Chatbot conforme al GDPR: guida passo passo (2026)

Un chatbot conforme al GDPR richiede un impiego lecito, non soltanto un modello o un luogo di hosting specifico. Definisci finalità e base giuridica di ogni utilizzo di dati personali, ricostruisci i flussi, stabilisci ruoli e contratti, fornisci informazioni e procedure per i diritti e applica misure di sicurezza adeguate ai rischi. La dichiarazione di conformità di un fornitore non dimostra che ogni utilizzo dei clienti soddisfi i requisiti.

Non servono automaticamente consenso per ogni conversazione di assistenza, hosting esclusivamente nell’UE o un modello distinto per i visitatori europei. Servono prove che le scelte del processo concreto rispettino le norme applicabili. La valutazione comprende anche fornitore del modello, CRM, analisi, integrazioni dei canali e registri operativi.

Questa guida è stata verificata su fonti ufficiali il 4 novembre 2026. Offre un quadro di valutazione ed esempi di implementazione; non certifica un impiego né sostituisce una consulenza sulle sue specifiche circostanze giuridiche.

Verifiche facoltative degli esempi

• Visualizza le chiavi dei metadati. Controlla come i nomi dei campi forniti diventano chiavi di variabili, compresi duplicati ed errori relativi a chiavi riservate. Lo strumento non esamina valori o autorizzazioni dell’account.
• Valida un dataset di prova. Verifica il formato supportato di un piccolo dataset fornito senza eseguire il tuo AI Agent.

Questi controlli non valutano la conformità giuridica.

Una checklist di 10 passaggi per privacy e sicurezza prima del lancio

Assegna ogni punto a una persona e conserva prove della decisione o del test:

1. Definisci il processo. Separa informazioni pubbliche, assistenza relativa agli account, transazioni, marketing e miglioramento del modello.
2. Mappa i dati personali. Includi prompt, risposte, metadati, file, record recuperati, log e sistemi connessi.
3. Scegli le basi giuridiche. Valuta ogni finalità prima del trattamento; prevedi un consenso valido quando richiesto.
4. Identifica ruoli e contratti. Stabilisci chi determina le finalità e chi tratta su istruzione. Verifica condizioni contrattuali e trasferimenti applicabili.
5. Minimizza la raccolta. Elimina campi inutili ed evita record completi quando basta un risultato limitato.
6. Organizza conservazione e diritti. Includi verifica dell’identità, accesso, rettifica, cancellazione, portabilità quando applicabile e attuazione nei sistemi successivi.
7. Valuta i rischi. Determina se occorre una valutazione d’impatto sulla protezione dei dati (DPIA) e completala prima del trattamento interessato.
8. Proteggi accessi e integrazioni. Applica cifratura, autenticazione, permessi, monitoraggio e procedure per incidenti adeguati.
9. Informa gli utenti. Pubblica informazioni corrette, fornisci gli avvisi sull’IA richiesti e valuta separatamente la memorizzazione del widget.
10. Esegui test e assegna responsabilità continuative. Prova i fallimenti, forma il personale e rivaluta cambiamenti di finalità, fornitore o funzione.

Principi del GDPR e conseguenze per il chatbot

Il GDPR si applica ai trattamenti pertinenti nel contesto di uno stabilimento nel SEE. Può riguardare anche organizzazioni esterne che offrono beni o servizi a persone nel SEE o ne monitorano il comportamento in tale territorio. Il criterio riguarda trattamento e collegamento territoriale, non soltanto la cittadinanza. L’EDPB spiega ambito territoriale e principi fondamentali.

Nomi, contatti, identificativi online e contenuti riconducibili a persone possono essere dati personali. Anche un’interfaccia pubblica di FAQ può raccogliere identificativi o testo libero con informazioni personali.

Per determinate violazioni della fascia superiore, la sanzione massima può raggiungere 20 milioni di euro o, per un’impresa, il 4% del fatturato mondiale annuo dell’esercizio precedente, se superiore. L’applicazione concreta dipende dalle circostanze; consulta la spiegazione dell’EDPB sui poteri delle autorità.

Termini utilizzati nella guida

• Titolare: organizzazione che determina finalità e mezzi essenziali del trattamento.
• Responsabile del trattamento: entità distinta che tratta dati per conto del titolare. I ruoli dipendono dall’attività effettiva, non solo dal nome nel contratto.
• Pseudonimizzazione: riduzione della riconducibilità diretta, ad esempio sostituendo un nome con un codice. Non rende automaticamente anonimi i dati.
• DPIA: valutazione necessaria quando un trattamento può presentare un rischio elevato per diritti e libertà. Contano dimensioni, dati sensibili, persone vulnerabili e decisioni automatizzate significative. L’uso dell’IA da solo non determina l’esito. Consulta le indicazioni EDPB sulla DPIA e gli elenchi delle autorità competenti.

Tradurre i requisiti GDPR in procedure operative

Parti dal percorso effettivo del messaggio fino alla cancellazione definitiva. I progetti seguenti sono esempi di implementazione, non un elenco di funzioni integrate in Quickchat AI.

Minimizzazione dei dati nella progettazione

Definisci uno schema required_fields per ogni compito. Una richiesta di appuntamento può richiedere orario preferito e recapito; una domanda sugli orari pubblici non dovrebbe richiedere un profilo cliente.

La guida alla raccolta di lead con un chatbot per siti web propone una configurazione concreta da valutare: rispondere prima alle domande generali, poi raccogliere i recapiti per un ricontatto richiesto. Verifica campi e destinatari rispetto alle tue finalità prima di usarla con i clienti.

Esamina più del modulo visibile. Una ricerca nel CRM può recuperare un intero record quando basta lo stato dell’ordine. Limita i campi restituiti e i dati inviati al modello. Tieni credenziali e informazioni estranee fuori dai prompt.

Mascherare un input protegge dagli sguardi vicini. Non dimostra che il valore non sia mai stato raccolto, registrato o trasmesso. L’oscuramento può ridurre divulgazioni accidentali, ma verifica ciò che sfugge, compresi identificativi all’interno di frasi normali.

Consenso e altre basi giuridiche

Le indicazioni della Commissione sulle basi giuridiche individuano diverse possibilità. Necessità contrattuale, interessi legittimi dopo l’appropriata valutazione e consenso hanno condizioni differenti. Scegli la base prima del trattamento, invece di aggiungere una casella di consenso a ogni compito.

Se utilizzi il consenso, rendi specifica la finalità e libera, informata e inequivocabile la scelta. Revocarlo deve essere semplice quanto prestarlo. Separa il marketing facoltativo dall’assistenza necessaria. Confermare la lettura di un’informativa non costituisce, da solo, consenso a tutti gli usi descritti.

Il double opt-in può contribuire alla prova in alcuni contesti. Non è un requisito universale del GDPR. Le linee guida EDPB sul consenso distinguono consenso ordinario ed esplicito e presentano la verifica in due fasi come una possibilità.

Se questa è la tua base, registra finalità, versione dell’informativa, azione affermativa, momento e identificativo pertinente. Proteggi la prova e applica una conservazione giustificata. Le categorie particolari, come i dati sanitari, richiedono una condizione applicabile dell’articolo 9 oltre alla base dell’articolo 6.

Gestire accesso, cancellazione e portabilità

Prevedi un canale accessibile e una persona o squadra responsabile dell’esecuzione. Un comando personalizzato /my_data o /delete_my_data potrebbe aprire una richiesta, ma nessuno dei due è una funzione integrata verificata di Quickchat AI. Una conferma in chat non prova che il diritto sia stato soddisfatto.

Un processo pratico verifica l’identità in modo proporzionato, individua i record, valuta diritto ed eccezioni, coordina i responsabili, esegue l’azione e documenta la risposta. Consegna gli export tramite autenticazione e impedisci a un visitatore di chiedere dati altrui.

Il titolare deve agire senza ingiustificato ritardo e normalmente entro un mese di calendario. Un’estensione consentita fino a due mesi ulteriori richiede di informare la persona, indicando i motivi, entro il primo mese. La cancellazione ha presupposti ed eccezioni, comprese alcune conservazioni obbligatorie. Accesso e portabilità differiscono: l’articolo 20 riguarda, a determinate condizioni, dati forniti dall’interessato e trattati automaticamente sulla base di consenso o contratto. Vedi la guida EDPB sui diritti.

Le procedure di eliminazione di Quickchat AI hanno effetti diversi. Eliminare un AI Agent rende inaccessibili le sue conversazioni senza cancellarle. Eliminare un account cancella in background le conversazioni dei suoi Agents attuali; la documentazione elenca esclusioni come conversazioni di Agents eliminati in precedenza, allegati, export, indici di ricerca e record esterni. Contatta il supporto per la cancellazione pertinente. Disconnettere un canale Meta ferma il trattamento autorizzato futuro, ma non cancella automaticamente lo storico.

Per il percorso generale di assistenza, la nostra guida alla configurazione di un assistente clienti è distinta da questa procedura per i diritti.

Limiti di conservazione e pianificazione

Il GDPR non prevede un limite universale di 30 o 90 giorni per le conversazioni. Definisci la conservazione per finalità e categoria, considerando gli obblighi legali. Distingui conversazioni attive, export, prove del consenso, log di sicurezza e backup.

Questo pseudocodice concettuale illustra pianificazione e verifica, non un’implementazione completa di cancellazione né un’impostazione esistente del prodotto:

function scheduleRetention(record, policy) {
  return {
    recordId: record.id,
    purpose: record.purpose,
    reviewOrDeleteAt: policy.dateFor(record),
  };
}

function processDueRecord(item) {
  if (requiresRetentionReview(item)) {
    return queueManualReview(item);
  }
  queueErasureAcrossRecordedSystems(item);
  recordVerificationPending(item.recordId);
}

Documenta referente della politica, criteri, eccezioni ammesse, metodo e prova del completamento. Monitora gli errori invece di presumere che un’attività pianificata abbia raggiunto ogni sistema.

I backup richiedono una disciplina esplicita. Il rapporto EDPB di febbraio 2026 sulla cancellazione segnala difficoltà pratiche e la necessità di tenere conto delle cancellazioni nei ripristini. Non stabilisce che la rimozione immediata da tutti i backup o l’attesa di qualsiasi normale scadenza soddisfino sempre i requisiti legali. Descrivi restrizioni, tempi e ripristino effettivi senza promettere cancellazione universale entro un mese.

Articolo 22 e riesame umano effettivo

L’articolo 22 riguarda decisioni esclusivamente automatizzate con effetti giuridici o analogamente significativi. Una normale risposta FAQ non è automaticamente una simile decisione. Idoneità creditizia, ammissioni o accesso a servizi essenziali richiedono un esame più attento.

Identifica questi punti prima di costruire il processo. Quando la disposizione si applica, valuta eccezione e garanzie pertinenti. Per necessità contrattuale o consenso esplicito, le garanzie includono intervento umano, espressione del proprio punto di vista e contestazione. Le categorie particolari comportano ulteriori restrizioni.

Chi riesamina deve avere informazioni e autorità per riconsiderare l’esito. Un pulsante di passaggio a un operatore non basta se il risultato resta sostanzialmente fisso. Registra proporzionatamente criteri reali, input ed esito del riesame; una spiegazione generata dal modello non prova come sia stata presa una decisione importante.

Misure di sicurezza adeguate ai rischi del chatbot

L’articolo 32 richiede misure tecniche e organizzative adeguate. Non prescrive un algoritmo di cifratura o prodotto di autenticazione universale. Usa le indicazioni di sicurezza dell’EDPB per collegare le protezioni a danni possibili, contesto e tecnologia disponibile.

Cifratura durante il trasferimento e l’archiviazione

Proteggi connessioni e dati memorizzati con cifratura e gestione delle chiavi appropriate. Verifica separatamente collegamento visitatore-widget, integrazioni, accessi amministrativi, database, export e backup.

TLS protegge una connessione di trasporto; la cifratura a riposo protegge dati archiviati. Non dimostrano da soli una cifratura end-to-end nella quale gli intermediari non leggono il contenuto. Un servizio che elabora messaggi può doverli decifrare. Non presentare TLS 1.3 o AES-256 come specifiche obbligatorie del GDPR o prove di conformità.

Autenticazione, ruoli e integrazione dell’identità

Usa autenticazione forte, inclusa MFA quando appropriata, per l’amministrazione. Per richieste relative all’account preferisci una sessione cliente già autenticata alla digitazione di un identificativo in una chat pubblica.

Valuta separatamente l’autorizzazione: un accesso valido non deve esporre record di altri clienti. Concedi al personale i permessi necessari e revocali quando non servono più. Quickchat AI documenta i ruoli del team; verifica che soddisfino i requisiti.

Valuta SSO aziendale dove pertinente, senza dedurre supporto SAML da un normale login Google. L’identificazione biometrica può aggiungere obblighi e non è una soluzione universalmente più sicura.

Sicurezza API e permessi limitati delle integrazioni

Usa credenziali con ambito limitato e applica l’autorizzazione nell’applicazione collegata. Dire al modello di accedere solo ai dati di un cliente non costituisce una barriera di accesso.

Applica limiti di richieste appropriati, valida parametri e output strutturati ed esamina cosa può leggere o modificare ogni Action o integrazione. Prova accessi tra clienti e credenziali revocate. Registra i terzi che ricevono dati personali, inclusi servizi di segnalazione errori e analisi.

Monitoraggio, log e risposta agli incidenti

Registra quanto serve per indagare accessi ed errori, senza copiare automaticamente ogni conversazione in ogni sistema di monitoraggio. Definisci separatamente accesso, conservazione e oscuramento dei log operativi.

La procedura di incidente deve coprire contenimento, indagine, ripristino, documentazione e decisioni di notifica. Il titolare notifica una violazione soggetta a comunicazione all’autorità competente senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza, salvo che sia improbabile un rischio per diritti e libertà. Un rischio probabilmente elevato può richiedere di informare le persone senza ingiustificato ritardo, fatte salve le eccezioni dell’articolo 34. Il responsabile del trattamento informa il titolare senza ingiustificato ritardo.

Sono obblighi e soglie diversi; le indicazioni della DPC irlandese sulle violazioni spiegano la distinzione. Le proposte del Digital Omnibus GDPR non giustificano l’uso di un termine diverso oggi.

Checklist per valutare la sicurezza

Gestire rischi specifici dell’IA

La valutazione deve comprendere le informazioni ricevute dal modello e le azioni attivabili dalle sue risposte. Restano necessari i controlli generali di sicurezza software.

Prompt injection e test avversari

Una prompt injection può arrivare da un messaggio o da contenuti recuperati che cercano di deviare il modello. Un documento potrebbe ordinare di rivelare record privati o richiamare un’Action estranea al compito.

Separa istruzioni attendibili e contenuti non attendibili, limita i permessi, valida gli argomenti e prova accessi non autorizzati. Filtri e istruzioni possono aiutare senza garantire la prevenzione. Le indicazioni OWASP sulla prompt injection precisano che RAG e fine-tuning non mitigano completamente la vulnerabilità.

Usa dati sintetici o preparati adeguatamente. Registra se il sistema ha rifiutato, divulgato dati, chiamato uno strumento o passato il caso; una frase finale rassicurante non prova un comportamento sicuro.

Allucinazioni e verifica delle risposte

Un modello può produrre una risposta plausibile non supportata dalle prove disponibili. Recuperare dati da una Knowledge Base curata può ancorare le risposte alle fonti, ma non garantisce accuratezza né applica autorizzazioni da solo.

Prova politiche obsolete, fonti contraddittorie, record mancanti e richieste fuori ambito. Prevedi segnalazioni d’errore e trasferimento dei casi irrisolti a una persona. Confronta risposte relative agli account con record autorizzati, senza affidarti alla sicurezza del modello. La nostra spiegazione delle allucinazioni dell’IA approfondisce il fenomeno.

Fughe di dati, addestramento e oscuramento

Addestramento, inferenza, stato applicativo e log sono trattamenti distinti. Non presumere che ogni messaggio addestri un modello né che escludere l’addestramento significhi non trasmettere o conservare dati.

Le FAQ legali di Quickchat AI dichiarano che i materiali dei clienti non vengono usati per addestrare LLM e che la rimozione di informazioni personali è disponibile su richiesta. Non promettono di ripulire ogni messaggio o rilevare tutti i dati personali. Conferma configurazione e condizioni dei fornitori.

L’oscuramento degli input deve precedere il trattamento che vuole evitare; quello degli output avviene dopo la generazione. Rimuovere un nome può lasciare contesto identificativo. L’EDPB distingue pseudonimizzazione e anonimizzazione, e il suo parere sui modelli di IA richiede una valutazione dell’anonimato caso per caso.

Prove per spiegazioni e tracce di audit

Conserva prove proporzionate di fonti recuperate, azioni, impostazioni pertinenti e controllo umano. Una spiegazione generata, un punteggio interno di fiducia o una tecnica esplicativa non dimostrano automaticamente conformità giuridica.

Nell’Inbox di Quickchat AI, Why AI said that può mostrare fonti e tracce di esecuzione. Aiuta a investigare una risposta, ma non spiega completamente le cause interne del modello né sostituisce l’esame degli obblighi di spiegazione per decisioni significative.

Trattamento internazionale e localizzazione dei server

Mappa archiviazione, elaborazione del modello, accessi del supporto, integrazioni e trasferimenti successivi. La regione del database risponde soltanto a una parte della domanda.

Hosting nel SEE e trattamento fuori dal SEE

Il GDPR non impone universalmente hosting esclusivamente UE. I trasferimenti fuori dal SEE richiedono un meccanismo applicabile del Capo V insieme agli altri requisiti. La guida EDPB sui trasferimenti spiega adeguatezza, garanzie appropriate e deroghe limitate.

Le FAQ legali di Quickchat AI descrivono archiviazione GCP in Belgio. L’Informativa privacy tratta separatamente trasferimenti negli USA e garanzie contrattuali. Archiviare in Belgio non prova un trattamento esclusivamente europeo. Le FAQ descrivono anche opzioni Enterprise, tra cui cloud privato, LLM auto-ospitati e installazione on-premises; architettura, disponibilità e responsabilità vanno concordate per il caso concreto.

Clausole contrattuali standard ed EU-US Data Privacy Framework

L’elenco attuale delle decisioni di adeguatezza della Commissione include organizzazioni commerciali statunitensi partecipanti all’EU-US Data Privacy Framework. Verifica partecipazione attiva e ambito che copre il trasferimento. Un indirizzo negli USA non basta.

Quando usi clausole contrattuali standard o un altro strumento dell’articolo 46, valuta se diritto e prassi del paese destinatario compromettono le garanzie e se servono misure supplementari. I trasferimenti coperti da adeguatezza non richiedono automaticamente la stessa valutazione aggiuntiva. Nessun meccanismo elimina obblighi relativi a finalità, base giuridica, sicurezza o contratti con i responsabili.

Non confondere lo stato del cloud provider con quello del fornitore del chatbot. Le FAQ di Quickchat AI descrivono un allineamento DPF in corso, non una partecipazione verificata.

Esempio di fornitore: controlli dati dell’API OpenAI

La documentazione OpenAI sui dati API afferma che input e output non sono usati per addestramento per impostazione predefinita, salvo adesione del cliente. Distingue log per il monitoraggio degli abusi e stato applicativo. I log standard possono essere conservati fino a 30 giorni, con eccezioni legali o di sicurezza.

Zero Data Retention e Modified Abuse Monitoring richiedono approvazione e hanno limiti per endpoint. Conferma account, endpoint, contratto e luoghi reali di trattamento. Le impostazioni della cronologia di ChatGPT per consumatori non definiscono quelle di un’integrazione API. Queste condizioni generali non provano una conservazione nulla per uno specifico account Quickchat AI.

Accordi di trattamento e responsabilità dei fornitori

Quando un fornitore tratta dati per tuo conto, l’articolo 28 richiede un contratto vincolante o altro atto giuridico idoneo. Valuta separatamente gli usi per finalità proprie del fornitore, senza assegnare lo stesso ruolo a tutte le attività. Le linee guida EDPB su titolari e responsabili spiegano distinzione e requisiti contrattuali.

Clausole necessarie e domande aggiuntive sull’IA

Verifica che l’accordo comprenda:

• Oggetto, durata, natura e finalità del trattamento, tipi di dati, categorie di persone, diritti e obblighi del titolare.
• Istruzioni documentate, inclusi trasferimenti, con le eccezioni applicabili del diritto UE o nazionale.
• Riservatezza e misure di sicurezza appropriate ai sensi dell’articolo 32.
• Autorizzazione preventiva scritta specifica o generale dei sub-responsabili, comunicazione delle modifiche e possibilità di opposizione in caso generale, trasferendo gli obblighi richiesti.
• Assistenza per diritti, sicurezza, violazioni e valutazioni d’impatto.
• Cancellazione o restituzione a scelta del titolare al termine dei servizi, eliminando le copie salvo obblighi di conservazione UE o nazionali.
• Informazioni necessarie a dimostrare conformità e disposizioni per audit e ispezioni.

Chiedi separatamente di addestramento, feedback, conservazione e usi secondari. Il GDPR non impone semplicemente un divieto generale di ogni addestramento possibile; ogni uso richiede un esame di finalità, ruolo e condizioni giuridiche.

Quickchat AI pubblica un accordo sul trattamento dei dati. Esamina termini firmati applicabili e informazioni complementari. La sua disponibilità non prova, da sola, che uno specifico contratto o impiego soddisfi ogni requisito sopra indicato.

Punti da negoziare con fornitori di IA

Chiedi risposte precise su luoghi, sub-responsabili, conservazione operativa, controlli dell’account, comunicazione delle violazioni e uscita dal servizio. Distingui impostazioni documentate e impegni contrattuali specifici.

Chiedi cosa accade disattivando una funzione, disconnettendo un canale, eliminando un Agent o terminando il contratto. Definisci ambito dell’export, prove di cancellazione, dati conservati per legge e gestione dei backup. Responsabilità e livelli di servizio sono anche questioni commerciali; una dichiarazione generale di sicurezza non sostituisce l’allegato tecnico completo.

Personalizzazione e minimizzazione dei dati

Parti dalle informazioni minime necessarie per rispondere alla domanda attuale. I profili persistenti richiedono una finalità e una valutazione proprie.

Privacy differenziale ed elaborazione sul dispositivo

La privacy differenziale può limitare le informazioni rivelate sugli individui in applicazioni statistiche o di addestramento appropriate. La protezione dipende da implementazione e parametri; citare la tecnica non dimostra anonimizzazione o liceità.

Elaborare una preferenza sul dispositivo può ridurre la raccolta lato server. Verifica cosa lascia comunque il dispositivo, compresi identificativi e telemetria. Memorizzazione o accesso possono avere implicazioni ePrivacy anche per informazioni non personali.

Risposte per segmento e profilazione individuale

Adattare una risposta a una categoria di prodotto indicata può richiedere meno dati di un profilo comportamentale duraturo. Tuttavia, assegnare un cliente noto a un segmento può ancora trattare dati personali.

Valuta finalità effettiva, base giuridica, informativa, conservazione e accessi. Il consenso non è universalmente necessario per ogni personalizzazione; le decisioni automatizzate significative richiedono un esame separato dell’articolo 22. Offri un servizio di base utile quando la profilazione facoltativa viene rifiutata.

Chatbot nei settori regolamentati

Le norme settoriali dipendono da entità, attività e giurisdizione. Un chatbot IA per studi legali e un chatbot IA per servizi finanziari devono distinguere informazioni generali, accesso agli account e consulenza professionale. Un’avvertenza da sola non risolve questi limiti.

Sanità: dati sensibili e obblighi HIPAA applicabili

I dati sanitari richiedono una condizione applicabile per le categorie particolari oltre alla base dell’articolo 6. Prenotazioni, amministrazione, valutazione dei sintomi e decisioni cliniche comportano rischi diversi. Un chatbot IA per studi dentistici dovrebbe avere un percorso di escalation clinica coerente con il proprio ruolo.

Negli USA, HIPAA si applica a covered entities e business associates, non automaticamente a ogni dato sanitario. Una relazione pertinente con un business associate richiede l’accordo previsto. Verifica permessi, salvaguardie e conservazione specifica con l’organizzazione responsabile. Non dedurre idoneità HIPAA da un DPA GDPR, una dichiarazione di cifratura o una pagina commerciale sanitaria.

Finanza: conservazione documentale e controlli decisionali

Identifica le regole dell’impresa e del tipo di record prima di fissare la conservazione. La regola FINRA 4511, ad esempio, riguarda imprese associate e prevede sei anni per record FINRA senza un altro termine specificato. Non è una regola universale per ogni conversazione.

Distingui informazioni pubbliche sui prodotti, consulenza personalizzata e decisioni di idoneità. Valuta autorizzazioni, obblighi professionali, documentazione e riesame effettivo quando necessario. Non affidarti né a un divieto generale di automazione finanziaria né a un’avvertenza generica che pretenderebbe di consentirla.

Servizi pubblici: valutazione e informazioni accessibili

Gli enti pubblici necessitano generalmente di un DPO, con le eccezioni applicabili; una specifica DPIA dipende dai rischi del trattamento. Un chatbot di FAQ pubbliche e un sistema che influenza l’accesso a prestazioni richiedono valutazioni diverse.

Spiega chi gestisce il servizio, come usa i dati e come ottenere aiuto o esercitare diritti. Considera utenti vulnerabili, alternative accessibili e conseguenze di risposte errate o passaggi falliti. Esamina requisiti di accessibilità e settoriali invece di presumere che l’interfaccia li soddisfi.

Valutare fornitori e tecnologie

Chiedi prove legate al processo previsto. La nostra guida all’acquisto di chatbot IA amplia il contesto; la valutazione privacy deve comunque riguardare i flussi reali.

Cosa dimostrano ISO 27001, SOC 2 e Cyber Essentials

ISO/IEC 27001 riguarda un sistema di gestione della sicurezza delle informazioni. Verifica organizzazione, servizi, luoghi e validità del certificato, senza interpretare il logo come copertura di ogni prodotto.

SOC 2 è un rapporto di attestazione, non una certificazione. Un rapporto Type 2 esamina l’efficacia operativa nel periodo indicato. Controlla sistemi, criteri, eccezioni e responsabilità del cliente nel rapporto effettivo.

Cyber Essentials è uno schema britannico di controlli tecnici di base contro minacce Internet comuni. Nessuno di questi elementi dimostra da solo conformità GDPR del tuo uso. Le FAQ legali di Quickchat AI descrivono SOC 2 come percorso in corso, non come rapporto concluso.

15 domande ai potenziali fornitori

1. Dove vengono memorizzati ed elaborati prompt, risposte, file, log e backup, e chi accede da remoto?
2. Quali ruoli e trattamenti copre il DPA proposto?
3. Come vengono isolati i dati di ciascun cliente?
4. Quali connessioni e record sono cifrati e come si gestiscono le chiavi?
5. Quali regole di conservazione e cancellazione valgono per categoria?
6. Come si supportano e verificano accesso, rettifica, cancellazione e portabilità?
7. Quali sub-responsabili intervengono e come si comunicano le modifiche?
8. I dati dei clienti vengono usati per addestramento, valutazione o feedback, e a quali condizioni?
9. Come si indagano incidenti e si comunicano violazioni pertinenti?
10. Quali certificati o rapporti attuali coprono il servizio specifico?
11. Quali autenticazioni, ruoli e integrazioni di identità sono realmente disponibili?
12. Quali prove riguardano prompt injection, azioni non autorizzate e fughe di dati?
13. Quali scelte privacy e sicurezza sono predefinite, configurabili o accordi Enterprise?
14. Quali log e prove di fonti o azioni possono vedere i clienti, e con quali limiti?
15. Come esaminare prove di conformità, esportare dati e verificare la fine del servizio?

Una griglia di confronto tra fornitori

Registra prove e questioni aperte insieme ai punteggi. Un fatto contrattuale o operativo sconosciuto deve restare tale, invece di ricevere punti per formulazioni commerciali. Un requisito obbligatorio non soddisfatto non deve scomparire in un totale favorevole.

Scarica un registro dei flussi di dati della distribuzione

Scarica il registro modificabile dei flussi di dati. Il pacchetto condiviso in inglese contiene tre CSV vuoti, un esempio fittizio separato e le istruzioni. Usalo per registrare componenti, movimenti di dati, evidenze e domande aperte della distribuzione proposta. Non descrive un’architettura verificata di Quickchat AI.

1. In components.csv, elenca browser, applicazione, archivio di conoscenza, fornitore del modello, servizi collegati, log e backup effettivamente pertinenti. Registra separatamente i luoghi di trattamento e archiviazione, insieme all’uso per l’addestramento, alla conservazione, all’ambito di cancellazione e alla responsabilità degli accessi. Lascia irrisolti i fatti sconosciuti.
2. In data-flows.csv, collega gli ID dei componenti e descrivi finalità, categorie di dati e condizioni di accesso di ogni flusso. Registra categorie e riferimenti ai documenti, non trascrizioni private o credenziali.
3. In evidence-register.csv, collega ogni affermazione a una fonte datata e al suo ambito. Distingui dichiarazioni dei fornitori, contratti e configurazione dai piani di test e dai resoconti di test osservati. Un test pianificato rimane not_run. Assegna un responsabile alle domande aperte.

Importa i CSV UTF-8 in fogli separati e mantieni invariati gli identificatori. Il controllo offline facoltativo verifica formato e riferimenti; non può verificare un’affermazione del fornitore né determinare la conformità legale. Usa il registro con le domande e la griglia precedenti, svolgendo la revisione necessaria per la distribuzione effettiva.

Un percorso pratico per team piccoli

Limita il processo iniziale a ciò che il team sa gestire e verificare. Iniziare dalle informazioni pubbliche può ridurre complessità, anche se testo libero e identificativi tecnici richiedono comunque valutazione.

Software auto-ospitato e SaaS: compromessi

L’auto-hosting può dare controllo più diretto su architettura e dati. Richiede anche gestione, aggiornamenti, monitoraggio e sicurezza. Licenze e infrastruttura hanno costi variabili; essere open source non garantisce gratuità né elimina responsabili esterni.

Il SaaS può fornire infrastruttura gestita e supporto, ma i clienti devono comunque stabilire finalità, basi giuridiche, configurazione e termini appropriati. Confronta il lavoro residuo per il team, non solo l’abbonamento. Verifica offerte private cloud o auto-hosting come accordi specifici, senza presumere che siano comprese in ogni piano.

Controlli realizzabili con risorse limitate

Usa software mantenuto, trasporto sicuro, autenticazione appropriata e accesso limitato. Tieni credenziali fuori dai prompt e record inutili fuori dalla Knowledge Base. Prevedi un canale per i diritti con un referente e un registro di conservazione coerente con i sistemi reali.

Usa modelli delle autorità per strutturare la valutazione, ma scrivi informative basate sui tuoi flussi. Un generatore generico non può stabilire cosa fa il chatbot. Prova il ripristino oltre ai backup, documenta gli incidenti e mantieni un percorso umano. Se mancano una salvaguardia necessaria o una valutazione giuridica, riduci l’ambito prima del lancio.

Tre esempi ipotetici di implementazione

Questi sono esempi progettuali, non casi cliente, risultati misurati o prove di approvazione regolamentare.

• Assistente informativo di una banca retail. Limita il bot a informazioni pubbliche approvate e indirizza le transazioni a un servizio autenticato. Valuta basi, fornitori e record. Prova se un visitatore può indurre la divulgazione di informazioni di conto. Il progetto necessita comunque di verifica rispetto alle regole della banca.
• Assistente per ammissioni universitarie. Separa indicazioni generali, stato delle domande e decisioni di ammissione. Un portale personalizzato per i diritti potrebbe verificare identità e raccogliere record per esame e consegna sicura. JSON può servire per richieste di portabilità applicabili, ma creare un file non dimostra accesso completo o rispetto dei termini.
• Assistente amministrativo sanitario. Definisci compiti consentiti di prenotazione e informazione, minimizza i dati richiesti e prevedi escalation clinica adeguata. Valuta l’oscuramento su informazioni sanitarie inattese, riconoscendo gli errori di rilevamento. Un’avvertenza o uno strato di oscuramento non dimostrano anonimato del testo residuo o idoneità all’addestramento senza restrizioni.

L’AI Act europeo insieme al GDPR

L’AI Act è entrato in vigore nell’agosto 2024 e si applica per fasi. Non sostituisce il GDPR. Alla data di revisione, il calendario attuale della Commissione riflette modifiche adottate, non solo il programma originale.

Trasparenza vigente e date per i sistemi ad alto rischio

L’articolo 50 si applica dal 2 agosto 2026. I fornitori devono garantire che chi interagisce direttamente con l’IA ne sia informato, salvo che sia evidente nel contesto. Le informazioni richieste devono essere chiare e accessibili alla prima interazione. Verifica gli altri obblighi dell’articolo 50 quando pertinenti ai contenuti o al sistema.

L’AI Omnibus adottato è entrato in vigore il 27 luglio 2026. I requisiti di alto rischio interessati si applicano dal 2 dicembre 2027 ai sistemi dell’Allegato III e dal 2 agosto 2028 a quelli legati ai prodotti dell’Allegato I. La classificazione dipende dall’uso previsto e dai criteri legali; un settore regolamentato non rende automaticamente un chatbot ad alto rischio.

Valuta separatamente ruoli di fornitore e deployer, inclusi obblighi applicabili di documentazione, supervisione, log e conformità. L’articolo 4 modificato richiede ancora misure per l’alfabetizzazione del personale in materia di IA, senza dover garantire uno specifico livello individuale.

Il procedimento distinto Digital Omnibus GDPR/ePrivacy era ancora pendente alla verifica del 4 novembre 2026. Le proposte non devono essere trattate come diritto vigente.

ISO/IEC 42001 e governance dell’IA

ISO/IEC 42001:2023, pubblicata nel dicembre 2023, definisce un quadro di gestione dell’IA. Può aiutare a organizzare responsabilità, rischi e riesame continuo. Allineamento o certificazione non dimostrano automaticamente rispetto del GDPR o di tutti gli obblighi applicabili dell’AI Act.

Calendario di implementazione e matrice delle responsabilità

Usa un piano per fasi per identificare prove mancanti prima del lancio pubblico. Il calendario è un esempio, non un termine legale o la promessa che ogni progetto finisca in 90 giorni.

Un piano di 90 giorni con verifiche

• Giorni 1-30: analisi. Definisci compiti, flussi, basi, ruoli e requisiti settoriali. Valuta la necessità di DPIA, identifica decisori e raccogli prove dei fornitori.
• Giorni 31-60: implementazione. Concorda termini di trattamento; configura informative, accessi, integrazioni e conservazione. Costruisci procedure per diritti e incidenti. Completa la valutazione mentre il progetto diventa concreto.
• Giorni 61-90: verifica. Prova compiti ordinari, richieste non autorizzate, risposte errate, ambito di cancellazione e ripristino. Forma il team, risolvi le salvaguardie necessarie e verifica la DPIA richiesta prima del trattamento interessato. Anche un progetto pilota limitato richiede protezione adeguata.

Scegli il lancio in base alla preparazione, non solo al calendario. La guida alle piattaforme di IA conversazionale offre altro contesto.

Esempio RACI con consulenza indipendente del DPO

R indica chi esegue il lavoro, A il referente responsabile del progetto nell’organizzazione, C chi viene consultato e I chi viene informato. Questo esempio operativo non trasferisce la responsabilità legale del titolare o del responsabile del trattamento.

Il DPO consiglia e sorveglia in modo indipendente. Le linee guida sui DPO attribuiscono al titolare la responsabilità per conformità e DPIA e avvertono dei conflitti con ruoli che determinano finalità e mezzi. Non ogni organizzazione deve nominare un DPO.

Prima di approvare l’impiego

Esamina insieme mappa dei dati, contratti applicabili, conservazione e test operativi. Conferma chi riceve richieste sui diritti o segnalazioni di incidenti e cosa accade quando cambia un fornitore, un’integrazione o una finalità.

Per Quickchat AI, distingui controlli documentati e requisiti che richiedono accordi specifici. Eliminazione di account o Agents, informative, rimozione di dati su richiesta e regione di archiviazione dichiarata hanno ciascuno un ambito limitato. Chiarisci i requisiti dell’impiego reale prima di farvi affidamento.

Domande frequenti sulla privacy dei chatbot

Un chatbot basato su GPT può essere conforme al GDPR?

Può rientrare in un impiego lecito, secondo finalità, dati, ruoli, contratti, sicurezza, diritti e trasferimenti. Nome del modello, impostazione senza addestramento o server europeo non bastano da soli. La pseudonimizzazione può ridurre rischi mantenendo i dati nell’ambito del GDPR.

Come cancello i dati di un utente su richiesta?

Verifica proporzionatamente l’identità, identifica i record, valuta presupposti ed eccezioni, coordina i responsabili e verifica l’esito. Agisci senza ingiustificato ritardo e normalmente entro un mese di calendario, comunicando tempestivamente eventuali estensioni consentite. Includi log, export e backup nella valutazione. Eliminare un AI Agent Quickchat non equivale a cancellarne le conversazioni.

Quale autenticazione dovrebbe usare un chatbot?

Adattala al compito. Una FAQ pubblica può non richiedere autenticazione; dati dell’account e transazioni necessitano di un percorso autenticato e autorizzato appropriato. Proteggi l’amministrazione, considera MFA e verifica le limitazioni dei ruoli. Né SSO né biometria sono una risposta universale.

Per quanto tempo posso conservare le chat secondo il GDPR?

Solo per quanto giustificato dalla finalità, salvi gli obblighi legali applicabili. Definisci periodi o criteri per categoria e spiegali nelle informative. Un esempio di 30 o 90 giorni non è un valore predefinito del GDPR; anche le prove del consenso richiedono conservazione giustificata.

Serve un DPA se ospito personalmente il modello?

Valuta se un’altra entità tratta dati per tuo conto. Eseguire un software non crea automaticamente una relazione di trattamento con il suo editore, ma hosting, supporto, analisi o altri servizi possono farlo. Restano necessari i termini applicabili dell’articolo 28 per i responsabili, e l’auto-hosting non elimina i tuoi obblighi.

Un chatbot può prendere decisioni completamente automatizzate ai sensi dell’articolo 22?

La restrizione dell’articolo 22 riguarda decisioni esclusivamente automatizzate con effetti giuridici o analogamente significativi. Quando si applica, valuta un’eccezione pertinente e le garanzie richieste, incluso intervento umano effettivo quando necessario. Le normali risposte di assistenza non sono automaticamente comprese; decisioni significative di idoneità o accesso richiedono più attenzione.

Cosa deve contenere l’informativa privacy di un chatbot?

Spiega titolare e contatti, finalità e basi, destinatari e trasferimenti pertinenti, conservazione, diritti e reclami. Includi le altre informazioni richieste dagli articoli 13 o 14 per la raccolta reale, comprese revoca del consenso e informazioni pertinenti sulle decisioni automatizzate. Mantieni l’informativa accessibile e corretta. Fornisci gli avvisi richiesti sull’interazione con l’IA separatamente dal consenso.

Come ridurre il rischio di prompt injection?

Tratta messaggi e contenuti recuperati come non attendibili. Limita permessi, applica autorizzazioni fuori dal modello, valida parametri e prova tentativi di accesso non autorizzato o azioni estranee. Istruzioni, filtri e RAG non garantiscono prevenzione. Mantieni un percorso di indagine e intervento umano.

I widget di chat richiedono consenso ai cookie?

Valuta ogni memorizzazione o accesso e la sua finalità secondo l’attuazione applicabile di ePrivacy. Le indicazioni EDPB riguardano più dei cookie. Operazioni strettamente necessarie a un servizio espressamente richiesto possono essere esenti; altre possono richiedere consenso preventivo. Il widget Quickchat AI usa l’archiviazione locale del browser per continuità delle conversazioni e preferenze. Non presumere che ogni memorizzazione sia esente né che ogni widget debba essere bloccato interamente prima di una scelta.

L’AI Act europeo sostituisce il GDPR per i chatbot?

No. Il GDPR continua a disciplinare i trattamenti personali pertinenti; l’AI Act aggiunge obblighi in base a sistema, ruolo e uso. Gli obblighi di trasparenza dell’articolo 50 si applicano dal 2 agosto 2026. Verifica il calendario modificato attuale per l’alto rischio, senza basarti sulle aspettative iniziali del 2025/2026.

Per valutare la piattaforma Quickchat AI, parti da un processo definito e dai dati necessari, poi confronta controlli documentati e termini applicabili con i requisiti.