Per usare ChatGPT con dati di clienti, dipendenti o fornitori serve una versione business con contratto di trattamento dei dati (DPA): ChatGPT Business o Enterprise, non Free, Plus o Pro. Le versioni personali vanno bene solo per attività senza dati personali né informazioni riservate. Lo stesso vale per Claude, Copilot e Gemini: conta il tipo di account, non il marchio del chatbot.
In questa guida trovi il confronto tra le versioni dei principali assistenti di IA, cos'è il DPA e perché fa la differenza, e cosa serve oltre al contratto per essere davvero in regola.
Che differenza c'è tra ChatGPT gratis, Plus e Business per la privacy?
Dal punto di vista del GDPR, ChatGPT si divide in due famiglie:
- Account personali (Free, Plus, Pro): pensati per il singolo utente. Contenuti, file e immagini possono essere usati per addestrare i modelli se è attiva l'impostazione "Migliora il modello per tutti", attiva di default. Non c'è un DPA per l'uso aziendale.
- Account business (Business, ex Team, Enterprise, Edu) e API: per impostazione predefinita i dati non sono usati per addestrare i modelli ed è disponibile il DPA.
Pagare non basta: ChatGPT Plus è un abbonamento personale, non una licenza aziendale. Dal punto di vista della protezione dei dati è più vicino alla versione gratuita che a quella Business. È l'equivoco più diffuso: "pago, quindi è professionale".
Cos'è il DPA e perché decide tutto?
Il DPA (Data Processing Agreement) è il contratto con cui un fornitore si impegna a trattare i dati personali solo per conto e secondo le istruzioni di chi lo usa. Lo richiede l'art. 28 del GDPR ogni volta che affidi dati personali a un fornitore esterno, che diventa così responsabile del trattamento.
Senza DPA, quando un dipendente incolla in ChatGPT il nome e il problema di un cliente, l'azienda sta comunicando dati personali a un soggetto terzo senza alcuna garanzia contrattuale: niente limiti di utilizzo, niente istruzioni, niente impegni sulla sicurezza. È una violazione strutturale, che non dipende da cosa fa poi il fornitore con quei dati.
In pratica: il DPA è il "lasciapassare" minimo per inserire dati personali in uno strumento di IA. Non lo trovi negli account personali, mentre è disponibile nei piani pensati per le organizzazioni.
Quale versione dei chatbot di IA è adatta alla tua azienda?
La stessa logica vale per tutti i principali assistenti. Ecco il confronto, basato sulle condizioni dei fornitori al 1 ottobre 2026 (che vanno sempre ricontrollate prima di scegliere):
| Servizio e versione | Dati usati per l'addestramento | DPA per uso aziendale | Adatto a dati di clienti e dipendenti |
|---|---|---|---|
| ChatGPT Free, Plus, Pro | Sì, se "Migliora il modello per tutti" è attiva (default). Le chat temporanee no | No | No |
| ChatGPT Business (ex Team), Enterprise, Edu, API | No, per impostazione predefinita | Sì | Sì, con policy e minimizzazione |
| Claude Free, Pro, Max | A scelta dell'utente ("Aiuta a migliorare Claude"); se consentito, conservazione fino a 5 anni | No | No |
| Claude Team, Enterprise, API | No | Sì, condizioni commerciali | Sì, con policy e minimizzazione |
| Microsoft 365 Copilot (licenza aziendale, account Entra ID) | No: i prompt non addestrano i modelli di base | Sì, nell'ambito dei servizi aziendali Microsoft | Sì, con policy e minimizzazione |
| Copilot consumer | Condizioni diverse dalla versione aziendale | No | No |
| Gemini in Google Workspace (aziendale) | No, e niente lettura da revisori umani | Sì, nell'ambito di Workspace | Sì, con policy e minimizzazione |
| App Gemini con account personale | Può usare le conversazioni per migliorare i servizi, con revisione umana, se l'attività è attiva | No | No |
La regola che riassume la tabella: versione consumer = niente DPA = non adatta a dati personali di clienti, dipendenti o fornitori. Se in azienda usate già Microsoft 365 o Google Workspace, conviene verificare se l'assistente incluso nella licenza aziendale copre le vostre esigenze prima di aggiungere un altro fornitore.
Per Claude abbiamo approfondito il tema dei documenti caricati nella guida su cosa succede quando carichi file personali su Claude.
Come si disattiva l'addestramento negli account personali?
Se usi un account personale per attività senza dati di terzi, è comunque buona pratica limitare l'uso delle conversazioni:
- ChatGPT: vai in Impostazioni > Controlli dati e disattiva "Migliora il modello per tutti". Per conversazioni occasionali puoi usare la chat temporanea, che non viene usata per l'addestramento ed è cancellata entro 30 giorni.
- Claude: nelle impostazioni sulla privacy scegli di non consentire "Aiuta a migliorare Claude". In questo caso la conservazione standard è di 30 giorni dopo la cancellazione della chat; le chat cancellate e quelle in incognito non sono usate per l'addestramento.
- Gemini (account personale): disattiva l'attività delle app Gemini se non vuoi che le conversazioni siano usate per migliorare i servizi.
Disattivare l'addestramento non trasforma un account personale in uno aziendale. Riduce l'uso dei tuoi dati, ma il DPA continua a mancare e l'azienda non ha alcun controllo sull'account del dipendente. Per i dati dei clienti la risposta resta: versione business.
Perché la versione business non basta da sola?
Con ChatGPT Business o Claude Team hai risolto il problema del contratto. Ma il GDPR e l'AI Act chiedono altro, e la responsabilità resta della tua azienda come titolare del trattamento:
- Minimizzazione: anche con il DPA si inseriscono solo i dati necessari. Credenziali, dati sanitari non indispensabili e segreti aziendali restano fuori (vedi cosa non scrivere mai su ChatGPT).
- Policy interna: quali strumenti sono autorizzati, per cosa, con quali dati, chi verifica gli output. Senza regole scritte è difficile dimostrare le misure adeguate richieste dall'art. 32 GDPR.
- Formazione del personale: dal 2 febbraio 2025 l'art. 4 dell'AI Act chiede di adottare misure a sostegno dell'alfabetizzazione sull'IA di chi usa i sistemi per conto dell'azienda. È un obbligo di mezzi, da documentare.
- Documentazione privacy: registro dei trattamenti e informativa aggiornati con il nuovo fornitore e gli eventuali trasferimenti fuori dall'Unione europea (capo V GDPR).
- Valutazione d'impatto (DPIA, art. 35 GDPR) se l'uso può comportare rischi elevati, ad esempio per dati sanitari o per valutare i lavoratori.
E se sei un professionista, l'art. 13 della Legge 132/2025 ti chiede anche di informare il cliente sui sistemi di IA che usi: lo spieghiamo nella guida se usi ChatGPT devi dirlo al cliente?
Cosa rischia un'azienda che usa ChatGPT Plus con i dati dei clienti?
| Situazione | Norma coinvolta | Sanzione massima |
|---|---|---|
| Dati personali affidati a un fornitore senza DPA | GDPR, art. 28 | 20 milioni € o 4% del fatturato mondiale |
| Dati sanitari inseriti senza garanzie adeguate | GDPR, art. 9 e art. 32 | 20 milioni € o 4% del fatturato mondiale |
| Personale che usa l'IA senza alcuna formazione | AI Act, art. 4 | Obbligo da documentare; pesa in caso di controlli e contestazioni |
Il Garante privacy italiano segue da vicino l'IA generativa: nel marzo 2023 ha limitato temporaneamente ChatGPT in Italia, nel dicembre 2024 ha sanzionato OpenAI per 15 milioni di euro e nel gennaio 2025 ha bloccato l'app DeepSeek. Per un quadro completo degli adempimenti consulta la pagina sugli obblighi per le aziende.
Come scegliere e attivare la versione giusta in 5 passi
- Mappa gli usi reali: chi usa l'IA, con quali account e con quali dati. Spesso emergono account personali usati per lavoro (la cosiddetta shadow AI).
- Separa i casi: chi lavora solo su testi generici può restare su strumenti base con addestramento disattivato; chi tratta dati di clienti o dipendenti deve passare a una versione business.
- Scegli il fornitore partendo da quello che hai già (Microsoft 365, Google Workspace) e verifica DPA, conservazione dei dati e trasferimenti extra UE.
- Scrivi la policy e comunicala a tutti: trovi uno schema nella guida alla policy aziendale sull'intelligenza artificiale.
- Forma il personale e conserva le prove, poi aggiorna registro dei trattamenti e informativa privacy.
Hai scelto lo strumento, ora metti in ordine il resto. Con la checklist gratuita di conformità vedi subito cosa manca. L'abbonamento AI ACT ITALIA ti dà la formazione del personale con attestato, il generatore dell'informativa sull'uso dell'IA per i clienti e il manuale operativo con checklist e scadenze: scopri cosa include.