ChatGPT: a chi trasferisce i dati personali e come usare l’IA in ambito lavorativo

1. Gli ambiti lavorativi nei quali l’utilizzo di ChatGPT è in crescita

L’intelligenza artificiale e, in particolare, ChatGPT, stanno trovando impiego in diversi ambiti lavorativi, come ad esempio:

• Servizio Clienti: ChatGPT è utilizzata per rispondere rapidamente alle domande dei clienti, fornendo assistenza 24/7;
• Marketing e Creazione di Contenuti: ChatGPT aiuta a scrivere articoli, post per i social media, e-mail e testi pubblicitari in modo rapido ed efficace;
• Risorse Umane: grazie all’intelligenza artificiale ChatGPT può supportare la selezione del personale, analizzando CV e suggerendo i candidati più idonei;
• IT e Sviluppo Software: ChatGPT è uno strumento utile per la scrittura e la revisione di codice, oltre che per la risoluzione di problemi tecnici;
• Settore Legale e Finanziario: l’intelligenza artificiale è sempre più utilizzata per l’analisi di documenti legali e la redazione di report finanziari.

2. Vantaggi dell’Utilizzo di ChatGPT in ambito lavorativo

L’integrazione di ChatGPT nel contesto lavorativo offre numerosi vantaggi, tra questi:

3. Quali dati raccoglie ChatGPT?

ChatGPT raccoglie i seguenti dati:

3.1 Dati forniti dall’utente

• Informazioni sull’account: informazioni associate all’account: il nome, le informazioni di contatto, le credenziali dell’account, la data di nascita, le informazioni sul metodo di pagamento e la cronologia delle transazioni.
• Contenuti dell’utente: dati personali che l’utente fornisce negli input (per utilizzare i servizi, inclusi le richieste (i cd. prompt) e gli altri contenuti che l’utente carica, quali file, immagini, audio.
• Informazioni sulle comunicazioni: qualora l’utente comunichi con noi, ad esempio tramite e-mail o tramite le pagine dei nostri social media, potremmo raccogliere i suoi dati personali, tra questi, il nome, le informazioni di contatto e il contenuto dei messaggi inviati.
• Altre informazioni fornite dall’utente: raccogliamo altre informazioni che l’utente può fornire, ad esempio quando partecipa ad eventi o sondaggi o ci fornisce informazioni per stabilire la sua età o identità.

3.2 Dati personali che chatGPT riceve dall’utilizzo dei servizi da parte degli utenti

• Dati di log: informazioni che il browser o il dispositivo invia automaticamente quando l’utente utilizza i servizi. I dati di log includono l’indirizzo dell’Internet Protocol, il tipo di browser e le relative impostazioni, la data e l’ora della richiesta e le modalità di interazione con i nostri servizi.
• Dati di utilizzo: informazioni sull’utilizzo dei servizi da parte dell’utente, come ad esempio i tipi di contenuti visualizzati o utilizzati, le funzioni utilizzate e le azioni eseguite, nonché il fuso orario, il paese, le date e gli orari di accesso, lo user agent e la versione, il tipo di computer o dispositivo mobile e la connessione del computer.
• Informazioni sul dispositivo: informazioni relative al dispositivo utilizzato per accedere ai servizi, tra cui il nome del dispositivo, il sistema operativo, gli identificatori del dispositivo e il browser utilizzato. Le informazioni raccolte possono dipendere dal tipo di dispositivo utilizzato e dalle sue impostazioni.
• Informazioni sulla posizione: per ragioni di sicurezza e per migliorare l’esperienza dell’utente chatgpt raccoglie dati sull’area generica da cui il dispositivo effettua l’accesso ai servizi sulla base di informazioni come il suo indirizzo IP. Alcuni servizi consentono all’utente di scegliere dal proprio dispositivo se fornire informazioni più precise sulla posizione, ad esempio informazioni sulla posizione GPS del dispositivo.
• Cookie e tecnologie simili: chatGPT utilizza cookie e tecnologie simili per il funzionamento e la gestione dei nostri Servizi e per migliorare l’esperienza dell’utente. Se l’utente utilizza i servizi senza creare un account, chatgpt può conservare alcune delle informazioni tramite i cookie, ad esempio per mantenere le sue preferenze nelle varie sessioni di navigazione tramite il browser.
• Informazioni che chatgpt riceve da altre fonti: da partner di fiducia, tra cui i partner per la sicurezza, per la protezione da frodi, abusi e altre minacce alla sicurezza dei servizi, e da fornitori di servizi di marketing che ci forniscono informazioni sui potenziali clienti dei nostri servizi business.

4. Come utilizza i dati chatgpt?

ChatGPT po’ usare i dati raccolti per:

• fornire analisi e mantenere i servizi, ad esempio rispondendo alle domande dell’utente per ChatGPT;
• migliorare e sviluppare i servizi e condurre ricerche, ad esempio sviluppando nuove funzionalità;
• comunicare con l’utente;
• prevenire frodi, attività illecite o un uso scorretto dei servizi e proteggere la sicurezza dei sistemi e servizi chatGPT;
• adempiere agli obblighi di legge e proteggere i diritti, la privacy, la sicurezza o la proprietà degli utenti, di OpenAI o di terzi;
• aggregarli o de-identificare dati personali in modo che non possano più essere utilizzati per identificare l’utente e utilizzare queste informazioni per i fini sopra descritti, quali analizzare le modalità di utilizzo dei servizi, per migliorarli e aggiungervi funzionalità, oltre che per condurre ricerche. 

5. Soggetti ai quali chatGPT trasferisce i dati personali

5.1 Fornitori e prestatori di servizi

Tra i fornitori, chatGPT individua i seguenti:

• fornitori di servizi di hosting; 
• fornitori di servizi di assistenza clienti;
• fornitori di servizi cloud; fornitori di servizi di fornitura di contenuti; 
• fornitori di servizi di supporto e monitoraggio della sicurezza; 
• fornitori di software di comunicazione via e-mail;
• fornitori di servizi di analisi web;
• fornitori di strumenti di pagamento e di transazione e altri fornitori di servizi informatici. 

Tutti i fornitori, anche quelli non espressamente inclusi nell’elenco (che chatGPT potrebbe individuare in futuro), potranno accedere ai dati personali, li tratteranno e li conserveranno sulla base delle istruzioni fornite da chatGPT.

Una domanda viene spontanea, le istruzioni che chatGPT impartisce ai propri fornitori includono l’obbligo di rispettare il GDPR? La risposta di chatGPT a questa domanda è “SI”.

In particolare, ChatGPT a questa domanda risponde testualmente:

“Sì, OpenAI dichiara di conformarsi al GDPR e di richiedere ai suoi fornitori e partner di rispettare gli stessi standard di protezione dei dati.

🔹 Cosa dice OpenAI sulla protezione dei dati?

Secondo la Privacy Policy di OpenAI e altre dichiarazioni ufficiali:
✅ I fornitori di servizi (es. cloud computing, sicurezza, analisi) sono contrattualmente obbligati a trattare i dati in conformità con le leggi sulla privacy applicabili, incluso il GDPR.
✅ Le misure di sicurezza e protezione dei dati sono implementate per prevenire trattamenti non autorizzati o trasferimenti non conformi.
✅ Se i dati vengono trasferiti al di fuori dello Spazio Economico Europeo (SEE), OpenAI afferma di adottare misure adeguate, come Clausole Contrattuali Standard (SCC) approvate dalla Commissione Europea.“

Ciò significa che ChatGPT, nei contratti che sottoscrive con i propri fornitori, impone l’obbligo contrattuale di rispettare il GDPR. Conseguentemente, che tutti coloro che utilizzano ChatGPT possono far valere i i diritti previsti dal GDPR.

5.2 Trasferimenti di attività

In caso di transazioni strategiche, riorganizzazione, bancarotta, amministrazione controllata o transizione del servizio a un altro fornitore, i dati personali dell’utente possono essere divulgati nel processo di verifica con le controparti e “altri soggetti” che assistono la transazione e trasferiti a una società affiliata o un ente successore nell’ambito di tale transazione insieme ad altri beni.

5.3 Autorità governative o altre terze parti

ChatGPT può trasferire i dati personali:

• se richiesto dalla legge o se chatGPT ritiene in buona fede che tale azione sia necessaria per ottemperare ad un obbligo legale; 
• per proteggere e difendere i diritti di chatGPT: questa espressione generica significa che i dati possono essere trasferiti a un numero indefinito di soggetti a discrezione di chatGPT;
• laddove chatGPT ritenga, a sua esclusiva discrezione, che vi sia una violazione dei termini, delle politiche o della legge;
• per individuare o prevenire frodi o altre attività illegali;
• per proteggere la sicurezza e l’integrità dei prodotti di chatGPT, dei dipendenti, degli utenti o del pubblico;
• per proteggere chatGPT da responsabilità legali.

La privacy policy di chatGPT evidenzia il diritto di quest’ultima di trasferire i dati a terzi, ogniqualvolta lo ritenga necessario. Ciò in quanto i termini della policy sono così generici, da poter includere qualsiasi esigenza di chatGPT.

È importante tener presente che l’utente, nel momento in cui utilizza chat GPT, accetta espressamente che i propri dati siano  ceduti a un numero indefinito di soggetti nel mondo.

5.4 Società affiliate

ChatGPT può divulgare i dati personali alle sue società affiliate, intendendo con ciò un’entità che controlla, è controllata da, o è sotto controllo comune con OpenAI. Le società affiliate possono utilizzare i dati personali in modo coerente con la presente Informativa sulla privacy.

5.5 Amministratori di account aziendali

Quando l’utente registra  un account ChatGPT Enterprise o business, gli amministratori di tale account possono accedere e controllare il suo account OpenAI, inclusi i contenuti dell’utente. Inoltre, qualora l’utente crei un account utilizzando un indirizzo e-mail appartenente al suo datore di lavoro o a un’altra organizzazione, possiamo condividere il fatto che l’utente abbia un account e alcune informazioni relative all’account, come il suo indirizzo e-mail, con il suo datore di lavoro o la sua organizzazione per, ad esempio, consentirgli di essere aggiunto all’account aziendale.

5.6 Altri utenti e terze parti con cui l’utente interagisce o condivide informazioni

Alcune funzioni consentono all’utente di interagire o condividere informazioni con altri utenti o terze parti. Ad esempio, è possibile per l’utente condividere le conversazioni di ChatGPT con altri utenti tramite link condivisi⁠(opens in a new window). È possibile inoltre inviare informazioni ad applicazioni di terzi, ad esempio tramite azioni personalizzate per GPT o per effettuare ricerche sul web che consentano di aiutare a rispondere a domande che richiedono informazioni più recenti. Le informazioni che l’utente condivide con terze parti sono disciplinate dai termini e dalle informative sulla privacy di dette terze parti, e l’utente è tenuto ad assicurarsi di aver compreso tali termini e informative prima di condividere informazioni con esse.

6. ChatGPT trasferisce I dati personali al di fuori dello Spazio Economico Europeo?

7. 7. Cosa è necessario fare prima di utilizzare chatGPT in ambito lavorativo?

Chiunque intenda utilizzare chatGPT in ambito lavorativo, prima di utilizzare l’IA, dovrebbe procedere almeno con i seguenti step:

• valutazione di impatto ai sensi dell’art. ai sensi degli artt. 35-36 GDPR;
• adeguarsi al GDPR;
• formazione del personale che dovrà utilizzare chatGPT, al fine di determinare:
  • – modalità e limiti dei prompt (le istruzioni fornite a un modello di intelligenza artificiale che gli consentono di generare un output, quindi una risposta);
  • – categorie di informazioni (compresi file di qualunque genere, es. formato pdf, immagini) che non possono essere condivise su chatGPT (es. informazioni riservate o che possano comunque ricondurre a informazioni riservate): spesso informazioni caricate su chatGPT in forma anonima, posso rivelare procedure, prodotti o servizi riservati e la loro divulgazione potrebbe pregiudicarne il futuro utilizzo e i relativi diritti; o le informazioni comunicate a chatGPT potrebbero essere utilizzate da un competitor che chiede consigli all’IA su come migliorare la propria attività;
  • – integrare e aggiornare il contratto di lavoro con le nuove mansioni (laddove necessario, anche a fini disciplinari);
• creare una procedura interna che definisca il corretto utilizzo di chatGPT all’interno della propria organizzazione:
  • – definizione di una “AI policy” con specifico riferimento all’utilizzo di chatGPT da parte dei dipendenti; procedura che deve essere comunicata esclusivamente ai soggetti che utilizzeranno l’intelligenza artificiale per svolgere le proprie mansioni lavorative;
  • – integrazione della AI Policy con eventuali ulteriori policy già implementate in azienda. Ad esempio, modello 231, MOP (Modello Organizzativo Privacy).

Gli step e i ragionamenti sopra evidenziati per chatGPT possono essere utilizzati e applicati anche ad altri sistemi di intelligenza artificiale, come, ad esempio, copilot o gemini.

Se hai bisogno di implementare chatGPT o un altro sistema di IA nella tua azienda Prenota una consulenza

Avv. Gianfranco Leggio

Fonte: privacy policy chatGPT (05.02.2025)