norma e termini fissi di conservazione e cancellazione ha già svolto parte di questa documentazione.
Valutazione d'impatto (art. 35 GDPR): Se usate ChatGPT per dati dei candidati, valutazioni delle prestazioni, dati sanitari o su larga scala, una valutazione d'impatto è probabilmente obbligatoria.
Obblighi di informazione (art. 13 e 14 GDPR): Clienti, candidati e dipendenti devono sapere che i loro dati vengono trattati con l'IA.
Le autorità di controllo tedesche offrono orientamento. La Conferenza per la protezione dei dati (DSK) ha pubblicato a maggio 2024 linee guida su IA e protezione dei dati. A giugno 2025 sono seguite altre sulle misure tecniche e organizzative per i sistemi di IA. Entrambe sono una buona base per la vostra verifica interna. Se non volete farlo da soli, in DOCSHERO® verifichiamo volentieri l’uso insieme a voi e al vostro responsabile della protezione dei dati.
L'Italia dimostra che le autorità vigilano da vicino: il Garante per la protezione dei dati personali ha inflitto a OpenAI a dicembre 2024 una sanzione di 15 milioni di euro. Un tribunale di Roma l'ha annullata a marzo 2026. Il procedimento riguardava OpenAI stessa. Come azienda, restate comunque responsabili dei vostri input.
Se i dipendenti usano ChatGPT volontariamente con account privati nel browser e il datore di lavoro non ha accesso ai dati di utilizzo, il consiglio aziendale non ha diritto di codeterminazione.
Secondo il Tribunale del lavoro di Amburgo, decisione del 16 gennaio 2024, rif. 24 BVGa 1/24
Questa decisione viene spesso fraintesa. Riguarda solo il caso in cui permettete l'uso ma non fornite account aziendali. Non appena introducete ChatGPT Business o Enterprise, la situazione cambia: l'azienda fornisce il software, gli amministratori possono vedere i dati di utilizzo e di regola si applica la codeterminazione prevista dal § 87, comma 1, n. 6 della legge tedesca sull'organizzazione aziendale. Coinvolgete quindi presto il consiglio aziendale e regolate l'uso in un accordo aziendale. Se desiderate supporto: in DOCSHERO® accompagniamo le introduzioni sul piano tecnico e organizzativo, dalla policy sull’IA alla formazione sulle competenze IA.
Checklist
Checklist GDPR: usare ChatGPT nel rispetto della protezione dei dati
Questi otto punti andrebbero spuntati prima che ChatGPT venga approvato ufficialmente in azienda.
Versione scelta: Business, Enterprise o API invece di account privati. Escludere espressamente gli account privati per i dati aziendali.
Accordo sul trattamento firmato: Stipulare e archiviare con OpenAI un accordo sul trattamento dei dati ai sensi dell'art. 28 GDPR.
Trasferimento extra UE garantito: Verificare le clausole contrattuali standard e documentare una valutazione d'impatto del trasferimento. Controllare regolarmente lo stato DPF.
Addestramento escluso: Verificare che i vostri input non vengano usati per l'addestramento, anche per singole funzioni aggiuntive.
Registro aggiornato: Inserire ChatGPT nel registro delle attività di trattamento con finalità, categorie di dati e destinatari.
Valutazione d'impatto verificata: Effettuare una valutazione d'impatto in caso di dati sensibili o uso su larga scala.
Consiglio aziendale coinvolto: Chiarire la codeterminazione e regolare l'uso in un accordo aziendale.
Policy e formazione: Redigere una policy IA con i dati vietati, formare tutti gli utenti e documentare la formazione.
DOCSHERO® / Prontezza IA
Quanto è pronta la vostra azienda per l’IA?
Inserite il vostro sito e scoprite in un breve colloquio a che punto siete su protezione dei dati, dati e team, e quale passo successivo conviene davvero.
Non salviamo il dato inserito: il logo viene caricato tramite Google.
Scegliete un orario per il primo colloquio
Impostazioni
Impostazioni privacy di ChatGPT: passo dopo passo
Queste impostazioni riducono il rischio. Non sostituiscono un contratto né una policy.
Disattivare l'addestramento
Aprite Impostazioni → Controlli dati e disattivate «Migliora il modello per tutti». Le nuove chat non verranno più usate per l'addestramento. In Business ed Enterprise è già l'impostazione predefinita.
Usare la chat temporanea
Per domande occasionali avviate una chat temporanea. Non compare nella cronologia, non viene usata per le memorie e viene eliminata dopo 30 giorni.
Controllare le memorie
In Impostazioni → Personalizzazione vedete cosa ChatGPT ha memorizzato su di voi. Eliminate le voci con dati aziendali o personali oppure disattivate del tutto la funzione.
Ripulire la cronologia
Eliminate le vecchie chat con contenuti sensibili. In Controlli dati potete anche esportare i vostri dati e vedere cosa è memorizzato.
Proteggere l'account
Attivate l'autenticazione a più fattori in Impostazioni → Sicurezza. Un account compromesso espone l'intera cronologia delle chat.
Gestire il workspace centralmente
In Business ed Enterprise gli amministratori decidono chi ha accesso, quali app e connettori sono consentiti e, in Enterprise, per quanto tempo vengono conservati i dati. Usate il single sign-on affinché le uscite abbiano effetto immediato.
Dati vietati
Cosa non chiedere a ChatGPT? Questi dati sono vietati
Anche con la versione Business e un contratto, ci sono dati che non devono finire in un servizio di IA pubblico.
Dati personali
Nomi, indirizzi, numeri di telefono o numeri cliente di clienti, candidati e dipendenti, soprattutto se combinati.
Categorie particolari
Dati sanitari, certificati di malattia, appartenenza religiosa, iscrizione sindacale o dati biometrici.
Segreti aziendali
Calcoli dei costi, condizioni, documenti strategici, disegni tecnici e tutto ciò che rientra in un accordo di riservatezza.
Contratti e fascicoli del personale
Contratti completi, referenze, richiami o dati retributivi. Anonimizzare spesso non basta.
Credenziali
Password, chiavi API, token di accesso o file di configurazione con credenziali.
Codice sorgente interno
Software proprietario, algoritmi o concetti di sicurezza. Qui sono in gioco la proprietà intellettuale e la superficie di attacco.
AI Act
AI Act e ChatGPT: l’alfabetizzazione sull’IA che serve alla vostra azienda
Oltre al GDPR, dal 2025 si applica anche il regolamento europeo sull'IA.
Dal 2 febbraio 2025 l'art. 4 dell'AI Act obbliga le aziende che usano sistemi di IA ad adottare misure per l'alfabetizzazione sull'IA del personale. Ciò vale anche se usate «solo» ChatGPT.
Con il Digital Omnibus (Regolamento (UE) 2026/1744), entrato in vigore il 27 luglio 2026, l'obbligo è stato attenuato: non dovete più garantire un determinato livello di competenza. Le misure restano però obbligatorie. In pratica: formate i dipendenti all'uso sicuro dell'IA e registrate chi è stato formato e quando.
Una buona formazione copre tre temi: cosa sa fare l'IA e dove sbaglia, quali dati sono vietati e come verificare i risultati prima di condividerli. Chi la organizza bene soddisfa contemporaneamente i requisiti del GDPR e dell'AI Act. Il nostro check di prontezza IA vi mostra in pochi minuti a che punto è il vostro team.
In DOCSHERO® vi supportiamo volentieri con formazioni su misura per i vostri strumenti, dati e processi, invece che con slide generiche.
Introduzione
Introdurre ChatGPT in azienda: 6 passi per un uso sicuro
Così passate dall'uso nascosto a un uso regolato.
Fare il punto
Chiedete chi usa già l'IA, per cosa e con quali account. Senza colpevolizzare: volete un quadro sincero.
Definire i casi d'uso
Raccogliete le attività in cui l'IA aiuta davvero e ordinatele per rischio sui dati: testi pubblici, documenti interni, dati personali.
Scegliere la soluzione
Per attività non critiche spesso basta ChatGPT Business. Per documenti interni e dati sensibili, pianificate un'IA aziendale propria.
Contratti e documentazione
Preparare l'accordo sul trattamento, la valutazione d'impatto del trasferimento, il registro delle attività e, se necessario, una valutazione d'impatto.
Consiglio aziendale e policy
Coinvolgere il consiglio aziendale, stipulare un accordo aziendale e pubblicare una policy IA comprensibile con i dati consentiti e vietati.
Formare e verificare regolarmente
Formare tutti gli utenti, nominare referenti e verificare l'uso almeno una volta all'anno. Fornitori e quadro normativo cambiano in fretta.
Il passo 3 fa la differenza maggiore. Il punto della situazione mostra spesso che le attività di maggior valore riguardano documenti interni: fatture, contratti, richieste e bolle di consegna. Qui conviene integrare l'IA direttamente nei workflow esistenti invece di copiare contenuti in una finestra di chat. Così il rischio che dati riservati arrivino a un fornitore esterno non si presenta nemmeno. In DOCSHERO® realizziamo proprio questi workflow con ELO, inclusa un’IA che funziona nel vostro ambiente.
Alternativa
ChatGPT interno: l’alternativa a ChatGPT conforme al GDPR
Per molte attività nelle PMI la soluzione non è ChatGPT, ma un'IA che lavora sui vostri documenti.
La maggior parte dei casi d'uso di valore ruota attorno alla vostra conoscenza: cercare nei contratti, controllare fatture, rispondere a richieste, smistare la posta in entrata. Per questo una finestra di chat pubblica è lo strumento sbagliato. Dovreste caricare i documenti, perdereste le autorizzazioni e non avreste una fonte per la risposta.
Ciò che per le aziende è meglio di ChatGPT è quindi spesso un’IA conforme al GDPR che funziona come ChatGPT interno nel vostro ambiente. Con l’ELO Assistant interrogate i vostri documenti direttamente nel software ELO in linguaggio naturale, come con un chatbot, ma all’interno del vostro archivio. Lo rende possibile l’intelligenza artificiale con ELO.
L'IA aiuta anche nel lavoro quotidiano senza che i dati escano dall'azienda. La classificazione automatica dei documenti riconosce se uno scritto è una fattura, una disdetta o una bolla di consegna. L'estrazione intelligente dei dati legge importi, numeri e scadenze. E la posta in entrata digitale smista tutto al posto giusto.
I dati restano in azienda o in un data center tedesco e le autorizzazioni arrivano direttamente dalla vostra gestione documentale. Da oltre 20 anni in DOCSHERO® realizziamo soluzioni di questo tipo per le PMI, dalla prima idea fino all'esercizio quotidiano.
I dati restano in azienda
L'IA funziona nel vostro ambiente o in un data center tedesco. Nessun trasferimento verso gli USA, nessun addestramento con i vostri dati.
Permessi dal DMS
Ognuno vede solo ciò che può vedere nella gestione documentale. I fascicoli del personale restano alle risorse umane.
Risposte con fonte
Ogni risposta indica da quale documento proviene. Verificabile invece che indovinata.
BUONO A SAPERSI
Domande frequenti su ChatGPT e protezione dei dati
ChatGPT è conforme al GDPR?
Non automaticamente. Con ChatGPT Business, Enterprise o l'API, un accordo sul trattamento dei dati, trasferimenti extra UE garantiti e regole chiare per i dipendenti, potete usare ChatGPT in modo conforme al GDPR. I piani gratuiti e personali non sono adatti a questo scopo.
I miei dati sono al sicuro con ChatGPT?
OpenAI cifra i dati e offre funzioni di sicurezza come l'autenticazione a più fattori. Tuttavia i vostri input vengono trattati da un fornitore esterno negli USA. Con Free, Plus e Pro vengono usati di default per l'addestramento. I dati riservati non vanno quindi in un account privato.
Qualcuno può vedere la mia cronologia di ChatGPT?
Negli account privati avete accesso solo voi, anche se OpenAI può esaminare le chat per controllare gli abusi. In Business ed Enterprise gli amministratori possono accedere ai dati del workspace a seconda delle impostazioni. Per questo negli account aziendali ha voce anche il consiglio aziendale.
Cosa non si deve chiedere a ChatGPT?
Potete chiedere quasi tutto. Ma non dovreste inserire dati personali di clienti o dipendenti, dati sanitari, segreti aziendali, credenziali o contratti completi.
ChatGPT Business è conforme al GDPR?
ChatGPT Business offre i presupposti principali: nessun addestramento con i vostri dati, un accordo sul trattamento e la gestione centralizzata. L'uso diventa conforme al GDPR solo con la vostra documentazione, le garanzie per il trasferimento negli USA, una policy e la formazione.
Posso caricare immagini in ChatGPT?
Sì, purché non vi siano riconoscibili persone, dati dei clienti o documenti interni. Le immagini vengono trattate come gli input testuali e spesso contengono metadati aggiuntivi come la posizione.
Qual è l'alternativa a ChatGPT rispettosa della privacy?
Un'IA aziendale propria che funziona nel vostro ambiente o in un data center tedesco, rispetta le vostre autorizzazioni e non usa i vostri dati per l'addestramento. Così potete usare l'IA anche per documenti riservati.
Fonti e contesto
Stato giuridico e verifica delle fonti: 22 ottobre 2026. I requisiti di legge sono collegati direttamente; i passaggi di processo sono raccomandazioni di attuazione. Questo articolo non costituisce consulenza legale. Verificate il caso concreto con il vostro responsabile della protezione dei dati.
- OpenAI: residenza dei dati in Europa
- iubenda: OpenAI e conformità al GDPR
- CompanyScope: profilo privacy di OpenAI
- GvW: nuove linee guida DSK sull'IA
- ITMR: il Digital Omnibus entra in vigore
- Gleiss Lutz: il Tribunale del lavoro di Amburgo su ChatGPT e consiglio aziendale
- WSGR: un tribunale di Roma annulla la sanzione a OpenAI
- iTechGuides: fine dell'ordine di conservazione del 2025