ChatGPT è sicuro per i dati della tua azienda?

A cura di Gianluca Bonomo — Docente e Formatore Tecnologico

Pubblicato il 11 novembre 2026

ChatGPT è comodo, ma dove finiscono i dati che gli affidi? In questa guida vediamo quali piani vanno bene per il lavoro, che cosa garantisce OpenAI e quali sono le zone grigie che fanno la differenza.

Trovi il video, le schermate delle pagine ufficiali, una lista di controllo in cinque punti e la dispensa in PDF da scaricare.

1. Dove si trova quell'email?

ChatGPT è sicuro per i dati della tua azienda? Sì, ma solo con il piano giusto, se è configurato bene e se le persone sanno usarlo.

Immagina questa scena. È martedì sera e una tua collega deve rispondere in fretta a un reclamo. Apre ChatGPT dal suo telefono, incolla l'email del cliente con nome, indirizzo e numero d'ordine e in dieci secondi la risposta è pronta. Comodo, vero? Ma quell'email, adesso, dove si trova? E può finire nell'addestramento di un'intelligenza artificiale?

La risposta è: dipende. Dipende dal piano che ha scelto e da come è impostato. Questa dispensa segue il video in tre tappe: quali piani vanno bene per i dati dell'azienda, che cosa garantisce OpenAI, la società che produce ChatGPT, e quali sono le zone grigie.

2. Quali piani per l'azienda

ChatGPT non è un prodotto solo, è una famiglia di piani. È come la differenza tra una cassetta delle lettere e una cassaforte aziendale: tutte e due custodiscono qualcosa, ma non hanno le stesse regole.

2.1 I piani individuali

Con Free, Plus e Pro la condivisione per migliorare i modelli è attiva per impostazione predefinita. Sì, hai capito bene: se non fai nulla, quello che scrivi può essere usato per addestrare i modelli, cioè i programmi che generano le risposte.

Per spegnerla vai nelle impostazioni, poi su Controlli dei dati, e disattiva la voce Migliora il modello per tutti. Attenzione: la chat resta comunque salvata, e il fatto di pagare non cambia l'impostazione di partenza.

2.2 La chat temporanea

Non compare nella cronologia, non crea ricordi e non viene usata per migliorare i modelli. Però può essere conservata fino a trenta giorni per motivi di sicurezza: temporanea non vuol dire che sparisce subito. Se la salvi, diventa una chat normale e segue le regole normali.

È utile, ma non è un modo per rendere adatto all'azienda un account personale.

2.3 Business ed Enterprise

Business è pensato per gruppi da due a duecento persone e comprende un'area di lavoro dedicata, con accesso unico e verifica in due passaggi.

Enterprise è per le realtà più grandi e aggiunge i permessi per ruolo, la gestione automatica degli utenti, le regole di conservazione su misura, il controllo delle chiavi di cifratura e la scelta della regione dei dati.

3. Che cosa garantisce OpenAI

Nei piani di lavoro gli impegni sono quattro, semplici.

3.1 Uno: i tuoi dati non vanno a scuola

Per impostazione predefinita, richieste e risposte di Business ed Enterprise non vengono usate per addestrare i modelli, e lo stesso vale per i dati raggiunti tramite le app collegate. Il contratto del tuo cliente non diventa materiale di studio.

C'è anche un dettaglio positivo: in questi piani il pollice in su o in giù non autorizza l'addestramento sulla conversazione, salvo un accordo separato.

3.2 Due: il contratto

Tu resti proprietario di quello che inserisci e di quello che ottieni, nei limiti della legge.

Per Business ed Enterprise puoi stipulare il contratto sul trattamento dei dati, che serve per rispettare il GDPR, il regolamento europeo sulla privacy. Attenzione: va attivato compilando l'apposito modulo. Non darlo per scontato: controlla che la tua azienda lo abbia fatto e conservane una copia.

3.3 Tre: la conservazione

In Business gli amministratori decidono per quanto tempo restano le conversazioni, e in Enterprise possono definire politiche su misura. Le chat eliminate vengono rimosse dai sistemi entro trenta giorni, salvo obblighi di legge.

E chi può leggerle? In Business gli amministratori possono vedere, esportare ed eliminare le conversazioni dei colleghi. Quindi la chat di lavoro non è un diario personale.

Quanto a OpenAI: in Enterprise l'accesso è limitato agli incidenti, ai casi con il tuo permesso e agli obblighi di legge. In Business comprende anche personale autorizzato e fornitori specializzati, per assistenza tecnica e verifiche sugli abusi.

3.4 Quattro: sicurezza e controlli indipendenti

I dati sono cifrati, sia quando sono archiviati sia quando viaggiano. Cifrati vuol dire trasformati in un codice che senza chiave non si legge.

Business ed Enterprise hanno superato la verifica SOC 2 Tipo 2, fatta da revisori esterni, con la documentazione nel portale della fiducia di OpenAI.

4. Le zone grigie

Fin qui, ottime notizie. Ma come spesso succede, il diavolo si nasconde nei dettagli. Ecco quattro dettagli che vale la pena conoscere.

4.1 Primo: dove stanno i dati

OpenAI offre la residenza dei dati in Europa, ma la sua guida la indica per i nuovi clienti Enterprise ed Edu e per le API, cioè il collegamento usato dai programmatori. Non la indica per Business.

E poi c'è un secondo livello: archiviare i dati in Europa non significa elaborarli in Europa. L'elaborazione nella regione è una funzione separata, per i clienti Enterprise ed Edu idonei. È come tenere i documenti a Milano, ma farli leggere altrove.

4.2 Secondo: anche con la residenza attiva, qualcosa può restare fuori

La guida di OpenAI cita il nome dell'area di lavoro, i dati di fatturazione e gli accessi.

Cita anche alcune elaborazioni di passaggio, come l'estrazione del testo da un file, e tutto quello che passa dalle ricerche sul web.

Non sono coperti neppure i GPT di terzi e le funzioni in prova.

Non è una trappola, è scritto chiaramente: basta leggerlo prima di promettere a un cliente che i suoi dati non escono mai dall'Europa.

4.3 Terzo: le app collegate

ChatGPT può collegarsi a Google Workspace, Microsoft 365, Slack e altri programmi. Rispetta i permessi esistenti, ma le informazioni inviate a un'app esterna seguono le regole di quel fornitore.

E i permessi vanno guardati bene: se la cartella con gli stipendi è aperta a tutti per errore, basta una domanda innocente e può saltare fuori nella risposta. ChatGPT non crea il disordine: lo rende visibile.

L'amministratore decide quali app attivare: tieni solo quelle che servono davvero.

4.4 Quarto, il più importante: il telefono del collega

Il rischio più comune non è tecnico: è la persona che, per fare prima, usa il suo account personale. Lì l'addestramento può essere attivo e il contratto dell'azienda non vale.

Anche se ha spento l'interruttore, un pollice in su su un account individuale può far usare tutta la conversazione per l'addestramento.

Non basta vietarlo: se l'azienda non offre uno strumento autorizzato, le persone si arrangiano.

4.5 La valutazione d'impatto

Introdurre ChatGPT in azienda spesso richiede una valutazione d'impatto sulla protezione dei dati, la cosiddetta DPIA: un'analisi scritta dei rischi per le persone, da fare prima di partire. È prevista dall'articolo 35 del GDPR. Scrivici dentro anche dove vengono trattati i dati e con quali garanzie.

5. La lista di controllo

Cinque punti, da appendere vicino alla macchinetta del caffè.

1. Per i dati dell'azienda usa solo Business o Enterprise, mai un account personale.
2. Attiva il contratto sul trattamento dei dati e conservane una copia.
3. Scegli il piano in base a dove devono stare i dati, e controlla cosa resta fuori.
4. Metti ordine nei cassetti, cioè nelle cartelle, e attiva solo le app che servono.
5. Forma le persone, il punto più importante: lo strumento più sicuro del mondo diventa rischioso in mano a chi non sa come funziona. È come dare una macchina potentissima a chi non ha mai fatto scuola guida.

Se vuoi capire se ChatGPT è lo strumento giusto per voi, oppure vuoi un corso per i tuoi colleghi su come usarlo bene e in sicurezza, faccio consulenza e formazione per aziende e professionisti, in presenza in Piemonte oppure online, senza legami con nessun fornitore. La prima chiacchierata conoscitiva è gratuita: trovi i contatti su gianlu.it.

Il controllo in venti minuti

Prova a fare questo controllo sul tuo ambiente di lavoro. Non servono dati riservati: se non hai i permessi per un punto, segnalalo a chi gestisce l'informatica.

1. Apri ChatGPT e guarda in quale area di lavoro ti trovi: personale o aziendale.
2. Chiedi all'amministratore se il contratto sul trattamento dei dati è stato attivato e se ne esiste una copia.
3. Annota quali app sono abilitate e quali cartelle raggiungono. Segnala quelle troppo aperte.
4. Scrivi in tre righe dove vengono trattati i dati e per quanto tempo restano, indicando la fonte.
5. Scrivi tre regole semplici per i colleghi: quale account usare, quali dati non inserire e a chi chiedere in caso di dubbio.

Le domande che arrivano in aula

Glossario

Per approfondire

• OpenAI: Privacy aziendale — https://openai.com/it-IT/enterprise-privacy/
• OpenAI: Data controls in ChatGPT — https://help.openai.com/en/articles/7730893-data-controls-in-chatgpt
• OpenAI: How your data is used to improve model performance — https://help.openai.com/en/articles/5722486-how-your-data-is-used-to-improve-model-performance
• OpenAI: Data residency and inference residency for ChatGPT — https://help.openai.com/en/articles/9903489-data-residency-and-inference-residency-for-chatgpt
• OpenAI: Prezzi per le aziende — https://openai.com/it-IT/business/pricing/
• ChatGPT: Piani e tariffe — https://chatgpt.com/it-IT/pricing/
• Garante per la protezione dei dati personali: Valutazione d'impatto (DPIA) — https://www.garanteprivacy.it/valutazione-d-impatto-della-protezione-dei-dati-dpia-