Soluzioni per rispettare la normativa privacy quando usiamo l’IA nell’orientamento

Table of Contents

Glossario minimo

GDPR: General Data Protection Regulation, in italiano Regolamento Generale sulla Protezione dei Dati è il Regolamento Europeo n. 2016/679, in vigore dal 25 maggio 2018, che stabilisce le norme sulla tutela delle persone fisiche riguardo al trattamento dei dati personali e alla loro libera circolazione all’interno dell’Unione Europea.

DPA: Il DPA (Data Processing Agreement), in italiano Contratto di nomina a responsabile del trattamento, è un accordo previsto dall’articolo 28 del GDPR che regola il rapporto tra il titolare del trattamento (chi decide finalità e modalità del trattamento dei dati) e il responsabile del trattamento (chi tratta i dati per conto del titolare). Il DPA serve a stabilire chiaramente ruoli, limiti e responsabilità nella gestione dei dati personali dei tuoi clienti che tu fornisci al fornitore.

Terms of Service/Privacy Policy: i ToS/Privacy Policy che accetti quando ad esempio utilizzi un sito di IA con account privato definiscono il rapporto tra TE e il FORNITORE di un servizio. Spiega in dettaglio: come IL FORNITORE tratta I TUOI dati, i TUOI diritti sui TUOI contenuti, cosa il fornitore può fare con LE TUE informazioni. C’è una differenza sostanziale fra i ToS che firmi quando usi per uso personale un sito di IA e un DPA. Il ToS si riferisce al trattamento dei TUOI dati personali, mentre Il DPA regola il trattamento dei dati DEI TUOI CLIENTI.

Attenzione

Le indicazioni di questo articolo si riferiscono anche al browser Chrome, dal momento che da alcuni mesi Chrome ha inserito una funzione di IA direttamente nel browser, e perciò alcuni utenti possono usarlo come un sito di IA. Per usare Chrome come sito di IA nel rispetto della normativa privacy è necessario, se capisco bene, attivare account Google Workspace (Business o Enterprise). In alternativa è necessario disattivare le funzionalità IA: vai su chrome://settings/ai → disattiva “AI Writing Assistance”, “Tab Organizer”, “Help me write”.

Lo stesso problema si pone se usi gmail per fini professionali (indipendentemente dall’uso dei siti IA). Anche in questo caso devi avere un account Google aziendale come Google Workspace.

Introduzione

Negli ultimi anni l’intelligenza artificiale (IA) è entrata con forza nel mondo dell’orientamento scolastico e professionale. Dai sistemi di raccomandazione per la scelta universitaria ai chatbot che forniscono consigli personalizzati sul percorso di carriera, l’IA promette di semplificare e democratizzare l’accesso alle opportunità. Tuttavia, dietro questa promessa si nascondono insidie che richiedono grande attenzione.

Un aspetto fondamentale è che: ogni volta che un fornitore di IA tratta dati personali dei clienti di un professionista, deve essere nominato responsabile del trattamento e deve esistere un DPA (Data Processing Agreement).

Quando serve il DPA

Secondo l’art. 28 del GDPR, ogni titolare del trattamento (ad esempio un libero professionista, un’agenzia formativa o un centro per l’impiego) che affidi a un fornitore esterno l’elaborazione dei dati dei propri utenti deve:

scegliere un fornitore che offra garanzie adeguate di sicurezza e conformità,
stipulare o accettare un DPA, cioè un contratto che definisca in modo chiaro finalità, misure di protezione, tempi di conservazione e limitazioni d’uso.

Se il fornitore non offre un DPA, il suo uso per dati di clienti o utenti non è conforme al GDPR.

I servizi “consumer” non sono responsabili del trattamento

Strumenti come ChatGPT Free o Pro, Copilot consumer, o Claude Pro sono regolati da termini d’uso per privati (consumer). In questi contratti il fornitore non agisce come “responsabile del trattamento”, ma come titolare autonomo (controller) dei dati che riceve.

Questo significa che:

non c’è DPA;
i dati possono essere trattati o memorizzati su server fuori dall’UE;
possono essere usati per migliorare i modelli (a meno di non escluderlo in modo esplicito nelle impostazioni).

Di conseguenza, un operatore o consulente che carichi CV, lettere o schede con dati personali in ChatGPT Pro sta trasferendo dati personali a un titolare terzo non contrattualizzato, in violazione del GDPR.

I servizi “business” invece possono essere conformi

I piani ChatGPT Team, ChatGPT Enterprise o Microsoft 365 Copilot for Business offrono condizioni diverse:

includono un Data Processing Agreement (DPA);
consentono l’esecuzione dei modelli all’interno del tenant aziendale (un tenant è un ambiente cloud isolato e dedicato creato per un’organizzazione -azienda, scuola, ente pubblico, ecc.- all’interno dell’infrastruttura del fornitore di servizi);
offrono (o offriranno) data residency nell’Unione Europea;
garantiscono che i dati non vengono usati per addestrare l’IA.

In questi casi il fornitore agisce come responsabile del trattamento e l’uso è giuridicamente legittimo, purché il professionista rimanga il titolare e adotti misure di minimizzazione e sicurezza.

Se i dipendenti di una organizzazione vogliono usare un sito di IA è necessario che la direzione aziendale attivi un contratto business. Il singolo operatore che di propria iniziativa utilizza siti di IA con account gratuiti o a pagamento ma comunque rivolti a un uso non professionale (come ad esempio i piani Pro di ChatGPT e Claude) operano in modo non conforme alla normativa, ed espongono la propria organizzazione a rischi di natura legale.

Se il trattamento è considerato illegittimo, possono essere comminate sanzioni amministrative fino a 10 milioni di euro o al 2% del fatturato annuo. In Italia, il Garante per la protezione dei dati personali ha applicato sanzioni da 20.000 a 75.000 euro a enti pubblici e privati per casi di omessa nomina del responsabile o assenza di un DPA valido, come nel provvedimento contro la Regione Lazio nel 2025.

Quali dati personali è possibile inserire nei siti di IA utilizzando account business

Una domanda frequente è: “Se uso uno strumento IA con DPA aziendale, e voglio migliorare i CV dei miei utenti/clienti, posso caricare CV completi con tutti i dati personali?”

La risposta è: no automaticamente. Il DPA è necessario ma non sufficiente.

Cosa devi comunque fare

Ottenere il consenso esplicito del candidato
Informare su quale strumento usi e perché
Minimizzare i dati – inserire solo quelli necessari
Proteggere categorie particolari e dati sensibili

Dati che puoi generalmente inserire (con DPA e consenso)

Nome e cognome
Esperienze lavorative
Titoli di studio
Competenze professionali
Città di residenza

Dati da rimuovere sempre

Codice fiscale / documenti identità
Foto del candidato
Data di nascita completa (anno può bastare)
Indirizzo completo di casa
Informazioni su salute/disabilità
Dati su famiglia/figli
Opinioni politiche/religiose

Il principio guida è: “Quali dati sono strettamente necessari per permettere al sito IA di migliorare il CV?”

Questo principio richiede di svolgere un esame preliminare sui CV e di cancellare alcuni dati prima di caricarli sui siti di IA.

L’uso professionale dei siti di IA da parte di liberi professionisti

Anche gli operatori di orientamento che lavorano in proprio come consulenti di carriera (vale a dire che fatturano direttamente agli utilizzarti del proprio servizio) devono attivare un abbonamento business. Il problema è che la maggioranza dei siti di IA non prevede forme di abbonamento per uso professionale rivolti a singoli liberi professionisti. Ad esempio, un singolo libero professionista non può attivare un abbonamento ChatGPT Team o Enterprise perché questa forma di abbonamento è pensata per gruppi di lavoro e così servono almeno due account.

A oggi, credo che gli unici abbonamenti business stipulabili dai liberi professionisti siano Google Workspace Business Starter (per i servizi Google come gmail), Gemini workspace individual e Microsoft 365 business (che prevede l’uso di Copilot). Questo preclude l’uso professionale di alcuni dei migliori siti di IA come ChatGPT e Claude ai liberi professionisti.

I limiti dell’anonimizzazione superficiale

Spesso si legge che per usare i siti di IA ad esempio per elaborare CV sia sufficiente “oscurare” i dati personali quali nome e cognome, indirizzo e numero di cellulare. In realtà, diversi studi hanno dimostrato che anche dataset apparentemente anonimi possono essere reidentificati incrociando poche informazioni con altre fonti pubbliche o semi-pubbliche. Nomi, età, località o preferenze combinati tra loro rendono spesso possibile risalire a una persona specifica, compromettendo l’anonimato.

L’anonimizzazione deve essere totale, ad esempio:

“P1 ha lavorato D1 anni col ruolo di R1 presso ente E1 di città L1”.

E’ necessario distinguere fra pseudo anonimizzazione e anonimizzazione. Si ha pseudo anonimizzazione quando è reversibile: con una tabella di conversione è possibile tornare ai dati originali. Il GDPR considera questi dati ancora “personali” e quindi soggetti a tutte le tutele.

Dunque per evitare la pseudo anonimizzazione, prima di caricare un CV su un sito di IA l’operatore dovrebbe sostituire a mano tutti i dati identificativi (nome, cognome, nome e città dell’università di conseguimento laurea, nome e città delle diverse imprese in cui il candidato ha lavorato, anni e durata in anni delle diverse esperienze, etc.) con caratteri alfanumerici, ad esempio L1, L2, L3 etc., costruire una tabella di equivalenza sul proprio pc e poi ripristinare poi i dati una volta che il sito di IA ha migliora il CV. In questo caso si ha anonimizzazione perché la tabella di conversione non è a conoscenza del sito di IA, ma è un lavoro certosino.

Una possibile soluzione

Una soluzione per velocizzare la procedura è ricorrere a siti di IA che operano in locale sul pc dell’utilizzatore, ad esempio GPT4All, Ollama, PrivateGPT.

In questo caso si avrebbe un flusso a tre fasi:

Anonimizza in locale – Usa un modello IA offline (es. GPT4All, Ollama, PrivateGPT) per sostituire nomi e dati sensibili.
Elabora in cloud – Attiva la modalità incognito o chat temporanea, seleziona l’opzione Non usare i dati per l’addestramento Fai migliorare il testo anonimizzato da ChatGPT, Copilot o Claude (senza dati reali).
Reinserisci in locale – Torna all’IA offline e chiedile di reinserire i dati originali nei punti giusti.

Un esempio di prompt per anonimizzazione totale

Sostituisci TUTTI i seguenti elementi con codici generici:

Nomi persone → P1, P2, P3…
Città/luoghi → L1, L2, L3…
Aziende/enti → A1, A2, A3…
Date/anni → D1, D2, D3…
Titoli studio specifici → T1, T2, T3…
Email/telefoni → Z1, Z2…..
Codici fiscali/ID → X1, X2…

CREA UNA TABELLA DI MAPPATURA:

P1 = [nome reale]
L1 = [città reale]
A1 = [azienda reale]
D1 = [anno reale]

Ricorda in memoria le sostituzioni che hai fatto, in modo da poterle ripristinare se, in un secondo momento, ti scriverò:
‘Ripristina i dati originali’.

Dopo aver elaborato la versione anonimizzata con un’altra IA (ad esempio ChatGPT o Copilot), incollerò qui la versione rielaborata del CV.

Quando ti scriverò:
‘Ripristina i dati originali in questo testo’,
dovrai reinserire automaticamente tutti i nomi e dati reali nelle posizioni corrette, mantenendo formattazione e senso del testo.

In questo modo, nessun dato personale lascia il tuo computer e puoi dimostrare la piena conformità al principio di minimizzazione (art. 5 GDPR).

Perché non usare i modelli IA offline per l’intera operazione di revisione del CV? Perché sono meno potenti dei modelli online e la qualità dei testi che producono è minore.

Un’altra possibilità: far usare i siti IA direttamente al cliente

Un’altra possibilità è trasformare la consulenza in formazione guidata: invece di elaborare direttamente i CV, il consulente insegna al cliente come usare l’IA con il proprio account personale.

Come funziona nella pratica

In presenza:

Il cliente porta il proprio dispositivo
Accede al suo account ChatGPT/Claude
Il consulente guida verbalmente ogni passaggio
Il cliente digita e modifica in autonomia

Online:

Videochiamata con condivisione schermo del cliente
Il consulente fornisce indicazioni vocali
Il cliente esegue le operazioni
Risultato immediato e interattivo

Vantaggi di questo approccio:

Zero rischi GDPR – Il consulente non inserisce dati del cliente nel proprio account sul sito IA
Empowerment del cliente – Impara competenze riutilizzabili
Valore aggiunto – Da “scrittore di CV” a “formatore digitale”

Questa soluzione però richiede:

che il cliente sia in grado di utilizzare i siti di IA, almeno sotto la guida del consulente
(se il cliente non è sufficientemente autonomo) che il consulente sia presente (anche se collegato a distanza) nel momento in cui il cliente usa i siti di IA.

In sintesi

La pseudo anonimizzazione non basta.

Se l’operatore vuole caricare direttamente sui siti di IA dati personali in chiaro o pseudo anonimizzati dell’utente, ha necessità di un abbonamento business che, grazie alla stipula di un DPA adeguato assicura la conformità al GDPR.

Con account non business l’operatore può caricare sui siti di IA solo testi totalmente anonimizzati.

Una possibile soluzione è far sì che sia direttamente il cliente a caricare i dati sul proprio account personale.

NOTA BENE: questo articolo ha solo scopo informativo e non costituisce consulenza legale. Per situazioni specifiche, prima di scelte operative, consulta sempre un esperto di privacy e protezione dati.

Vedi anche:

Articolo contenuto sul sito www.orientamento.it. Realizzato da Leonardo Evangelista con l’aiuto della IA. Leonardo Evangelista si occupa di orientamento dal 1993 e di formazione dal 2004. Vedi le indicazioni relative a Informativa Privacy, cookie policy e Copyright.