Come ricorda Legal for Digital , con l’AI entrata nella quotidianità aziendale, il rischio riguarda la privacy, oltre ai dati inseriti dagli utenti, anche quelli che i tool possono vedere mentre lavorano. Come ad esempio un documento interno elaborato da uno strumento esterno. Secondo una ricerca ISTAT, in Italia il 16,4% delle imprese con almeno 10 addetti utilizza tecnologie di intelligenza artificiale, il doppio rispetto all’8,2% del 2024. Tra le aziende che adottano AI, il 70,8% utilizza strumenti per estrarre conoscenza e informazioni da documenti di testo e il 59,1% ricorre a tecnologie di GenAI. Mentre cresce la quota di imprese che usa l’AI senza ricondurla a una finalità aziendale definita.
È necessario definire chiaramente i limiti tra AI e privacy
Alessandro Vercellotti, avvocato e fondatore diLegal for Digital Il problema non è usare l’intelligenza artificiale in azienda, ma introdurla nei processi senza aver prima chiarito cosa può trattare, con quali limiti e sotto la responsabilità di chi. Molte aziende pensano all’AI come a un acceleratore di produttività, ma quando in un tool finiscono contratti, dati clienti, informazioni HR o schermate di CRM, il tema diventa anche privacy. Se l’impresa non sa quali strumenti vengono usati dai team, non può sapere davvero quali dati sta trattando.
Dal dato inserito al dato visto: perché cambia il perimetro del rischio
Nella prima fase di adozione della GenAI, il rischio più evidente era legato ai dati inseriti direttamente nei prompt. Ovvero: testi, documenti, contratti, materiali HR o informazioni commerciali copiati all’interno di strumenti generativi per velocizzare attività quotidiane. Oggi, però, il perimetro si allarga: alcuni strumenti non ricevono soltanto testo, ma possono leggere schermate, processare screenshot, aprire documenti o interagire con software aziendali. In questo passaggio il rischio non riguarda più solo ciò che l’utente decide di inserire, ma anche ciò che lo strumento può vedere mentre lavora.
Privacy – A cosa bisogna fare attenzione quando si utilizza l’AI
Il punto, però, non è il singolo prodotto: è la categoria di strumenti che può interagire con ambienti digitali e processare ciò che compare a schermo. In un CRM, ad esempio, possono comparire nomi, recapiti, storico delle interazioni, trattative commerciali e note interne. In una casella email possono essere presentiinformazioni personali, contrattuali o commerciali. In un documento HR possono comparire dati di candidati o dipendenti. Se uno strumento AI accede a questi ambienti, il trattamento può riguardare anche dati non necessari rispetto al compito richiesto.
Perché non basta scegliere un tool ‘sicuro’
Nei casi in cui l’AI entri nei flussi operativi, non esiste un unico adempimento capace di risolvere il problema. Il primo punto è la base giuridica del trattamento, perché ogni uso di dati personali tramite AI deve poggiare su una condizione valida. Subito dopo viene il rapporto con il fornitore. Se lo strumento tratta dati personali per conto dell’azienda, serve verificare che il contratto e l’eventuale DPA descrivano davvero l’uso effettivo.
Infine c’è la policy interna, senza la quale i dipendenti restano senza indicazioni operative su quali strumenti possono usare, quali dati non devono inserire e quali processi richiedono supervisione. Anche il tipo di account utilizzato può incidere sul trattamento. Lo stesso strumento AI può avere condizioni diverse a seconda che venga usato in versione consumer o business.
Un errore trattare l’AI come produttività, non come trattamento dati
L’errore più frequente è quello di considerare l’adozione di uno strumento AI come una semplice scelta di produttività. In molte aziende, l’intelligenza artificiale entra nei processi attraverso usi non sempre mappat. Ad esempio account personali, estensioni browser, abbonamenti individuali, strumenti adottati da singoli team o reparti senza una valutazione centralizzata. Il risultato è che l’impresa può trovarsi a trattare dati personali attraverso strumenti che non sono stati verificati. Con flussi non descritti nella documentazione e con dipendenti che non hanno ricevuto istruzioni chiare su cosa possono o non possono fare.
Cosa è necessario fare per mettersi in sicurezza
Il punto non è vietare l’uso dell’intelligenza artificiale, ma governarlo prima che diventi strutturale nei processi aziendali. La prima azione è mappare cosa lo strumento può vedere e toccare. Come ad esempio schermate, cartelle, caselle email, CRM, gestionali o documenti interni. La seconda è allineare i documenti al trattamento reale, verificando informative, accordi con i fornitori, base giuridica e istruzioni. La terza è scrivere una policy interna e formare chi usa questi strumenti, così da evitare che l’adozione dell’AI cresca più velocemente della capacità dell’azienda di governarla.
Alessandro Vercellotti, avvocato e fondatore diLegal for Digital Le aziende non devono chiedersi solo se possono usare l’AI. Devono chiedersi se sanno davvero chi la sta usando, con quali dati, con quali strumenti e con quali regole. Se non lo sanno, il rischio non è futuro: è già dentro i processi quotidiani.
