In breve, è sicuro usare ChatGPT con i dati aziendali?
Dipende da tre fattori: quale account o piano viene usato, cosa prevedono le relative condizioni sul trattamento dei dati e quali informazioni vengono inserite. Lo stesso strumento può essere accettabile con un piano aziendale approvato per una bozza basata su fatti pubblici e inaccettabile con un account personale per un contratto con un cliente.
Il centro nazionale britannico per la sicurezza informatica ha espresso il concetto di fondo nel marzo 2023: una richiesta è visibile all'organizzazione che fornisce il modello, e ha raccomandato di non inserire informazioni sensibili nelle richieste ai modelli pubblici. Da allora le condizioni dei fornitori si sono evolute, ma resta valido il principio secondo cui bisogna sapere dove finiscono i dati. Questa pagina fornisce informazioni generali, non consulenza legale.
Scegli il piano
Stabilisci quale tipo di account è approvato per il lavoro. Gli account personali sono spesso una lacuna nelle regole.
Leggi le condizioni
Verifica sulle pagine del fornitore l'uso dei dati per l'addestramento, i tempi di conservazione, i controlli amministrativi e il luogo in cui vengono trattati i dati.
Classificare le informazioni
Concorda quali informazioni sono pubbliche, interne, riservate e personali, con esempi semplici.
Definisci la regola
Scrivi un breve elenco di ciò che non deve mai essere inserito, indipendentemente dal piano.
Forma e verifica
Esercitati con dati fittizi e verifica che l'uso reale rispetti la regola.
Il tipo di piano cambia il modo in cui vengono trattati i tuoi dati?
Sì, in genere i fornitori pubblicano condizioni diverse sui dati per i prodotti destinati ai privati e quelli aziendali, quindi verifica il piano esatto che usi. Il centro per la privacy di Anthropic, datato 18 August 2026, afferma che, per impostazione predefinita, non userà i dati inseriti né i risultati dei suoi prodotti commerciali per addestrare i propri modelli e rimanda a un articolo separato per i piani destinati ai privati. Il centro per la privacy di Google Workspace afferma che Workspace non usa i dati dei clienti per addestrare i modelli senza il consenso o un'istruzione preventiva del cliente.
La documentazione API di OpenAI afferma che i dati inviati all'API non vengono usati per addestrare o migliorare i suoi modelli, salvo consenso esplicito, e che i registri di monitoraggio degli abusi vengono conservati per un massimo di 30 giorni per impostazione predefinita. Durante la verifica del 16 October 2026 non siamo riusciti ad aprire le pagine di OpenAI sulla privacy di ChatGPT per aziende e consumatori: leggi quindi direttamente quelle relative al piano ChatGPT usato dal tuo team, anziché affidarti a un riepilogo qui.
Cosa non dovrebbero mai incollare i dipendenti in ChatGPT?
Alcune informazioni non sono adatte a nessuno strumento di IA generalista, a meno che non siano gestite da una procedura specifica e approvata. Una regola di base da insegnare, adatta alla maggior parte dei piccoli gruppi, è un breve elenco di dati da non inserire mai, con un referente che chiarisca i casi dubbi.
Password e chiavi
Credenziali, chiavi API, codici di accesso e informazioni di sicurezza.
Categorie particolari di dati personali
Dati sulla salute, dati biometrici e altre informazioni sensibili analoghe relative a chiunque.
Materiale riservato dei clienti
Qualsiasi contenuto soggetto a restrizioni contrattuali o a un accordo di riservatezza, salvo consenso del cliente.
Dati finanziari non ancora pubblicati
Risultati, condizioni degli accordi o prezzi non ancora pubblici.
Questioni relative al personale
Dettagli su procedimenti disciplinari, reclami o prestazioni di dipendenti identificati per nome.
Vuoi vedere come si collega a un ruolo?
Scopri la prova per i team prevista ↗Come si presenta un prompt più sicuro?
Alla Copperfield Consulting, un'azienda immaginaria di 20 persone, un consulente vuole aiuto per riassumere un'intervista a un cliente. Nella versione rischiosa, incolla la trascrizione integrale in un account personale, includendo il nome del cliente, la lamentela di un dipendente identificato per nome e dati sui ricavi non ancora pubblicati.
La versione più sicura usa il piano aziendale approvato dallo studio, elimina nomi e cifre e chiede: "Riassumi i temi principali di questi appunti anonimizzati in cinque punti elenco. Non dedurre nulla che non sia dichiarato." Il consulente confronta poi ogni punto con gli appunti. La politica dello studio specifica quale piano è approvato e che per usare i dati dei clienti serve il consenso del responsabile dell'incarico.
E per quanto riguarda i dati personali e la normativa sulla protezione dei dati?
Se il personale inserisce dati personali, i tuoi obblighi di protezione dei dati si applicano come di consueto e l'IA non li elimina. Il profilo sull'IA generativa di NIST elenca tra i rischi dell'IA generativa la riservatezza dei dati, comprese le fughe di dati e la divulgazione non autorizzata di dati personali o sensibili. Nel Regno Unito, ICO pubblica linee guida su IA e protezione dei dati; la pagina di sintesi, datata 15 marzo 2023, indica che sono in fase di revisione a seguito della legge sui dati (uso e accesso). Per qualsiasi attività ad alto rischio, chiedi una consulenza.
Come si inserisce Tosheo.ai?
Tosheo.ai è in fase di progettazione per insegnare quali informazioni si possono condividere attraverso lezioni pratiche, usando materiale fittizio o approvato, così che le persone si esercitino a decidere prima di doverlo fare con dati reali. Gli impegni previsti per il prodotto stabiliscono che i documenti dei clienti siano isolati per azienda, eliminati alla chiusura dell'account e mai usati per l'addestramento. Sono impegni relativi a un prodotto non ancora sviluppato, non misure di controllo sottoposte a verifica indipendente.
Quando Tosheo.ai non è la soluzione?
La formazione non sceglie il tuo piano per l'IA, non negozia un accordo sul trattamento dei dati e non svolge una valutazione dei rischi. Se ti serve una verifica di sicurezza, una valutazione d'impatto sulla protezione dei dati o la definizione di condizioni contrattuali, rivolgiti al tuo responsabile informatico, legale o della protezione dei dati. Al lancio, Tosheo.ai non offre SSO né contratti aziendali.
Fonti e ambito
Documentazione API di OpenAI, i tuoi dati, verificata il 16 October 2026 ↗
NIST IA 600-1, Profilo per l'IA generativa, luglio 2024 ↗
ICO, Linee guida su IA e protezione dei dati, 15 marzo 2023, in fase di revisione ↗