AI e i dati della tua azienda: dove vanno e cosa resta da te

La paura è legittima: «i miei dati finiscono ad addestrare un modello?»

Partiamo dal timore più diffuso, quello che senti dai colleghi e leggi sui giornali: metto un preventivo o l’anagrafica di un cliente dentro ChatGPT, e domani quei dati diventano parte del modello, magari escono a qualcun altro. È una preoccupazione sana, e nasce da un fatto vero: la versione web gratuita di ChatGPT, per impostazione predefinita, può usare le tue conversazioni per addestrare il modello. Se incolli lì i dati dei clienti senza pensarci, la paura è fondata.

Il punto è che quella non è l’unica strada, e non è quella che uso io per i tuoi progetti. La versione web consumer e le API a pagamento dei fornitori sono due mondi diversi, con regole diverse su cosa succede ai dati. Costruire uno strumento serio significa proprio scegliere il canale giusto e chiuderlo bene.

Come lavoro in pratica

Non ti chiedo di fidarti sulla parola. Ti spiego le quattro cose che faccio, così puoi controllarle con il tuo consulente.

• Nessun training sui tuoi dati, conservazione minima. Quando serve un modello nel cloud, uso le API a pagamento (OpenAI, Anthropic e simili). Per contratto questi fornitori non usano i dati inviati via API per addestrare i loro modelli, e li tengono in retention zero o per pochi giorni ai soli fini anti-abuso. I tuoi dati passano, vengono elaborati, non restano.
• Elaborazione locale o on-premise quando i dati sono sensibili. Se parliamo di documenti fiscali, dati sanitari, atti notarili o anagrafiche delicate, posso far girare l’elaborazione in locale o su un ambiente controllato. In quel caso i dati non escono dalla tua azienda: non passano nemmeno da un’API esterna.
• So dire cosa NON deve uscire. Prima di costruire, guardiamo insieme quali campi sono davvero necessari all’AI e quali no. Un codice fiscale, un IBAN, un nome intero spesso non servono per far funzionare lo strumento: si possono togliere o mascherare prima dell’invio. Meno dati escono, meno rischio corri.
• Verifica umana sui casi delicati. Nei flussi che consegno, l’AI prepara la bozza — una risposta, un preventivo, un sollecito — ma l’invio resta un’azione tua. Su ciò che è delicato, una persona legge e conferma prima che parta.

Dove girano i dati, in una tabella

Perché sia chiaro senza giri di parole, ecco la differenza tra le demo di questo sito e i progetti reali.

Vuoi vedere la logica applicata? La demo (simulazione) chatta con i tuoi documenti gira nel tuo browser, senza modelli AI dietro: puoi provarla con un file finto e verificare che nulla lasci il tuo dispositivo.

GDPR in pratica, in tre principi

Non ti riempio di sigle. Tre principi che seguo davvero quando costruisco:

• Minimizzazione. All’AI do solo i dati che servono a fare quel compito, non l’intero archivio. Meno superficie, meno rischio.
• Base giuridica chiara. Quando ci scriviamo per un preventivo o per capire se automatizzare, il trattamento dei tuoi dati di contatto si regge sull’esecuzione di misure precontrattuali richieste da te — è normale corrispondenza commerciale, non profilazione.
• I tuoi diritti restano tuoi. Accesso, rettifica, cancellazione: sono diritti del cliente e dei suoi interessati, e li rispetto. Se mi chiedi di eliminare un esempio che mi hai mandato, lo elimino.

Come tratto i dati di chi visita e contatta questo sito lo trovi per esteso nella pagina privacy, e le condizioni generali nelle note legali. Ripeto: sono un tecnico, non un legale. Se hai un DPO o un consulente privacy, quello che leggi qui gli serve per capire come lavoro; le valutazioni formali le fa lui.

Se i dati non devono uscire: l’AI la installo in azienda

«Elaborazione in locale» non è una formula: significa che il modello gira su una macchina tua, nel tuo ufficio o nel tuo server, e i documenti non passano da nessun fornitore esterno. Uso modelli aperti eseguiti con strumenti come Ollama, su hardware normale: per la maggior parte dei compiti d’ufficio (ricerca nei documenti, estrazione di dati, bozze di risposta) sono più che sufficienti. La qualità è un gradino sotto i modelli cloud più grandi, e te lo dico prima, non dopo: per questo il pilota parte sempre con un criterio di successo scritto.

Lo consiglio quando tratti dati sanitari, fiscali o atti, quando il tuo consulente privacy preferisce non far uscire nulla, o quando semplicemente vuoi una spiegazione da dare ai clienti che stia in una riga: «i vostri dati non lasciano lo studio». Non lo consiglio se i volumi sono minimi o se il compito richiede il meglio dei modelli grandi: in quel caso conviene un’API a pagamento con i dati mascherati. L’installazione parte da 2.900 € + IVA, hardware escluso; i dettagli, incluse le macchine adatte, li trovi nella pagina AI locale: i dati che restano in azienda.

Chi in azienda usa cosa: una policy scritta e un registro degli strumenti

Il rischio più comune non è lo strumento che costruisco io: è il collaboratore che, in buona fede, incolla un contratto nella versione gratuita di un chatbot dal telefono. Nessuna configurazione tecnica lo impedisce; lo impedisce una regola chiara che tutti conoscono. Per questo, oltre a costruire flussi, scrivo con te una policy AI aziendale di due o tre pagine — quali strumenti si usano, con quali account, quali dati non si incollano mai, chi controlla cosa — e un registro degli strumenti in uso, con fornitore, tipo di account e dati trattati.

Sono gli stessi documenti che tornano utili quando qualcuno ti chiede cosa fai per l’alfabetizzazione del personale prevista dall’AI Act (art. 4) o, se sei un professionista, quando devi informare i clienti che nella prestazione usi sistemi AI, come chiede la legge 132/2025. Policy e registro costano 600 € + IVA e li consegno pronti da adottare; li descrivo in policy AI aziendale e registro degli strumenti. Anche qui: preparo i documenti tecnici, la valutazione giuridica resta al tuo consulente.

Settori sensibili: commercialisti, studi legali, sanità

Se lavori con dati particolarmente delicati, il tema «dove vanno i dati» non è un dettaglio, è il progetto. Per questi casi l’elaborazione locale e la verifica umana non sono un’opzione, sono il punto di partenza. Ho pagine dedicate a come affronto proprio questi contesti:

• AI e automazioni per commercialisti e studi — ricerca nei documenti e meno reinserimento manuale, tenendo i dati fiscali sotto controllo.
• Onboarding e KYC per studi legali e notarili — raccolta e verifica documenti con i dati che restano nell’ambiente giusto.