Posso usare ChatGPT con i dati dei clienti?
Pubblicata il
In breve: sì, ma non con qualsiasi versione. Con i piani personali di ChatGPT (Free, Go, Plus e Pro) i dati dei tuoi clienti non vanno inseriti, perché OpenAI li tratta secondo regole proprie e non c’è un contratto che la obblighi a usarli solo per te. Con i piani per le aziende (ChatGPT Business ed Enterprise) puoi farlo a tre condizioni: l’accordo sul trattamento dei dati con OpenAI deve essere attivo, inserisci solo i dati che servono davvero e i tuoi clienti devono sapere che usi l’AI.
Due ChatGPT diversi, anche se sembrano uguali
Lo schermo è lo stesso, il contratto no. OpenAI divide i suoi servizi in due famiglie, e la differenza decide tutto.
I piani personali (Free, Go, Plus, Pro) sono pensati per il singolo utente. Le conversazioni possono essere usate per addestrare i modelli, a meno che tu non disattivi l’opzione «Migliora il modello per tutti» nelle impostazioni, alla voce Controlli dati. Per gli utenti europei a decidere come usare quei dati è OpenAI Ireland, la società di OpenAI con sede a Dublino: il titolare di quei dati è lei, non tu. Dal 24 agosto 2026 nei piani Free e Go compare anche la pubblicità.
I piani aziendali (Business, che fino ad agosto 2025 si chiamava Team, Enterprise ed Edu) invece funzionano al contrario. OpenAI non usa le conversazioni per l’addestramento, salvo una tua scelta esplicita, e mette a disposizione un accordo sul trattamento dei dati, il DPA (dall’inglese Data Processing Addendum): un contratto che fissa per iscritto cosa OpenAI può fare con i dati e cosa no.
| Piani personali (Free, Go, Plus, Pro) | Piani aziendali (Business, Enterprise) | |
|---|---|---|
| Addestramento sulle conversazioni | Sì, salvo disattivazione | No, salvo tua scelta esplicita |
| Accordo sul trattamento dei dati (DPA) | Non previsto | Previsto |
| Chi decide come usare i dati | OpenAI | Tu; OpenAI esegue per tuo conto |
| Pubblicità | Sì, su Free e Go | No |
| Adatto ai dati dei clienti | No | Sì, con le cautele di questa pagina |
Perché conta il contratto, non l’interruttore
Quando lavori sui dati di un cliente, il titolare del trattamento sei tu. Lo stabilisce l’articolo 4, punto 7, del Regolamento (UE) 2016/679, il Regolamento generale sulla protezione dei dati (GDPR), che definisce titolare chi decide perché e come i dati vengono trattati. Se affidi quei dati a un fornitore che li elabora per conto tuo, il fornitore diventa responsabile del trattamento, e l’articolo 28 dello stesso GDPR, dedicato appunto al responsabile, chiede un contratto che lo vincoli a seguire le tue istruzioni. Abbiamo spiegato i due ruoli in Titolare e responsabile del trattamento quando usi l’AI.
Con un piano aziendale quel contratto c’è: è il DPA. Con un piano personale non c’è, e disattivare l’addestramento non lo sostituisce. L’interruttore toglie un uso dei dati, ma OpenAI resta titolare per conto proprio, e le conversazioni restano salvate nella cronologia finché non le cancelli; dopo la cancellazione spariscono dai server entro 30 giorni. La chat temporanea non entra nell’addestramento e si cancella da sola entro 30 giorni, ma è sempre un servizio personale, senza contratto.
In pratica, incollare i dati di un cliente in un piano personale significa consegnarli a un’altra azienda, che li tratterà secondo le sue regole e non secondo le tue. Il cliente non lo sa, e tu non hai un contratto da mostrargli.
Anche con il contratto, non tutto
Il DPA rende l’uso possibile, non illimitato. Il GDPR chiede di trattare solo i dati che servono allo scopo: è il principio di minimizzazione dell’articolo 5, paragrafo 1, lettera c). Se devi riscrivere una lettera o riassumere una pratica, quasi mai servono il nome, il codice fiscale o l’indirizzo del cliente: sostituirli con «il cliente» o con un’iniziale di fantasia è il gesto più semplice e più utile.
Serve più cautela con i dati particolari, cioè le categorie dell’articolo 9 del GDPR: salute, origine etnica, convinzioni religiose, dati genetici e le altre. Per un medico, un fisioterapista, uno psicologo o un consulente del lavoro che gestisce malattie e infortuni sono dati di tutti i giorni. Prima di inserirli chiediti se il compito si può fare senza; se non si può, servono una base giuridica specifica, una valutazione dei rischi e uno strumento con garanzie adeguate. ChatGPT Enterprise, per esempio, permette di conservare i dati in Europa.
Lo stesso ragionamento vale per le professioni tenute al segreto professionale: scegliere uno strumento vincolato da un contratto è il modo per mantenere la riservatezza anche quando usi l’AI.
E l’AI Act?
Quando usi ChatGPT nel tuo lavoro sei un deployer, cioè chi utilizza un sistema di AI sotto la propria autorità per un’attività professionale, secondo la definizione dell’articolo 3, punto 4, del Regolamento (UE) 2024/1689, l’AI Act. Scrivere, riassumere, tradurre o preparare bozze non sono usi ad alto rischio, quindi gli obblighi più pesanti dell’AI Act non scattano. Il discorso cambia se usi ChatGPT per decidere su persone nei casi elencati dall’Allegato III dell’AI Act, per esempio per scegliere tra candidati a un posto di lavoro.
Resta il tema della preparazione di chi usa l’AI, l’alfabetizzazione prevista dall’articolo 4 dell’AI Act, che il Regolamento (UE) 2026/1744 ha modificato a luglio 2026: cosa resta da fare lo spieghiamo in L’articolo 4 dopo l’Omnibus.
In Italia c’è un passo in più. La legge 23 settembre 2025, n. 132, la legge italiana sull’intelligenza artificiale, chiede a chi esercita una professione intellettuale di informare il cliente, con parole chiare, degli strumenti di AI che usa nella prestazione.
Cosa fare, in pratica
Per tutto ciò che riguarda i clienti usa un piano aziendale (Business o Enterprise). Tieni i piani personali per i testi senza dati personali.
Verifica che il DPA sia attivo e conservane una copia insieme al registro dei trattamenti.
Aggiorna l’informativa privacy ai clienti, indicando OpenAI tra i fornitori che trattano i dati per tuo conto.
Prima di incollare, togli ciò che non serve: nomi, codici fiscali, indirizzi, numeri di pratica.
Metti per iscritto le regole per collaboratori e dipendenti: quale account usare e cosa non inserire mai, come le foto dei documenti dei clienti.
Domande frequenti
Lavoro da solo e ChatGPT Business richiede almeno due utenti: come faccio?
Il minimo di due posti vale per ogni spazio di lavoro, quindi anche da solo paghi due utenti. Al 5 ottobre 2026 il listino di OpenAI indica 25 dollari al mese per utente, 20 con pagamento annuale.
L’alternativa più diffusa è Microsoft 365 Copilot, che usa i modelli di OpenAI attraverso i servizi di Microsoft e non quelli pubblici di OpenAI. Quando lo usa un’organizzazione, è coperto dall’accordo sul trattamento dei dati di Microsoft, con Microsoft come responsabile del trattamento, e le richieste non servono ad addestrare i modelli. Attenzione al nome: la versione gratuita di Copilot, usata con un account personale, non offre queste garanzie.
Esistono poi programmi professionali, come gestionali, banche dati e software per lo studio, che integrano i modelli di OpenAI. Anche per questi la regola è la stessa: prima di usarli con i dati dei clienti, chiedi al fornitore l’accordo sul trattamento dei dati e quali modelli usa.
Se il cliente mi dà il consenso, posso usare il piano gratuito di ChatGPT per i clienti?
È una strada fragile. Nei piani personali OpenAI usa i dati anche per scopi propri, e un consenso valido dovrebbe essere libero, specifico e informato proprio su questo. Andrebbe poi raccolto e documentato per ogni cliente, che può revocarlo quando vuole. Uno strumento con il contratto risolve il problema alla radice.
La pubblicità nei piani gratuiti di ChatGPT vuol dire che gli inserzionisti leggono le mie conversazioni?
OpenAI dichiara di non condividere le conversazioni con gli inserzionisti e, in Europa, gli annunci sono partiti senza personalizzazione. La risposta comunque non cambia: il problema dei piani personali è l’assenza di un contratto, non la pubblicità.
Ho già inserito dati di clienti in un piano di ChatGPT personale. Cosa faccio?
Cancella quelle conversazioni (spariscono dai server entro 30 giorni), disattiva l’addestramento e sposta il lavoro su un piano aziendale. Se l’addestramento era attivo, la cancellazione non garantisce che quei testi non siano già stati usati. Valuta poi, con chi ti segue per la privacy, se l’episodio vada trattato come una violazione dei dati personali secondo l’articolo 33 del GDPR, che regola la notifica all’autorità di controllo.
Condizioni dei fornitori verificate il 5 ottobre 2026 sulle pagine ufficiali di OpenAI. Le politiche dei servizi di AI cambiano spesso: questa pagina viene aggiornata quando cambiano.
Fonti dei fornitori
OpenAI, «How your data is used to improve model performance»: https://openai.com/policies/how-your-data-is-used-to-improve-model-performance/
OpenAI, «Introducing data residency in Europe»: https://openai.com/index/introducing-data-residency-in-europe/
OpenAI Help Center, «Managing billing and seats in ChatGPT Business»: https://help.openai.com/en/articles/8792536
Microsoft Learn, «Enterprise data protection in Microsoft 365 Copilot and Microsoft 365 Copilot Chat»: https://learn.microsoft.com/en-us/copilot/microsoft-365/enterprise-data-protection