GDPR e AI per una piccola impresa italiana, in parole semplici

Premessa necessaria: questo articolo non è una consulenza legale, e chi te lo scrive non è il tuo avvocato. È una mappa delle domande giuste, con i riferimenti normativi espliciti, così che quando parli con il tuo consulente la conversazione parta già dal punto utile invece che da zero. Le norme citate sono il Regolamento (UE) 2016/679 (GDPR) e il Regolamento (UE) 2024/1689 (AI Act).

Una cosa va detta subito, perché toglie l'ansia sbagliata: mettere un assistente AI a rispondere ai clienti su WhatsApp non ti mette in una categoria nuova e misteriosa. Stai trattando dati personali di clienti, cosa che facevi già con l'agenda cartacea e il gestionale. Cambiano il volume, il posto dove finiscono e una regola nuova sulla trasparenza. Non cambia l'impianto.

Il ruolo: tu sei il titolare, il fornitore è il responsabile

È la distinzione che regge tutto il resto. Il titolare del trattamento decide perché e come si trattano i dati: sei tu, la tua attività. Il responsabile del trattamento tratta i dati per conto del titolare seguendo le sue istruzioni: è il fornitore del software.

Da questo discende un obbligo preciso, l'articolo 28 del GDPR: fra te e il fornitore ci deve essere un contratto scritto che disciplina il trattamento, quello che tutti chiamano DPA. Non è un documento facoltativo e non è un adempimento formale: è ciò che ti dà per iscritto le garanzie su cosa il fornitore può fare con i dati dei tuoi clienti, per quanto li conserva, chi altro li tocca e cosa succede quando il rapporto finisce.

Prima domanda pratica da fare a chiunque ti proponga uno strumento del genere: dov'è il vostro DPA? Se la risposta è imbarazzata, hai già la risposta. Il nostro è pubblico, alla pagina DPA, insieme all'elenco dei sotto-responsabili.

La base giuridica: perché puoi trattare quei dati

L'articolo 6 del GDPR chiede che ogni trattamento poggi su una base giuridica. Per le conversazioni con i clienti quelle rilevanti sono normalmente due.

L'esecuzione di un contratto o di misure precontrattuali (art. 6.1.b): un cliente ti scrive per prenotare un tavolo o chiedere un preventivo. Trattare il suo nome, il numero e la richiesta serve a rispondergli. Non ti serve un consenso per rispondere a chi ti ha scritto: sarebbe assurdo, e la norma non lo chiede.

Il legittimo interesse (art. 6.1.f) per attività collegate come la sicurezza del servizio o la difesa da abusi, con la valutazione di bilanciamento che il caso richiede.

Il consenso (art. 6.1.a) serve quando esci dalla richiesta del cliente: mandargli promozioni, inserirlo in una lista di marketing, riusare i suoi dati per finalità diverse. È il punto in cui si sbaglia più spesso, perché la tentazione di riutilizzare una rubrica raccolta rispondendo alle domande è forte. Il consenso al marketing va raccolto a parte, in modo documentabile, e deve essere revocabile.

L'informativa: dove la metti se il canale è WhatsApp

L'articolo 13 dice che le persone vanno informate su chi tratta i dati, per quali finalità, per quanto tempo, a chi vengono comunicati e quali diritti hanno. Su un sito questo si fa con una pagina. In chat serve un po' di praticità.

Le soluzioni che funzionano, in ordine di semplicità: il link all'informativa nel profilo aziendale del canale; una riga nel messaggio di benvenuto o nella prima risposta, con il link; e, se raccogli dati per una finalità nuova (per esempio un preventivo che richiede più informazioni), un richiamo esplicito in quel punto della conversazione.

La regola pratica: l'informativa deve essere raggiungibile prima che la persona ti dia i dati, non nascosta in fondo al sito.

Il principio che risolve metà dei problemi

L'articolo 5 stabilisce, fra gli altri, il principio di minimizzazione: tratta solo i dati che ti servono, per il tempo che ti servono. È noioso e vale più di dieci accorgimenti tecnici.

Tradotto nelle scelte di ogni giorno: il tuo assistente deve chiedere il numero di carta d'identità per prenotare un tavolo? No. Deve conservare per tre anni la chat di chi ha chiesto gli orari? Probabilmente no. Ti serve una base di conoscenza che contenga i dati personali dei clienti? Quasi mai: la base di conoscenza dovrebbe contenere il menu, il listino, le regole, non gli elenchi di persone.

Definisci un tempo di conservazione, scrivilo nell'informativa, e assicurati che il fornitore lo rispetti davvero. Una politica di conservazione che esiste solo sulla carta è peggio di nessuna politica, perché è una dichiarazione falsa.

Decisioni automatizzate: l'articolo 22, e perché di solito non ti riguarda

L'articolo 22 riguarda le decisioni basate unicamente su trattamento automatizzato che producono effetti giuridici o incidono significativamente sulla persona. È la norma pensata per il rifiuto automatico di un mutuo, non per un assistente che ti dice a che ora chiude la cucina.

Nella pratica di una piccola attività la questione si presenta raramente. Diventa rilevante se lasci decidere all'assistente qualcosa che pesa: accettare o rifiutare una richiesta in base a criteri automatici, applicare o negare condizioni. La strada tranquilla è tenere una persona nel passaggio decisivo. In PappaChat è un comportamento previsto: decidi tu quando l'assistente conferma da solo una prenotazione e quando resta in attesa, con il motivo scritto accanto alla richiesta, e le domande fuori regola vengono girate a un operatore invece di essere risolte a caso.

L'AI Act: la regola nuova, ed è di trasparenza

Il Regolamento (UE) 2024/1689, l'AI Act, è entrato in vigore il 1° agosto 2024 con un'applicazione scaglionata. Per una piccola attività che usa un assistente conversazionale la parte che conta è l'articolo 50, sugli obblighi di trasparenza: chi interagisce con un sistema di AI deve esserne informato, a meno che non sia evidente dal contesto. Gli obblighi di trasparenza del Capo IV si applicano dal 2 agosto 2026.

In pratica: il cliente deve poter capire che sta parlando con un assistente automatico. Non serve un disclaimer legale in maiuscolo, serve una riga chiara, e conviene metterla dove si vede: nella prima risposta della chat, e nell'annuncio iniziale se l'assistente risponde al telefono. Il nostro assistente vocale dichiara la propria natura all'inizio della chiamata per questo motivo.

Se ti stai chiedendo se il tuo caso ricada fra i sistemi "ad alto rischio" dell'AI Act: rispondere alle domande dei clienti e prendere prenotazioni normalmente non ci rientra. Le categorie ad alto rischio riguardano ambiti come selezione del personale, accesso al credito, istruzione, servizi essenziali. Se il tuo assistente entra in uno di questi ambiti, quello è il momento di parlarne con un consulente prima di attivarlo.

Dove stanno i dati, e perché conviene guardarci

Il capo V del GDPR (articoli 44 e seguenti) regola i trasferimenti fuori dall'Unione Europea: sono possibili, ma richiedono garanzie adeguate e vanno dichiarati. Il modo più semplice di non doverci pensare è scegliere fornitori che tengono i dati in UE, come facciamo noi. Ed è il motivo per cui l'elenco dei sotto-responsabili, con il paese di ciascuno, è pubblico e non su richiesta: se non lo puoi leggere prima di firmare, non lo puoi valutare.

Una lista da spuntare, in ordine

1. Firma il DPA con il fornitore (art. 28) e conservane copia.
2. Aggiorna il registro dei trattamenti aggiungendo il nuovo canale, le finalità e i tempi di conservazione.
3. Aggiorna l'informativa e rendila raggiungibile dal canale, non solo dal sito.
4. Dichiara che è un assistente automatico nella prima risposta e nell'annuncio telefonico (AI Act, art. 50).
5. Separa il consenso marketing dalla risposta al cliente, e rendilo revocabile.
6. Togli dalla base di conoscenza tutto ciò che è personale: lì dentro vanno menu, listini e regole.
7. Decidi cosa non è mai automatico e mettici una persona.
8. Verifica dove stanno i dati e chi sono i sotto-responsabili.
9. Sappi come rispondere a una richiesta di accesso o cancellazione (artt. 15-17), cioè: chi la riceve, dove si cerca, in quanto tempo.

Nessuno di questi punti richiede un progetto. Richiedono una mattinata, una volta, e poi restano fermi.

Un'ultima nota sull'assistente in sé: il nostro rifiuta per impostazione predefinita di dare consulenza legale, medica o fiscale, e passa la conversazione a una persona quando la richiesta va in quella direzione. È una scelta di prudenza, ed è il tipo di comportamento che vale la pena verificare in qualsiasi strumento valuti, chiedendogli in demo qualcosa che non dovrebbe sapere.

Per il quadro completo delle nostre pagine legali: informativa privacy, DPA, termini di servizio, cookie.