Chatbot IA e GDPR: cosa conta nell’uso sul proprio sito web

Non appena gli utenti inseriscono qualcosa in un chatbot IA vengono trattati dati personali – al più tardi quando indicano il proprio nome, un numero di richiamata o una richiesta concreta. Cinque punti determinano l’integrazione conforme alla protezione dei dati: trasparenza, minimizzazione dei dati, trattamento su incarico, luogo del trattamento e la domanda se Input per l’addestramento vengano utilizzati.

1. Trasparenza e identificazione

Gli utenti devono riconoscere che stanno scrivendo con un sistema automatizzato: ciò deriva dal principio di trasparenza del GDPR e dagli obblighi di identificazione per i sistemi di IA. In pratica è sufficiente un avviso chiaro nella finestra di chat, integrato da un link alle informazioni sulla protezione dei dati.

2. Minimizzazione dei dati: idealmente non raccoglierli affatto

La protezione dei dati più efficace è non raccogliere dati. Un chatbot che risponde a domande generali non ha bisogno di un nome e un indirizzo e-mail. Solo quando una richiesta deve essere effettivamente inoltrata, è necessario un contatto — e anche allora solo quello necessario per la gestione.

• Nessun campo obbligatorio per dati non necessari alla risposta
• Definire la durata di conservazione delle conversazioni ed eliminarle automaticamente
• Separare chiaramente l’informazione generale dall’inoltro di una richiesta

3. Contratto di nomina a responsabile del trattamento

Se il chatbot è gestito tramite un fornitore di servizi, è necessario un contratto di nomina a responsabile del trattamento (AVV) ai sensi dell’art. 28 GDPR, inclusa la questione di quali sub-responsabili del trattamento siano coinvolti. Ciò riguarda in particolare il modello linguistico utilizzato.

4. Luogo del trattamento

Un trattamento all’interno dell’UE evita i requisiti aggiuntivi per i trasferimenti verso paesi terzi. Per i modelli al di fuori dell’UE è necessaria una base valida per il trasferimento. Questo punto va chiarito prima della selezione, non dopo: è quello che limita in modo più forte la scelta del fornitore.

5. Gli input vengono utilizzati per l’addestramento?

Il punto che più spesso viene trascurato nelle verifiche sulla protezione dei dati. A livello contrattuale dovrebbe essere escluso che gli input dei visitatori del vostro sito web vengano utilizzati per l’addestramento di modelli di terzi. In caso contrario, i contenuti escono dalla finalità concordata, con le relative conseguenze per la liceità.

Correlata a ciò è la questione della fonte della conoscenza: un chatbot che risponde esclusivamente sulla base della documentazione interna dell’azienda non è solo più affidabile dal punto di vista tecnico, ma anche più facile da gestire sotto il profilo della protezione dei dati rispetto a uno che attinge liberamente da Internet.

Domande frequenti su chatbot IA e GDPR

Mi serve il consenso per il chatbot?

Per rispondere a una domanda posta direttamente dagli utenti, di norma non è necessario il consenso. Diverso è il caso in cui le conversazioni vengano memorizzate a lungo termine o combinate con altri dati: ciò va verificato separatamente.

Devo adeguare l’informativa sulla privacy?

Sì. Finalità, base giuridica, destinatari, durata di conservazione ed eventuale trasferimento verso paesi terzi devono essere indicati nell’informativa sulla privacy. Questo è uno dei difetti più frequenti nei chatbot già integrati.

È consentito salvare le conversazioni della chat?

Per un periodo limitato e con una finalità chiara – ad esempio per il controllo qualità – in linea di principio è possibile. Sono necessari una durata di conservazione definita e un efficace concetto di cancellazione.

Qual è la struttura più sicura?

Un chatbot che risponde solo sulla base dei propri documenti approvati, raccoglie il meno possibile, elabora i dati all’interno dell’UE e le cui interazioni sono escluse contrattualmente dall’addestramento del modello.

Passo successivo

Come appare un chatbot che risponde sulla base dei propri documenti, lo mostra la pagina prodotto Chatbot IA. L’introduzione conforme alla protezione dei dati è finanziabile all’80 % tramite INQA-Coaching.

Aggiornato a settembre 2026. Questo contributo fornisce un orientamento generale e non sostituisce una consulenza legale nel singolo caso.