Usare ChatGPT con i dati di clienti e pazienti: i rischi (e come evitarli)

La scena è più comune di quanto pensi: un professionista ha fretta, apre ChatGPT e incolla un atto, una cartella clinica o un bilancio per farsi aiutare a riassumerlo. Funziona benissimo. Il problema è che in quel gesto, in pochi secondi, dei dati sensibili di clienti o pazienti sono usciti dallo studio. E quando tratti dati particolari, questo apre tre fronti seri: GDPR, segreto professionale e AI Act. La buona notizia è che non serve rinunciare all’AI: serve usarla nel modo giusto. Vediamo come, con chiarezza e senza allarmismi.

Cosa succede davvero quando incolli un documento in ChatGPT

Con i piani gratuiti o personali della maggior parte degli strumenti AI, ciò che scrivi può essere conservato sui server del fornitore e, in alcuni casi, usato per addestrare i modelli. Anche quando non lo è, stai comunque trasferendo dati a un soggetto terzo, spesso fuori dall’Unione Europea. Se quei dati includono nomi, condizioni di salute, procedimenti giudiziari o informazioni economiche riservate, non stai facendo una semplice ricerca: stai effettuando un trattamento di dati personali, con tutti gli obblighi che ne derivano.

I tre rischi concreti (spiegati semplici)

1. GDPR e dati particolari (art. 9)

I dati sanitari, giudiziari, biometrici o che rivelano convinzioni personali sono “categorie particolari”: il GDPR li protegge in modo rafforzato. Immetterli in uno strumento AI senza una base giuridica adeguata, senza informativa aggiornata e senza sapere dove finiscono può configurare una violazione. Non è un dettaglio formale: è il cuore della tua responsabilità come titolare del trattamento.

2. Segreto professionale e deontologia

Avvocati, medici e commercialisti sono vincolati al segreto professionale. Condividere il contenuto di una pratica con un fornitore esterno, anche solo per “farsi aiutare”, può entrare in conflitto con gli obblighi deontologici della tua categoria. È un rischio che non riguarda solo le sanzioni, ma la fiducia del cliente e la tua reputazione.

3. AI Act: trasparenza e alfabetizzazione

La maggior parte degli studi non “produce” sistemi di AI: li utilizza. In gergo sei un deployer. Gli obblighi più pesanti (quelli sui sistemi ad alto rischio) non ti riguardano nella quotidianità. Ma due cose sì: l’alfabetizzazione AI del personale (art. 4, già in vigore da febbraio 2025) e la trasparenza verso chi riceve contenuti generati o assistiti dall’AI, dove rilevante.

“Ma non è tutto rinviato al 2027-2028?” Cosa è cambiato col Digital Omnibus

Qui c’è molta confusione, quindi mettiamo ordine. Con il Digital Omnibus — il pacchetto di semplificazione dell’AI Act adottato dal Consiglio UE il 29 giugno 2026 — alcune scadenze sono effettivamente slittate: gli obblighi sui sistemi ad alto rischio passano dal 2 agosto 2026 al 2 dicembre 2027 (Allegato III) e al 2 agosto 2028 (Allegato I).

Attenzione però: questo non significa che puoi ignorare il tema. Perché le cose che riguardano davvero il tuo studio non sono state rinviate:

• gli obblighi di trasparenza (art. 50) restano applicabili dal 2 agosto 2026;
• l’alfabetizzazione AI (art. 4) è già in vigore;
• il GDPR e il segreto professionale valgono da sempre, indipendentemente dall’AI Act.

In altre parole: il rinvio riguarda gli obblighi “pesanti” per pochi. I rischi reali per uno studio che usa ChatGPT con dati di clienti sono qui, oggi. Approfondiamo il tema della trasparenza nell’uso dell’AI e cosa comporta l’AI Act di agosto 2026 in due contenuti dedicati.

Gli errori più comuni (da evitare subito)

• Incollare documenti riservati “così come sono” in strumenti gratuiti o personali.
• Non sapere se i dati vengono usati per addestrare il modello (e non aver mai controllato le impostazioni).
• Avere un’informativa privacy che non menziona l’uso di strumenti AI.
• Nessuna regola scritta: ogni collaboratore usa l’AI come vuole.
• Fidarsi ciecamente degli output, senza rileggerli in modo critico (il rischio di “allucinazioni” in un atto o un referto è concreto).

Come usare l’AI in sicurezza senza rinunciarci

Non serve tornare alla macchina da scrivere. Servono pochi presidi, messi nell’ordine giusto:

1. Anonimizza prima di immettere: togli nomi e dati identificativi quando puoi.
2. Usa piani business/enterprise con dati non utilizzati per il training e, dove possibile, residenza dei dati in UE.
3. Firma un accordo (DPA) o nomina a responsabile con i fornitori AI che utilizzi.
4. Aggiorna l’informativa privacy citando gli strumenti AI.
5. Scrivi una policy interna: cosa si può e non si può fare con l’AI, uguale per tutti.
6. Forma le persone: bastano criteri condivisi per rispettare l’art. 4 e ridurre gli errori.

Da dove iniziare: fai il check in 5 minuti

Prima di cambiare strumenti o scrivere policy, conviene capire dove sei oggi. Abbiamo preparato un’autovalutazione gratuita pensata per chi tratta dati sensibili: in 5 minuti mappa i tuoi strumenti (anche quelli cartacei) e i tuoi presidi, e ti restituisce un profilo di rischio con le 3 azioni prioritarie sul tuo caso.

→ Fai ora l’AI Act Check per professionisti: gratuito, risultato subito, nessun tecnicismo. Pensato per avvocati, medici, commercialisti, architetti e consulenti.

Se preferisci parlarne prima con una persona, puoi scriverci dalla pagina contatti: 30 minuti, zero impegno.

Domande frequenti

Posso usare ChatGPT nello studio senza violare il GDPR?

Sì, a condizione di non immettere dati identificabili senza tutele, usare strumenti adeguati (piani business, dati non usati per il training), aggiornare l’informativa e avere una base giuridica. La valutazione va fatta sul caso concreto.

Gli obblighi dell’AI Act sono stati rinviati?

Solo quelli sui sistemi ad alto rischio (al 2 dicembre 2027 e al 2 agosto 2028). Gli obblighi di trasparenza restano dal 2 agosto 2026 e l’alfabetizzazione AI è già in vigore. GDPR e segreto professionale si applicano comunque.

Cosa rischio in concreto?

Sanzioni GDPR, contestazioni deontologiche sul segreto professionale e danni reputazionali. Nella maggior parte dei casi si prevengono con pochi accorgimenti pratici.

Questo articolo ha scopo informativo e di orientamento e non costituisce consulenza legale. Gli obblighi variano in base al ruolo, ai dati e agli strumenti utilizzati; le scadenze dell’AI Act possono essere aggiornate dalle istituzioni UE.