IA conforme al GDPR

IA conforme al GDPR significa usare l'intelligenza artificiale trattando i dati personali secondo le regole del Regolamento generale sulla protezione dei dati: con una base giuridica, un accordo sul trattamento dei dati, la minimizzazione dei dati e tempi di conservazione definiti. Nel servizio clienti, dall'agosto 2026 l'EU AI Act chiede inoltre che i clienti possano capire che stanno scrivendo con un'IA.

Che cosa significa IA conforme al GDPR?

Appena un'IA risponde alle richieste dei clienti, tratta dati personali: nomi, numeri di telefono, numeri d'ordine, a volte dati sanitari o finanziari. Il GDPR si applica a questo trattamento esattamente come al tuo CRM o alle tue campagne e-mail. IA conforme al GDPR non vuol dire che l'IA stessa abbia un bollino. Vuol dire che il fornitore e tu come azienda rispettate le regole sulla protezione dei dati.

A cosa fare attenzione in un fornitore di IA?

  • Accordo sul trattamento dei dati: senza un DPA non puoi passare dati dei clienti a un fornitore di servizi.
  • Dove avviene il trattamento: dove girano la piattaforma e l'IA? Conta la residenza dei dati.
  • Trasferimenti verso paesi terzi: quali dati lasciano l'UE e su quale base? Il contesto è la sentenza Schrems II.
  • Addestramento dei modelli: i dati dei tuoi clienti vengono usati per addestrare il modello di IA?
  • Sicurezza: crittografia e misure tecniche e organizzative documentate.
  • Conservazione: puoi stabilire quando vengono cancellati messaggi e contatti (policy di conservazione dei dati)?

Che cosa aggiunge l'EU AI Act?

Il GDPR e l'EU AI Act sono due insiemi di regole separati. Il GDPR protegge i dati, l'AI Act regola i sistemi di IA. Per l'IA nel servizio clienti la parte chiave è l'obbligo di trasparenza IA dell'articolo 50, in vigore dal 2 agosto 2026: i clienti devono poter capire che stanno scrivendo con un'IA. Come si presenta in una chat lo trovi alla voce divulgazione IA.

Quali sono gli errori più comuni?

Un esempio: uno studio di fisioterapia usa un agente IA per le richieste di appuntamento. Un paziente scrive in chat, senza che nessuno glielo chieda, dettagli sulla sua diagnosi. Secondo l'articolo 9 del GDPR, i dati sanitari sono una categoria particolare di dati. Lo studio dovrebbe quindi decidere prima come gestire questi messaggi e impostare l'agente perché chieda solo ciò che serve per l'appuntamento. Altri problemi tipici:

  • informative privacy che non menzionano l'uso dell'IA
  • nessuna verifica sulla necessità di una valutazione d'impatto sulla protezione dei dati
  • l'idea che su WhatsApp, Instagram e Messenger tutto resti nell'UE: su questi canali la consegna passa da Meta

Questa voce non è una consulenza legale. Se il tuo uso specifico è conforme dipende anche dalla tua base giuridica e dalle tue informative privacy.

Come gestisce SendSeven l'IA conforme al GDPR?

SendSeven è conforme al GDPR e ospitato nell'UE, e anche l'IA gira nell'UE. Il DPA è disponibile per ogni piano e puoi scaricarlo nell'app in qualsiasi momento. I tuoi dati non vengono usati per addestrare il modello di IA sottostante. I dati sono crittografati in transito e a riposo, e i tempi di conservazione li stabilisci tu. Gli agenti IA di SendSeven conformi al GDPR sono pronti per l'EU AI Act: in Live Chat i clienti vedono che stanno scrivendo con un'IA, e il testo dell'avviso lo puoi modificare tu. L'IA si può spegnere in qualsiasi momento.