GDPR e ChatGPT: anonimizzazione JIT per il supporto clienti
Aggiornato per il 2026
Il conflitto con il trasferimento dei dati
I team di supporto usano ChatGPT per redigere le risposte. Questo crea un problema GDPR. Nomi dei clienti, ID degli ordini e indirizzi sono informazioni personali. Inviarli a ChatGPT significa inviarli ai server di OpenAI negli Stati Uniti.
L'articolo 46 del GDPR disciplina i trasferimenti verso paesi extra-UE. Richiede garanzie adeguate: Clausole Contrattuali Standard (SCCs), decisioni di adeguatezza e norme vincolanti d'impresa.
OpenAI offre SCCs ai clienti enterprise. Molti team di supporto usano account consumer standard. Questi account non offrono le stesse protezioni. Un audit UE del 2024 ha rilevato che il 63% dei record utente di ChatGPT proveniva da account privi delle impostazioni di protezione enterprise.
L'esperienza del Garante italiano mostra dove porta l'applicazione delle norme. Nel dicembre 2024, l'autorità ha sanzionato OpenAI con 15 milioni di euro. Tre le violazioni alla base della sanzione: assenza di una base giuridica valida, scarsa trasparenza riguardo all'addestramento e mancanza di verifica dell'età per i minori. In quel momento, il 63% delle aziende italiane era privo di politiche AI allineate al GDPR.
L'anonimizzazione JIT risolve il problema
L'anonimizzazione just-in-time (JIT) impedisce ai dati personali di raggiungere ChatGPT. Interviene al momento dell'invio, prima della chiamata a OpenAI.
Ecco come funziona. Un operatore del supporto incolla un reclamo di un cliente in ChatGPT. L'estensione del browser intercetta il testo incollato. Rileva nome, numero d'ordine e indirizzo. L'operatore visualizza un'anteprima. L'operatore clicca su «procedi». ChatGPT riceve una versione ripulita con token al posto degli identificatori.
ChatGPT redige una risposta usando quei token. L'estensione sostituisce i token con i valori reali. L'operatore vede il nome reale nella risposta. ChatGPT non ha mai elaborato quel nome.
Con questa architettura, l'articolo 46 del GDPR non si applica. Ciò che raggiunge OpenAI non costituisce dato personale ai sensi del GDPR. Il nome e l'indirizzo del cliente rimangono nel browser dell'operatore, all'interno dell'UE. La conformità è strutturale. Non si basa solo sui contratti. Vedere la nostra guida alla conformità per i requisiti di documentazione.
Perché le garanzie contrattuali non bastano
Le SCCs e i DPA sono garanzie valide. Ma comportano rischi continuativi. Dipendono dal fatto che il personale utilizzi il livello di account corretto. Richiedono rinnovi. Richiedono audit periodici. Un singolo errore del personale può spezzare la catena.
I controlli tecnici sono più duraturi. Se i dati personali non lasciano mai il browser come input, nessuna violazione può esporli. La sanzione da 15 milioni di euro del Garante conferma questa prospettiva. Il fallimento fondamentale era l'assenza di controlli tecnici, non solo la mancanza di documentazione. La nostra panoramica sulla sicurezza illustra l'approccio stratificato completo.
Configurare l'anonimizzazione JIT
Tre passaggi completano la configurazione.
Installare l'estensione del browser. L'estensione Chrome si interpone tra l'operatore e lo strumento AI. Non è necessario apportare alcuna modifica allo strumento AI stesso. Gli operatori mantengono il loro flusso di lavoro abituale.
Configurare il rilevamento delle entità. Abilitare i tipi di entità appropriati per la propria base clienti. Per i team di supporto UE, ciò include nomi, indirizzi, indirizzi email, numeri di telefono, ID degli ordini e formati locali di documenti d'identità nazionali.
Abilitare un registro di audit. Le autorità di controllo richiedono la prova che i controlli abbiano funzionato. Un record per ogni evento — timestamp, tipi di entità, conteggio — fornisce agli ispettori le evidenze necessarie. Nessun contenuto personale viene archiviato. Vedere le nostre FAQ per domande sulla configurazione.