GDPR e IA: cosa chiede davvero la CNIL alle PMI
Incollare una mail cliente in un chatbot è già trattamento dati. La checklist ufficiale, senza gergo, per un team di 8 persone.
ConformitéIl GDPR non aspetta un «progetto IA». Si applica appena una persona è identificabile in ciò che digita, incolla o indicizza. Un preventivo, un CV, un filo di mail: è già il regolamento.
La CNIL l’ha detto senza giri di parole a microimprese e PMI: l’azienda è titolare del trattamento. Non lo stagista. Non OpenAI. Lei.
Abbiamo già raccontato cosa succede quando si incolla un fascicolo cliente in ChatGPT. Qui l’altra faccia: cosa fare prima che accada.
Cosa dice davvero la CNIL (non LinkedIn)
Tre documenti ufficiali bastano. Non uno studio a 400 €/h.
- Le schede TPE/PME (France Num / CPME / CNIL): non inserire dati confidenziali, personali o strategici in uno strumento consumer.
- La FAQ « dispiegare un’IA generativa »: se ci mette dati clienti o documentazione sensibile, privilegiare on-site. L’API di un cloud USA è il contrario: Lei non controlla quasi nulla.
- Le raccomandazioni sullo sviluppo di sistemi IA: finalità, base giuridica, minimizzazione. Utile anche senza addestramento — perché il Suo prompt addestra spesso il fornitore.
Il regolamento europeo sull’IA (trasparenza chatbot, ecc.) avanza nel 2026. Il GDPR c’è dal 2018. Non si sopravvive aspettando il prossimo testo.
Checklist del lunedì mattina
Non un registro di 40 pagine. Cinque righe che un’assistente può tenere.
| Domanda | Se la risposta è « no » |
|---|---|
| Abbiamo scritto cosa può andare in un chatbot? | La gente incolla. È umano. |
| I dati clienti / HR / salute restano fuori dagli strumenti consumer? | È già trattamento non controllato. |
| Sappiamo chi è il fornitore, dove gira, se i prompt riaddestrano il modello? | Rilegga le condizioni. Poi cambi strumento. |
| Un umano rile legge prima di inviare al cliente? | L’allucinazione è la Sua firma. |
| Possiamo cancellare o cessare se un cliente chiede? | Accesso / cancellazione: è Lei, non il chatbot. |
Questo è GDPR in PMI. Non « 20 milioni di euro ». È: poter spiegare alla CNIL, e al Suo cliente, cosa ha fatto dei suoi dati.
Trasferimento fuori UE: la trappola del « è cifrato »
Uno strumento USA con datacenter a Francoforte non annulla il CLOUD Act. La CNIL ricorda: se i dati possono uscire dall’UE (casa madre, supporto, log), serve quadro. « Abbiamo spuntato GDPR nelle impostazioni » non è un quadro.
Cosa proponiamo, concretamente
La CNIL dice: dati personali o documentazione sensibile → on-site, piuttosto che un’API di cui non tiene più le chiavi.
È il mestiere di AroBox: indice e file in azienda; inferenza su infra privata Arobass in Francia; bozze da convalidare. Prova 15 giorni, offerta su preventivo. DPA e contratto a parte — non giochiamo al certificato magico.
Non è parere legale. Per un caso preciso: il Suo consulente, o cnil.fr.
Richiedere una prova — installiamo, inquadreremo il perimetro indicizzato, e incollare in ChatGPT non è più il piano B del team.
Prova 15 giorni
Veda AroBox sui Suoi documenti reali
Senza impegno. Le diciamo con franchezza se è adatto alla Sua attività.
Richiedere la prova
