ChatGPT è conforme al GDPR? La verità sulle versioni Free, Team, Enterprise

«Posso caricare i dati dei miei clienti su ChatGPT?» è la domanda che riceviamo di più. Risposta breve: NO su ChatGPT Free, SÌ su Team/Enterprise/API se fai bene. Ecco le differenze e i passi pratici per essere in regola.

Le 4 versioni di ChatGPT e il loro status GDPR

ChatGPT Free

NON CONFORME per dati personali aziendali. OpenAI usa le tue conversazioni per training. Caricare dati di clienti, dipendenti, fornitori è violazione GDPR. Sanzioni potenziali: fino a 4% fatturato globale.

ChatGPT Plus (€22/mese)

Versione individuale. Dati NON usati per training (puoi disattivare nel pannello). MA: nessun DPA firmabile, server USA, no SCC. Ok per uso personale, NO per dati aziendali sensibili.

ChatGPT Team (€25/utente/mese)

CONFORME GDPR. DPA firmabile, dati non usati per training, audit log, server EU disponibili. Per piccole aziende è la scelta giusta.

ChatGPT Enterprise (custom)

CONFORME COMPLETO. SSO, SCIM, audit log avanzato, retention configurabile, server EU dedicati possibili, DPO contact, DPIA assistance. Per grandi aziende.

ChatGPT API

CONFORME GDPR. DPA standard, no training, server EU disponibili. Per integrazioni custom.

I 5 passi per essere in regola

1. Vieta ChatGPT Free per dati aziendali. Comunicato interno + policy.
2. Acquista licenze Team/Enterprise per chi usa AI nel lavoro.
3. Firma DPA con OpenAI (lo fa OpenAI dal pannello admin).
4. Configura retention 0 giorni dove possibile (Enterprise).
5. Documenta nella tua privacy policy che usi ChatGPT come responsabile esterno.

E i dati altamente sensibili?

Per dati biometrici, sanitari, genetici: ChatGPT (anche Enterprise) non è la scelta giusta. Valuta Mistral on-premise o Azure OpenAI Service con regione EU dedicata.

Cosa scrivere nella privacy policy

«Per l'erogazione del servizio [X] utilizziamo OpenAI, LLC come responsabile del trattamento (DPA firmato il [DATA]). I dati sono trasferiti negli USA sulla base delle Clausole Contrattuali Standard UE-USA. Periodo conservazione: 30 giorni. Categorie dati: [...].»