La lezione per il team su cosa si può dare all'AI

Sono le sei di sera, scadenza domani. Il collaboratore ha un estratto conto di 14 pagine da riconciliare e una chat gratuita aperta nell'altra finestra. Cosa vuoi che sia, è solo un estratto conto.

È proprio lì che conviene arrivare prima. Non serve un corso di privacy: bastano dieci minuti e tre liste.

Perché non si può incollare tutto in ChatGPT?

Non è una questione di ChatGPT in particolare. È una questione di versione.

La guida operativa n. 3 del Consiglio Nazionale (ottobre 2025) divide gli strumenti in due famiglie:

• le versioni gratuite o personali, dove le regole sulla privacy di solito permettono di usare quello che scrivi e carichi per addestrare e migliorare l'AI;
• le versioni per aziende (dette "business" o "enterprise"), dove il fornitore si impegna per contratto a non usare i tuoi dati per l'addestramento.

La guida è netta: dare a un servizio della prima famiglia un documento con informazioni sensibili di un cliente equivale a violare il segreto professionale e il GDPR.

Quali documenti si possono dare all'AI? Le tre liste

Mai, in una versione gratuita o personale

Tutto quello che contiene dati dei clienti: estratti conto, dichiarazioni, buste paga, fatture, visure con i nomi dei soci, mail dei clienti, codici fiscali, IBAN.

Solo nello strumento scelto dallo studio

I documenti dei clienti che servono davvero, solo nella versione per aziende che lo studio ha scelto e configurato. Meglio ancora se ripuliti prima, con il metodo del paragrafo sotto.

Sempre

Norme, circolari, risoluzioni, prassi pubblica. Testi scritti da te senza dati di nessuno: la bozza di una mail generica, la scaletta di una riunione, un dubbio di Excel.

Togliere il nome basta per rendere anonimo un documento?

Quasi mai. La guida n. 3 distingue due cose che sembrano uguali:

• anonimizzare vuol dire rendere impossibile, in modo definitivo, risalire alla persona. Un dato davvero anonimo non è più un dato personale, e il GDPR non si applica;
• pseudonimizzare vuol dire sostituire il nome con un codice ("Cliente A"), tenendo da parte la tabella che dice chi è il Cliente A. È una buona misura di sicurezza, ma per il GDPR quei dati restano dati personali.

In pratica: se togli il nome ma lasci codice fiscale, indirizzo e importi, il cliente si riconosce lo stesso. Se il documento deve uscire dallo studio, la strada da preferire è l'anonimizzazione vera.

Come fare la lezione al team: i 4 passi

1. Due minuti: la storia. Racconta la scena dell'estratto conto delle sei di sera. Tutti l'hanno vissuta.
2. Tre minuti: le tre liste. Scrivile su un foglio o alla lavagna: mai, solo nello strumento dello studio, sempre.
3. Tre minuti: l'esercizio. Sei documenti veri (anche solo i nomi): una circolare, una busta paga, un estratto conto, una mail di un cliente, una bozza di lettera generica, una visura. Ognuno li mette nella lista giusta.
4. Due minuti: la regola dello studio. Quale strumento si usa, con quale account, e a chi si chiede quando non si sa.

E se è già successo?

Niente panico, e niente silenzio.

1. Cancella la conversazione dall'assistente.
2. Avvisa il titolare dello studio, subito.
3. Il titolare valuta con chi segue la privacy dello studio se va trattato come violazione dei dati personali. Quando la notifica al Garante serve, il GDPR dà 72 ore.

Dirlo subito è la cosa che salva. Nasconderlo è quella che complica.