Chatbot GDPR compliant: cosa serve davvero

Dire che un chatbot è GDPR compliant è spesso una scorciatoia commerciale. Un chatbot AI verso clienti o utenti esterni non è conforme per definizione: la conformità dipende da quali dati raccoglie durante le conversazioni, come li usa, quanto li conserva e cosa dice alle persone che interagiscono con la macchina. Chi cerca un chatbot AI GDPR deve quindi partire dal flusso, non dal modello. Questo articolo riguarda il chatbot rivolto all'esterno; la chat AI usata dai dipendenti sui documenti interni è un caso diverso, descritto in chat AI aziendale privata.

Cosa raccoglie davvero una conversazione

Un chatbot non gestisce solo le domande che gli vengono poste. Raccoglie il testo delle conversazioni, spesso un identificativo di sessione, a volte un indirizzo IP, il tipo di richiesta, i tempi e talvolta allegati o riferimenti a un account. Se il servizio è collegato a un gestionale, a un'area clienti o a un CRM, a quei dati se ne aggiungono altri. Prima di parlare di conformità va fatta la lista concreta di ciò che il sistema registra e dove lo conserva.

Da qui discendono due obblighi pratici. Il primo è l'informativa: l'utente deve sapere che sta interagendo con un'intelligenza artificiale e non con una persona, e deve capire quali dati vengono trattati e per quali finalità. Il secondo è la minimizzazione: non serve conservare per mesi una conversazione che richiede solo una risposta immediata. La durata dei log, la loro finalità e chi può leggerli sono scelte tecniche che hanno conseguenze sulla privacy.

Trasparenza verso chi usa il chatbot

Dal 2 agosto 2026 l'AI Act è in generale applicabile e include le norme di trasparenza dell'art. 50: un sistema destinato a interagire direttamente con una persona deve informarla che sta interagendo con l'IA, salvo che sia evidente dal contesto. Non significa che ogni chatbot sia un sistema ad alto rischio, perché la classificazione dipende dalla finalità prevista e dai criteri del regolamento. Significa che la trasparenza verso l'utente va progettata, non improvvisata.

Per un chatbot che risponde a clienti o cittadini, questo si traduce in alcune scelte di interfaccia e di contenuto: un avviso chiaro all'avvio, l'indicazione di come vengono usati i dati, un modo semplice per chiedere assistenza umana e una spiegazione quando la risposta non è affidabile. La trasparenza non è solo un obbligo: riduce anche le aspettative sbagliate e le richieste di supporto.

La privacy di un chatbot aziendale dipende anche da dove vive la conversazione. Se i dialoghi restano su un'infrastruttura controllata, è più semplice definire chi può leggerli e per quanto; se passano da servizi esterni, vanno aggiunti fornitori e trasferimenti alla mappa. La trasparenza verso l'utente e la conservazione dei log vanno progettate insieme, non in due momenti separati.

Dove conviene far girare il chatbot

Il punto architetturale è simile a quello di altri casi d'uso: se il chatbot risponde su dati di clienti, ordini, pratiche o documenti, il flusso tra utente, modello e archivi va governato. Un servizio cloud esterno moltiplica i sub-responsabili e i trasferimenti da verificare. Un chatbot che gira su un'infrastruttura privata riduce i canali verso l'esterno, ma non elimina informativa, ruoli, accessi e conservazione. Il quadro da applicare è quello della conformità GDPR per intelligenza artificiale.

Per chi progetta assistenza clienti, il tema si intreccia con l'organizzazione del supporto. Le bozze di risposta, lo smistamento dei ticket e la knowledge base per gli operatori richiedono una persona nel processo, come descritto in AI per la gestione clienti. Il chatbot è l'interfaccia visibile; dietro restano dati, permessi e responsabilità.

Da dove partire

Un percorso ragionevole parte dalla mappa delle conversazioni: quali domande arrivano, quali dati contengono, quali finiscono nei log, quali vengono passati a una persona. Da lì si scrivono l'informativa e le regole di conservazione, si scelgono i contenuti che il chatbot può trattare e si definisce quando deve fermarsi o passare a un operatore. Solo dopo ha senso discutere di modello e piattaforma.

Per una PMI o uno studio, un dialogo con clienti ed esterni costruito su una workstation AI dedicata nel perimetro aziendale è più facile da descrivere e verificare. Chiedilo a Mirko affianca installazione, formazione e assistenza in italiano; nella demo e nell'assessment gratuito si definiscono dati, log, informative e trasparenza da verificare nel tuo contesto.