Registri e trascrivi le riunioni con l'IA? Teams, Zoom e app di note: cosa devi fare per non violare la privacy

Sì, puoi registrare e trascrivere le riunioni con l'IA, ma solo se tutti i partecipanti lo sanno prima che inizi e se lo strumento che usi è inquadrato correttamente sul piano privacy. Voce, nomi e contenuti della discussione sono dati personali: per il GDPR una riunione trascritta da un "notetaker" è un trattamento di dati a tutti gli effetti.

Le funzioni di trascrizione e riassunto automatico sono ormai integrate in Teams, Zoom e Google Meet, e decine di app esterne promettono verbali pronti in pochi secondi. Comodo, ma pieno di trappole: bot che entrano da soli nelle call, dipendenti registrati senza saperlo, trascrizioni conservate per sempre su server fuori dall'Europa. Ecco cosa fare, situazione per situazione.

Perché trascrivere una riunione con l'IA è un trattamento di dati personali

Il GDPR si applica a qualsiasi informazione riferibile a una persona identificata o identificabile. In una riunione registrata ce ne sono parecchie:

• la voce e, se la telecamera è accesa, l'immagine dei partecipanti;
• nomi, ruoli, indirizzi email collegati all'account;
• le opinioni espresse, le decisioni, a volte informazioni su terzi (clienti, colleghi, fornitori);
• il riassunto generato dall'IA, che attribuisce frasi e compiti a persone precise.

Servono quindi una base giuridica (art. 6 GDPR), un'informativa chiara, un fornitore inquadrato come responsabile del trattamento (art. 28) e misure di sicurezza adeguate (art. 32). Per un uso sistematico è consigliata anche una valutazione d'impatto (DPIA, art. 35).

Bisogna avvisare i partecipanti prima di registrare?

Sì, sempre, e prima dell'avvio. L'informativa va data a tutti i partecipanti, compresi gli ospiti esterni, non a registrazione già partita. L'avviso automatico che compare in Teams o Zoom aiuta, ma da solo non basta a spiegare chi tratta i dati, per quale scopo e per quanto tempo.

Una soluzione pratica è combinare tre elementi: una riga nell'invito alla riunione, una frase detta a voce all'inizio e il link all'informativa completa. Ad esempio:

"Prima di iniziare: questa riunione verrà registrata e trascritta con lo strumento di IA di [nome strumento] per preparare il verbale. Titolare è [nome azienda]; registrazione e trascrizione saranno conservate per [periodo] e poi cancellate. Trovate l'informativa completa nell'invito. Se qualcuno preferisce non essere registrato, ditelo ora e troviamo un'alternativa."

Serve il consenso dei dipendenti per registrare le riunioni interne?

Non è la strada migliore. Tra datore di lavoro e dipendente c'è uno squilibrio di potere, quindi il consenso difficilmente è davvero libero e rischia di non reggere come base giuridica. Di solito è più solido fondare il trattamento sul legittimo interesse o sulle esigenze organizzative legate al rapporto di lavoro, accompagnate da un'informativa precisa e da limiti chiari su cosa si registra e perché.

C'è poi un secondo livello: lo Statuto dei lavoratori, art. 4, che limita gli strumenti dai quali può derivare un controllo a distanza dell'attività dei lavoratori. Un sistema che registra, trascrive e magari misura chi parla, quanto e con quale tono può rientrare in questa categoria. Se lo strumento consente un controllo di questo tipo, prima di introdurlo verifica con il consulente del lavoro se servono l'accordo sindacale o l'autorizzazione dell'Ispettorato del lavoro.

Se l'IA viene usata anche per valutare o monitorare il personale, scatta l'obbligo di informazione dell'art. 11 della Legge 132/2025: lo spieghiamo nella guida su quando il datore di lavoro deve informare i dipendenti sull'IA.

Teams, Zoom o app esterne: chi è il fornitore e dove vanno i dati?

Ogni strumento di trascrizione è un fornitore che tratta dati per tuo conto. Prima di usarlo verifica:

• Contratto e DPA: con le licenze aziendali di Microsoft 365, Zoom o Google Workspace il DPA è di norma incluso nelle condizioni commerciali. Con un'app installata da un dipendente con l'account personale, spesso non c'è alcun contratto con l'azienda.
• Addestramento: le registrazioni e le trascrizioni vengono usate per migliorare i modelli del fornitore? Nelle versioni consumer può succedere.
• Trasferimenti extra UE: dove sono i server? Se i dati escono dall'Unione europea servono le garanzie del capo V del GDPR.
• Conservazione: quanto tempo il fornitore tiene audio e testi, e se puoi impostare la cancellazione automatica.

Se in azienda usi già Copilot, leggi anche cosa cambia per la sicurezza dei dati con Microsoft Copilot. La regola resta quella generale: versione consumer senza DPA = non adatta a dati di clienti e dipendenti.

I notetaker che entrano da soli nelle riunioni sono legali?

Sono il caso più problematico. Molte app, una volta collegate al calendario di un utente, si uniscono automaticamente a ogni riunione in cui quell'utente è invitato, anche quando lui non partecipa. Il risultato: ospiti esterni registrati da un fornitore con cui la loro azienda (e spesso anche la tua) non ha alcun contratto, senza un'informativa adeguata.

Cosa fare:

• disattiva l'ingresso automatico e consenti l'avvio della trascrizione solo manualmente;
• stabilisci nella policy quali notetaker sono autorizzati e vieta gli altri;
• se un bot sconosciuto entra in una tua riunione, chiedi chi l'ha invitato e, se non c'è risposta, rimuovilo.

Gli strumenti installati di propria iniziativa dai dipendenti sono un classico esempio di shadow AI: vanno fatti emergere, non ignorati.

Situazione per situazione: cosa fare

Quali riunioni non andrebbero mai trascritte con l'IA?

Anche con lo strumento migliore, alcune conversazioni è meglio lasciarle fuori:

• riunioni HR su provvedimenti disciplinari, valutazioni individuali, licenziamenti, salute dei dipendenti;
• incontri con avvocati o su contenziosi e questioni legali riservate;
• conversazioni con dati sanitari o altri dati particolari, se non hai le garanzie descritte sopra;
• riunioni su segreti commerciali: offerte, acquisizioni, brevetti.

Le persone possono chiedere la trascrizione o la cancellazione?

Sì. Gli interessati hanno diritto di accesso ai propri dati, e questo vale anche per le registrazioni, le trascrizioni e i riassunti generati dall'IA in cui compaiono. Possono chiedere la rettifica di informazioni errate (i riassunti automatici sbagliano, e a volte attribuiscono frasi alla persona sbagliata) e, nei casi previsti, la cancellazione. Per rispondere entro i termini devi sapere dove sono archiviate le trascrizioni e chi può accedervi.

Come mettere in regola le trascrizioni con l'IA in 5 passi

1. Scegli uno strumento aziendale con DPA, senza addestramento sui tuoi dati, con server UE o garanzie per i trasferimenti, e vieta gli altri.
2. Prepara l'informativa e la frase standard da usare a inizio riunione; aggiungila al modello di invito.
3. Fissa le regole nella policy aziendale sull'IA: niente ingresso automatico, riunioni escluse, chi può avviare la trascrizione, tempi di conservazione.
4. Verifica i profili lavoristici: art. 4 Statuto dei lavoratori, art. 11 Legge 132/2025, funzioni di analisi delle emozioni disattivate. Per un uso sistematico, valuta una DPIA.
5. Forma chi organizza le riunioni: è lui che deve avvisare i partecipanti e gestire chi non vuole essere registrato. La formazione sull'IA è comunque un obbligo dell'art. 4 dell'AI Act.