AI e GDPR: governare i dati, non sperare che vada bene.

Quando un’azienda introduce l’AI, l’attenzione va tutta a cosa può fare. La domanda che arriva troppo tardi — spesso dopo, quando il danno è fatto — è un’altra: su quali dati lavora, e siamo sicuri di poterli trattare così? Perché nel momento in cui un sistema AI legge contratti, anagrafiche, cartelle del personale o comunicazioni, sta trattando dati personali. E il trattamento di dati personali, in Europa, ha un nome e delle regole precise: GDPR.

La buona notizia è che AI e conformità non sono in conflitto. Si può usare l’intelligenza artificiale in piena regola — ma a una condizione: che la sicurezza e la governance siano parte dell’architettura fin dall’inizio, non un adempimento appiccicato alla fine.

Usare l’AI è trattare dati

È il punto da cui tutto discende, e va detto chiaramente: dare in pasto a un sistema AI documenti che contengono dati di persone — clienti, dipendenti, fornitori — è a tutti gli effetti un trattamento di dati personali. Questo significa che valgono i principi del GDPR: una base giuridica per trattarli, finalità chiare, minimizzazione, sicurezza, e il controllo su dove finiscono. Ignorarlo non è un dettaglio tecnico: è un’esposizione legale e reputazionale concreta.

Le domande che decidono se sei al sicuro

Non serve essere giuristi per inquadrare il rischio. Bastano quattro domande, a cui devi poter rispondere con certezza:

• Dove stanno fisicamente i dati? In UE, su infrastruttura controllata, o spediti chissà dove da un servizio pubblico?
• Chi può accedervi? Tutti allo stesso modo, o con permessi per ruolo che limitano chi vede cosa?
• Cosa viene tracciato? C’è un registro di chi ha chiesto cosa, indispensabile per dimostrare conformità?
• Il fornitore riusa i tuoi dati? Li usa per addestrare i propri modelli, o restano isolati e tuoi?

Se a una di queste rispondi «non lo so», lì c’è il tuo rischio.

Sovranità del dato: dove vivono le informazioni

Il primo pilastro è la collocazione. Un’Ats conforme tiene i dati dove devono stare: cloud europeo soggetto alle normative UE, infrastruttura privata, o on-premise sui tuoi server. La regola guida è semplice: i dati aziendali restano dell’azienda. Più i dati sono sensibili, più il livello di isolamento sale. La scelta non è ideologica, è proporzionata al rischio: dati pubblici e dati sanitari non richiedono lo stesso trattamento.

Governance: chi vede cosa

Il secondo pilastro è il controllo degli accessi. Un’AI che dà a chiunque l’accesso a qualsiasi documento è un problema di sicurezza, non una comodità. La governance integrata significa permessi per ruolo: il commerciale vede i materiali di vendita, l’ufficio del personale i dati dei dipendenti, e nessuno vede ciò che non gli compete. Aggiungi la tracciabilità delle interazioni — chi ha chiesto cosa, e quando — e hai gli strumenti sia per la sicurezza sia per dimostrare la conformità se qualcuno te la chiede.

GDPR by design, non by panic

L’errore più costoso è trattare la conformità come un controllo finale: prima si costruisce, poi «vediamo se è a norma». Quasi sempre non lo è, e rimetterci mano dopo costa molto più che farlo bene dall’inizio. «By design» significa l’opposto: la protezione dei dati è un requisito di progetto, accanto alle funzionalità. Si decide da subito dove stanno i dati, chi accede, cosa si traccia. Così la conformità non è una corsa dell’ultimo minuto, ma una proprietà del sistema.

La sicurezza come abilitatore

C’è un equivoco da ribaltare: la sicurezza non è ciò che frena l’AI, è ciò che la rende utilizzabile sul serio. Solo quando sai che i dati restano tuoi, che gli accessi sono controllati e che tutto è tracciato, puoi mettere l’AI a lavorare sui documenti che contano davvero — quelli sensibili, quelli di valore. Senza queste garanzie, sei costretto a usarla solo su materiale banale, e perdi gran parte del valore. La governance è ciò che ti dà il permesso di osare.

Per questo in VaultAI governance e GDPR sono architettura, non adempimento: accessi profilati, permessi per ruolo, tracciabilità delle interazioni, dati in UE, privati o on-premise. È uno dei nostri principi non negoziabili. Puoi vedere come proteggiamo i dati nella pagina sicurezza, e capire qual è l’impostazione giusta per la tua azienda con una valutazione.