Il Conflitto del Trasferimento dei Dati
I team di supporto clienti che utilizzano ChatGPT per redigere risposte affrontano un conflitto strutturale di conformità al GDPR. L'elaborazione dei dati personali dei clienti — nomi, ID ordini, indirizzi, dettagli delle lamentele — tramite ChatGPT significa trasmettere tali dati ai server di OpenAI, che si trovano negli Stati Uniti. Ai sensi dell'Articolo 46 del GDPR, il trasferimento di dati personali in un paese terzo richiede adeguate garanzie: o una decisione di adeguatezza, Clausole Contrattuali Standard, o regole aziendali vincolanti.
OpenAI ha pubblicato Clausole Contrattuali Standard per i clienti aziendali tramite le offerte ChatGPT Enterprise e API. Tuttavia, molti team di supporto clienti utilizzano l'interfaccia standard di ChatGPT tramite account consumer — account che non portano le protezioni contrattuali del GDPR degli accordi aziendali. Un audit dell'UE del 2024 ha rilevato che il 63% dei dati degli utenti di ChatGPT proveniva da account che non avevano optato per le impostazioni di protezione dei dati disponibili per gli utenti aziendali.
L'azione regolamentare del Garante italiano illustra il percorso di enforcement. A dicembre 2024, il Garante ha multato OpenAI di €15 milioni per l'elaborazione illecita dei dati personali degli utenti italiani — specificamente per l'elaborazione dei dati senza una base legale adeguata e senza rispettare gli obblighi sui diritti degli interessati. La multa è stata preceduta da un divieto temporaneo su ChatGPT in Italia nel 2023 e da ampie negoziazioni sulle pratiche di gestione dei dati. Il 63% delle aziende italiane è risultato privo di politiche di utilizzo dell'IA conformi al GDPR al momento della multa.
La Risoluzione dell'Anonymizzazione JIT
L'anonymizzazione just-in-time (JIT) risolve il conflitto del trasferimento dei dati garantendo che i dati personali non raggiungano mai i server di ChatGPT in primo luogo. L'anonymizzazione avviene al momento dell'invio del prompt — tra l'evento di incolla dell'utente e la trasmissione di rete a OpenAI.
L'architettura di intercettazione dell'estensione Chrome: quando un agente di supporto clienti incolla una lamentela di un cliente contenente "Maria Dupont, ordine FR-2024-8847, spedito a 12 rue de la Paix, Parigi" nel campo di input di ChatGPT, l'estensione intercetta l'evento di incolla. Prima che il contenuto appaia nel campo di input, l'estensione rileva il nome, il numero d'ordine e l'indirizzo. L'agente vede un'anteprima. L'agente clicca su procedi. ChatGPT riceve una versione anonimizzata senza dati personali — una descrizione completa della lamentela con token che sostituiscono gli identificatori.
ChatGPT genera una bozza di risposta utilizzando i token anonimizzati. La funzione di auto-decrittazione dell'estensione sostituisce i valori reali nella risposta dell'IA, così l'agente vede una risposta che fa riferimento al nome reale del cliente — ma ChatGPT non ha mai elaborato quel nome.
Sotto questa architettura, la questione del trasferimento dei dati ai sensi dell'Articolo 46 del GDPR non sorge: i dati trasferiti ai server di ChatGPT sono dati anonimizzati che non soddisfano la definizione di dati personali del GDPR. Il nome, l'indirizzo e le informazioni identificative del cliente rimangono all'interno dell'UE nel browser locale dell'agente. La conformità al GDPR è strutturale piuttosto che contrattuale.
Fonti: