La domanda concreta: chi vede i tuoi prompt e per quanto tempo?

Il team ti chiede “posso usare ChatGPT per riassumere questa email cliente?”. Tu non sai rispondere. L’ufficio compliance dice “no a tutto, è troppo rischioso”. Il commerciale dice “tutti lo usano, non vedo il problema”. Entrambe le posizioni sono parziali.

Premessa secca: ChatGPT non è “sicuro” o “non sicuro” in assoluto. È sicuro o non sicuro per uno specifico tipo di dato, in una specifica versione del servizio, con uno specifico setup. La domanda intelligente è “quale dato passo, con quale versione, con quale DPA firmata?”. Senza quella domanda, sei o paranoico o ingenuo.

Tre versioni di ChatGPT, tre regimi di privacy

1. ChatGPT consumer (chat.openai.com gratis o Plus €20/mese). I prompt possono essere usati per training di default. Opt-out via setting “Improve the model for everyone”. Retention 30 giorni post-eliminazione. DPA standard non firmata. Verdetto operativo: mai dato cliente identificativo qui dentro. Mai dato sensibile.

2. ChatGPT Team / Enterprise. I prompt non vengono usati per training. DPA OpenAI firmabile dal cliente business. Retention configurabile. Standard Contractual Clauses GDPR applicate. Verdetto operativo: ok per uso aziendale standard con dato non-sensibile. Per dato sanitario o finanziario regolamentato, valutare caso per caso con DPO.

3. OpenAI API con setup enterprise. Pricing pay-per-use, DPA personalizzabile, residency dato in Europa (con piani enterprise). Verdetto operativo: opzione adatta per integrazioni custom dentro n8n, con il vantaggio di non lasciare il dato passare per la web UI.

Per dato realmente sensibile (sanitario, art. 9 GDPR; finanziario regolamentato; legal privilege): l’unica scelta onesta è LLM self-hosted (Ollama + Llama, Mistral), che gira sul tuo VPS. Vedi GDPR per aziende per il quadro adempimento.

Cosa OpenAI fa davvero coi tuoi prompt (versione lunga onesta)

Sulla base della documentazione pubblica OpenAI (gennaio 2025, da rivedere periodicamente):

  • Prompt e output sono salvati per debugging e abuse monitoring, retention 30 giorni dopo cancellazione esplicita (60-90 giorni in caso di abuse flag).
  • Training del modello: opt-out di default per Team/Enterprise/API. Opt-in di default per consumer free/Plus (modificabile).
  • Personale OpenAI può accedere ai prompt solo per debug o investigation flag.
  • Trasferimento extra-UE avviene per i tier consumer. Per Team/Enterprise con DPA, sono applicate Standard Contractual Clauses + valutazioni TIA documentabili.

Tradotto: per uso aziendale standard ChatGPT Team con DPA è uno strumento utilizzabile compliant. Per dato sensibile, no. Per dato cliente identificativo senza necessità reale, no comunque (principio di minimizzazione GDPR art. 5).

Cosa serve davvero in una PMI (policy + setup)

Quattro azioni operative, in ordine:

1. Abbonamento ChatGPT Team con DPA firmata. Spesa: €25/seat/mese. Non lasciare il team con account personali consumer. Vedi anche come usare ChatGPT in azienda.

2. Policy interna scritta in 2 pagine. Cosa si può inserire nei prompt, cosa no, su quali task usare ChatGPT, su quali no. Lista esplicita dei dati vietati: CF clienti, dati sanitari, IBAN, password, segreti industriali, dato sotto NDA.

3. Pseudonimizzazione preventiva. Se devi processare dato cliente, sostituiscilo prima di mandarlo al modello. “Cliente Mario Rossi → Cliente A”. Workflow n8n può farlo automaticamente.

4. Log delle interazioni. Per ChatGPT Team gli admin vedono i log d’uso. Per API custom, salvi tu i prompt in un log dedicato. Servirà se mai il Garante chiederà audit trail.

Cosa NON è ChatGPT privacy serio

Non è “vietiamo ChatGPT a tutti, problema risolto”. Il team lo userà comunque, con account personali, fuori dai tuoi controlli. Peggio.

Non è “lasciamo libertà al team, fidiamoci”. Senza policy, il dato sensibile finisce nel modello prima o poi. Quando il Garante audita, sei scoperto.

Non è “siamo a posto perché abbiamo l’opt-out attivo”. L’opt-out vale per il training, non per la retention. Dato sensibile non va comunque inserito.

Non è “ChatGPT è OpenAI quindi è americano quindi è sempre violazione GDPR”. DPA + SCC + valutazione TIA rendono l’uso compliant per categorie di dato standard.

Tre esempi operativi (frame)

Studio medico privato. ChatGPT Team per task amministrativi non sanitari (mail commerciali, draft articoli, riassunti riunioni). Per dato paziente (art. 9 GDPR): Ollama self-hosted sul VPS. Pattern Codice Massimo: storage criptato, access control, audit log, base giuridica documentata.

Studio legale. ChatGPT Team per ricerca normativa, draft template standard. Per documenti coperti da legal privilege: zero ChatGPT, neanche Enterprise. Solo lavoro manuale o LLM self-hosted senza retention.

PMI manifatturiera B2B. ChatGPT Team per draft commerciali, classificazione richieste form, normalizzazione dato CRM. Workflow n8n + pseudonimizzazione automatica del dato cliente prima della chiamata API.

FAQ

Posso usare ChatGPT per dati clienti? Versione consumer no. Versione Team/Enterprise sì per dato standard, con DPA firmata e pseudonimizzazione. Per dato sensibile (art. 9) no comunque.

Cosa fa OpenAI coi miei prompt? Team/Enterprise: niente training, retention 30 giorni, accesso solo debug. Consumer: training di default (opt-out manuale), retention simile.

Alternative self-hosted serie? Ollama + Llama 3 / Mistral su VPS Hetzner. Costo: VPS €30-€50/mese, performance decente per task standard. Sovranità dato totale.

Devo notificare al Garante l’uso di ChatGPT? No notifica obbligatoria. Sì DPIA (valutazione d’impatto) se uso su categorie di dato a rischio elevato. Vedi GDPR per aziende.

Inizia l'audit · 3 min · senza email →