Quali sono i principali GDPR AI PMI rischi nel 2026? Usare ChatGPT, Claude o Copilot in azienda significa trattare dati personali: prompt con anagrafiche clienti, CV nei tool di screening, fatture analizzate da assistenti virtuali. Senza base giuridica, informativa aggiornata e garanzie sui trasferimenti extra-UE, una PMI italiana si espone a sanzioni fino al 4% del fatturato mondiale e a contenziosi con clienti o candidati.
Il Garante Privacy italiano nel 2025 ha bloccato DeepSeek (provvedimento del 30 gennaio 2025) e sanzionato Replika per 5 milioni di euro ad aprile 2025, confermando una linea dura sull’uso di sistemi di intelligenza artificiale che trattano dati personali senza trasparenza. Il 17 dicembre 2024 l’EDPB (European Data Protection Board) ha adottato l’Opinion 28/2024, che chiarisce come legittimo interesse, anonimizzazione e liceità del training dei modelli vadano valutati caso per caso. Per le PMI italiane, questi segnali significano una cosa: non si scherza più.
In questa guida analizziamo i cinque rischi GDPR più concreti quando usi l’AI in PMI, con esempi di settore, una checklist operativa, una tabella rischio-impatto-mitigazione e i riferimenti normativi aggiornati.
Come si incrociano GDPR e intelligenza artificiale nel 2026
Il GDPR (Regolamento UE 2016/679) si applica ogni volta che vengono trattati dati personali, indipendentemente dallo strumento. Un dato personale e qualsiasi informazione che possa identificare, direttamente o indirettamente, una persona fisica: nome, email, numero di telefono, ma anche combinazioni di dati apparentemente anonimi che permettono la reidentificazione.
Quando un commerciale inserisce in un prompt il testo “scrivi una mail di follow-up per Mario Rossi, CEO di Acme Srl, che ha chiesto un preventivo per 50 licenze del nostro ERP”, sta trasferendo dati personali (nome, ruolo, azienda) e dati commerciali a un sistema esterno. Quel sistema elabora i dati su server propri, li conserva nei log e in alcuni casi li utilizza per il training del modello.
Il GDPR richiede che ogni trattamento abbia:
- una base giuridica valida (consenso, legittimo interesse, esecuzione contrattuale, obbligo legale, interesse vitale, interesse pubblico)
- un’informativa agli interessati su come i dati vengono trattati
- misure di sicurezza adeguate al rischio
- una valutazione d’impatto (DPIA) per i trattamenti ad alto rischio
- garanzie adeguate per i trasferimenti extra-UE
L’uso dell’AI in azienda tocca potenzialmente tutti questi punti. Il rapporto con l’AI Act europeo non semplifica le cose: l’articolo 2 dell’AI Act stabilisce che il regolamento “non pregiudica” il GDPR, quindi gli obblighi si sommano.
Tabella sintetica: i 5 rischi GDPR-AI per le PMI
| # | Rischio | Impatto | Mitigazione principale |
|---|---|---|---|
| 1 | Dati personali nei prompt senza base giuridica | Sanzione fino a 20 mln o 4% fatturato, contenzioso interessati | Policy AI, classificazione dati, minimizzazione |
| 2 | Profilazione e decisioni automatizzate non dichiarate | Violazione art. 22 GDPR, diritto contestazione interessati | Informativa aggiornata, human-in-the-loop, DPIA |
| 3 | Trasferimenti extra-UE senza garanzie | Blocco trattamenti, sanzione, revoca strumento (caso DeepSeek 2025) | Versioni Enterprise, verifica DPF, residenza dati UE |
| 4 | Data retention opaca e cancellazione impossibile | Impossibilità diritto oblio art. 17, rischio ispezione | Registro dati, opt-out training, DPA con provider |
| 5 | Assenza di DPIA e documentazione accountability | Violazione art. 5 c.2 e art. 35, presunta non conformità | DPIA semplificata, registro trattamenti, governance leggera |
Rischio 1: dati personali nei prompt senza base giuridica
Questo è il rischio più diffuso e più sottovalutato. Ogni giorno, in migliaia di PMI italiane, i dipendenti inseriscono dati personali nei prompt di strumenti AI senza che l’azienda abbia definito una base giuridica per quel trattamento.
Come si manifesta
Il commerciale incolla l’anagrafica completa di un prospect per generare un’offerta personalizzata. L’HR carica i CV dei candidati per fare uno screening automatico. L’amministrazione inserisce i dati di fatturazione (con nomi, indirizzi e partite IVA di persone fisiche) per chiedere all’AI di analizzare scostamenti. Il customer service copia intere conversazioni con i clienti, inclusi nomi e dettagli personali, per generare risposte.
In nessuno di questi casi il cliente, il candidato o il fornitore è stato informato che i suoi dati sarebbero stati trasferiti a un sistema di intelligenza artificiale. E in nessuno di questi casi l’azienda ha una base giuridica specifica per quel trattamento.
Perché è un problema
Il GDPR all’articolo 6 richiede che ogni trattamento di dati personali si fondi su almeno una delle sei basi giuridiche previste. Il legittimo interesse, la base più utilizzata dalle aziende, richiede un bilanciamento documentato con i diritti dell’interessato e un test di necessità. L’EDPB nell’Opinion 28/2024 del 17 dicembre 2024 ha chiarito che il legittimo interesse può coprire servizi come agenti conversazionali o AI per cybersecurity solo se il trattamento è strettamente necessario e il bilanciamento dei diritti è rispettato.
Il Garante Privacy italiano ha ribadito in diversi provvedimenti che il trasferimento di dati a sistemi di AI generativa costituisce un trattamento autonomo, distinto dal trattamento originario per cui i dati sono stati raccolti. Questo significa che la base giuridica che giustifica la raccolta dei dati del cliente (l’esecuzione del contratto) non copre automaticamente l’inserimento di quegli stessi dati in ChatGPT.
Come mitigarlo
La soluzione non è vietare l’AI, ma definire regole chiare su quali dati possono entrare nei prompt e quali no. Il principio di riferimento è la minimizzazione: usa solo i dati strettamente necessari, anonimizza nomi e riferimenti identificativi quando possibile, elimina dettagli superflui.
In pratica:
- Classifica i dati distinguendo tra pubblici, interni non sensibili, riservati e sensibili/regolati. Solo le prime due categorie dovrebbero poter entrare nei tool AI approvati senza procedure aggiuntive.
- Aggiorna l’informativa privacy includendo il trattamento tramite strumenti AI tra le finalità e i destinatari dei dati.
- Forma il personale sulla differenza tra un prompt anonimizzato (“scrivi un’email di follow-up per un CEO di un’azienda manifatturiera che ha chiesto un preventivo ERP”) e uno che espone dati personali non necessari.
- Documenta la base giuridica nel registro dei trattamenti, specificando quale base si applica a ogni caso d’uso AI.
Un esempio concreto: una PMI metalmeccanica da 25 dipendenti in Brianza ha risolto il problema con una policy di una pagina che vieta l’inserimento di nomi, CF e P.IVA nei prompt ChatGPT e impone la versione Team per i dati commerciali. Il tempo di implementazione: due settimane, zero costi straordinari. Nella guida sulla policy AI aziendale trovi il template a cui si è ispirata.
Rischio 2: profilazione inconsapevole e decisioni automatizzate
Il secondo rischio è più subdolo, perché spesso non viene nemmeno riconosciuto come tale. Quando un’azienda usa l’AI per segmentare clienti, valutare candidati, assegnare priorità ai ticket o personalizzare offerte, sta potenzialmente effettuando una profilazione ai sensi dell’articolo 4 del GDPR.
Come si manifesta
Un’azienda usa un CRM con funzioni predittive che classifica i lead in base alla probabilità di conversione. Il reparto HR utilizza un tool AI per fare scoring dei candidati. Il customer service sfrutta un sistema automatico per assegnare priorità ai reclami. Il marketing usa l’AI per creare cluster di clienti e personalizzare le comunicazioni.
In tutti questi casi, l’AI analizza dati personali per produrre una valutazione automatizzata che ha effetti concreti: chi riceve un’offerta e chi no, chi viene chiamato per un colloquio e chi viene scartato, quale reclamo viene gestito per primo e quale finisce in fondo alla coda.
Perché è un problema
L’articolo 22 del GDPR stabilisce che l’interessato ha diritto a non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici o significativi. L’articolo 13 richiede che l’informativa contenga informazioni significative sulla logica utilizzata, sull’importanza e sulle conseguenze previste del trattamento.
Per una PMI, il rischio concreto è duplice. Da un lato, potresti star profilando i tuoi clienti o candidati senza averlo dichiarato nell’informativa. Dall’altro, potresti non aver previsto un meccanismo per consentire all’interessato di contestare la decisione automatizzata e ottenere l’intervento umano. Il contenzioso tipico: un candidato scartato da un algoritmo che chiede spiegazioni, un cliente classificato “a basso valore” da un sistema automatico che lo scopre e pretende chiarimenti.
Come mitigarlo
- Identifica tutti i processi in cui l’AI influenza decisioni su persone, non solo quelli completamente automatizzati ma anche quelli in cui l’output AI ha un peso significativo sulla scelta finale.
- Mantieni sempre un intervento umano significativo: il sistema del semaforo descritto nel libro Intelligenza Artigianale funziona bene qui. Ogni output AI che riguarda persone deve avere almeno una review gialla, una verifica attenta obbligatoria.
- Aggiorna le informative: se usi l’AI per segmentare clienti o valutare candidati, dillo. L’informativa deve descrivere la logica del trattamento automatizzato in termini comprensibili.
- Prevedi un canale di contestazione: se un cliente o un candidato chiede “perché sono stato trattato così?”, devi avere una risposta che non sia “lo ha deciso l’AI”.
- Esegui una DPIA per i casi d’uso che comportano profilazione sistematica. La guida operativa sulla DPIA per sistemi AI mostra come costruirne una senza consulenti esterni.
Rischio 3: trasferimento dati extra-UE senza garanzie adeguate
Quando un dipendente usa ChatGPT, Claude, Gemini o la maggior parte dei tool AI sul mercato, i dati inseriti viaggiano verso server che nella maggior parte dei casi si trovano negli Stati Uniti. Questo configura un trasferimento di dati personali verso un paese terzo, soggetto al Capo V del GDPR.
Come si manifesta
Il problema è strutturale: i principali provider di AI generativa sono aziende statunitensi che elaborano i dati su infrastrutture cloud negli USA. Anche quando offrono versioni Enterprise con garanzie contrattuali rafforzate, il flusso dei dati attraversa comunque giurisdizioni con standard di protezione diversi da quelli europei.
Il caso più eclatante del 2025 è DeepSeek. Con provvedimento del 30 gennaio 2025, il Garante Privacy ha dichiarato illecito il trattamento effettuato da Hangzhou DeepSeek Artificial Intelligence Co. Ltd. e Beijing DeepSeek Artificial Intelligence Co. Ltd., bloccando l’accesso al servizio in Italia. Tra le violazioni contestate: dati archiviati su server in Cina senza le garanzie richieste per i trasferimenti internazionali, mancata designazione di un rappresentante UE (art. 27 GDPR), informativa disponibile solo in inglese. Una PMI che avesse integrato DeepSeek in un flusso aziendale si sarebbe trovata da un giorno all’altro con uno strumento inutilizzabile e un trattamento illecito da sanare retroattivamente.
Perché è un problema
Il Capo V del GDPR (articoli 44-49) subordina il trasferimento verso paesi terzi a condizioni precise. Se il paese di destinazione non ha una decisione di adeguatezza valida, servono garanzie alternative: clausole contrattuali standard (SCC), norme vincolanti d’impresa (BCR) o deroghe specifiche.
Nel 2023 l’UE ha adottato il Data Privacy Framework (DPF) UE-USA, che ha parzialmente ripristinato un meccanismo di adeguatezza dopo la sentenza Schrems II del 2020. Tuttavia il DPF non è una copertura automatica: il provider deve essere certificato e l’azienda europea deve verificare che la certificazione sia attiva e copra le categorie di dati effettivamente trasferiti.
Per una PMI, il rischio concreto è usare la versione gratuita o base di un tool AI, dove le condizioni contrattuali sono minime e non includono clausole GDPR-compliant. Le versioni free di ChatGPT prevedono termini di servizio consumer che non offrono le protezioni richieste per un uso professionale.
Come mitigarlo
- Usa versioni Enterprise o Business: le edizioni professionali di ChatGPT (Enterprise/Team), Claude for Work, Microsoft Copilot includono DPA con SCC e garanzie sulla residenza dei dati.
- Verifica la certificazione DPF: se il provider è statunitense, controlla che sia certificato sotto il Data Privacy Framework UE-USA e che la certificazione copra i dati che trasferisci.
- Preferisci residenza dati in UE: alcuni provider offrono hosting europeo. Per dati sensibili è spesso la scelta più sicura.
- Documenta le garanzie nel registro dei trattamenti: per ogni strumento AI, registra dove vengono elaborati i dati, quali garanzie sono in atto e chi è il responsabile del trattamento.
- Mantieni un inventario aggiornato: la guida sul registro degli strumenti AI in azienda spiega come costruirne uno in pochi passi.
Rischio 4: violazione dei principi di conservazione e cancellazione
Il quarto rischio riguarda un aspetto che molte PMI trascurano completamente: cosa succede ai dati personali dopo che sono stati inseriti in un sistema AI? Dove finiscono, per quanto tempo vengono conservati e come si esercita il diritto alla cancellazione?
Come si manifesta
Quando un dipendente inserisce dati personali in un prompt, quei dati possono essere conservati dal provider in diversi modi: nei log delle conversazioni, nella cronologia dell’account, nei sistemi di monitoraggio qualità, in alcuni casi nei dataset usati per il fine-tuning del modello.
Se un cliente esercita il diritto alla cancellazione (articolo 17 GDPR), l’azienda deve eliminare i suoi dati da tutti i sistemi in cui sono stati trasferiti, inclusi i tool AI. Ma come cancelli un dato inserito in un prompt sei mesi fa, conservato nei log di un provider statunitense e potenzialmente usato per l’addestramento del modello?
Perché è un problema
Il principio di limitazione della conservazione (articolo 5, comma 1, lettera e) impone che i dati personali siano conservati per un periodo non superiore a quello necessario per le finalità del trattamento. Le policy di data retention dei provider AI sono spesso opache, variano tra versioni del prodotto e cambiano nel tempo.
Il diritto alla cancellazione, già complesso per i database tradizionali, diventa quasi impossibile da garantire pienamente quando i dati sono dispersi in sistemi di terze parti. Un’azienda che non sa nemmeno quali dati sono stati inseriti nei tool AI (la situazione tipica della shadow AI) non può rispondere a una richiesta di accesso o cancellazione in modo completo.
L’EDPB nell’Opinion 28/2024 ha chiarito un punto ulteriore: se un modello AI è stato sviluppato con dati personali trattati illecitamente, questo può avere impatto sulla liceità del suo utilizzo, a meno che il modello non sia stato debitamente anonimizzato. Tradotto: non puoi sempre scaricare la responsabilità sul provider, anche il tuo deployment può essere illecito.
Come mitigarlo
- Controlla le policy di data retention di ogni tool AI usato: per quanto tempo il provider conserva i dati? Li usa per il training? Offre opzioni di opt-out?
- Attiva le opzioni di privacy disponibili: la maggior parte dei provider Enterprise offre impostazioni per disabilitare l’uso dei dati per il training e limitare la conservazione dei log.
- Tieni un registro dei dati trasferiti: non serve un sistema sofisticato, devi però sapere quali categorie di dati personali sono state inserite in quali strumenti.
- Includi i tool AI nel processo di gestione delle richieste privacy: quando un interessato esercita i suoi diritti, il flusso deve includere la verifica e l’eventuale cancellazione anche nei sistemi AI.
- Negozia clausole contrattuali sulla data retention: nelle versioni Enterprise puoi definire termini specifici. Fallo prima di iniziare a usare lo strumento, non dopo.
Rischio 5: assenza di DPIA e mancata accountability
Il quinto rischio è forse il più strategico: l’assenza di una valutazione d’impatto sulla protezione dei dati (DPIA) e, più in generale, la mancanza di documentazione che dimostri l’accountability dell’azienda nel trattamento AI dei dati personali.
Come si manifesta
L’azienda adotta strumenti AI, li usa quotidianamente per trattare dati personali, ma non ha mai eseguito una DPIA. Non ha aggiornato il registro dei trattamenti per includere i tool AI. Non ha nominato i provider come responsabili del trattamento. Non ha documentato le valutazioni fatte (o non fatte) sui rischi privacy.
Quando arriva un’ispezione del Garante o una richiesta di accesso da parte di un interessato, l’azienda non è in grado di dimostrare di aver valutato i rischi e adottato misure proporzionate. Anche se nella pratica il trattamento fosse ragionevolmente sicuro, l’assenza di documentazione è di per sé una violazione del principio di accountability.
Perché è un problema
L’articolo 35 GDPR richiede una DPIA quando un trattamento “può presentare un rischio elevato per i diritti e le libertà delle persone fisiche”, in particolare quando comporta l’uso di nuove tecnologie, profilazione sistematica o trattamento su larga scala di dati sensibili.
L’intelligenza artificiale generativa rientra chiaramente nella categoria delle “nuove tecnologie”. L’EDPB Opinion 28/2024 del 17 dicembre 2024 conferma che l’uso di sistemi di AI generativa richiede in molti casi una DPIA preventiva e impone una valutazione approfondita del legittimo interesse come base giuridica.
Per le PMI, il principio di accountability (articolo 5, comma 2) è particolarmente insidioso: non basta essere conformi, bisogna poterlo dimostrare. Un’azienda che usa l’AI senza documentazione si trova in una posizione di presunta non conformità, anche se i rischi effettivi sono gestiti nella pratica. L’Osservatorio Cybersecurity & Data Protection del Politecnico di Milano, nella ricerca 2025-2026 su 1.582 PMI italiane, segnala che quasi una PMI su quattro ha subito una violazione di dati negli ultimi tre anni, a fronte di difese ancora fragili: un contesto in cui la DPIA non è più un formalismo opzionale.
Come mitigarlo
- Esegui una DPIA semplificata per i casi d’uso AI più rilevanti: non serve un documento di 100 pagine. La DPIA deve identificare i trattamenti, valutare i rischi, descrivere le misure di mitigazione e documentare le decisioni.
- Aggiorna il registro dei trattamenti (articolo 30 GDPR) includendo tutti gli strumenti AI, le categorie di dati, le finalità, i destinatari e le garanzie per i trasferimenti extra-UE.
- Nomina i provider AI come responsabili del trattamento (articolo 28 GDPR): le versioni Enterprise offrono DPA specifici. Firmali e conservali.
- Implementa una governance AI minima: un registro, una policy, un owner per ogni caso d’uso. La guida sulla governance AI per PMI mostra come farlo con poche regole chiare.
- Rivedi la documentazione ogni trimestre: tool, policy provider e casi d’uso evolvono. Una DPIA statica perde rapidamente valore.
Checklist operativa GDPR-AI: le 10 azioni da fare subito
Una PMI del settore servizi con 40 dipendenti a Bologna può implementare l’intera checklist in 4-6 settimane con risorse interne. Non serve un ufficio legale dedicato.
- Mappa gli strumenti AI in uso, inclusa la shadow AI: chi usa cosa, per quali dati, con quale versione del tool.
- Classifica i dati in quattro categorie (pubblici, interni, riservati, sensibili) e definisci quali possono entrare nei tool AI.
- Aggiorna le informative privacy includendo il trattamento tramite strumenti AI tra finalità e destinatari.
- Verifica le basi giuridiche per ogni caso d’uso AI che coinvolge dati personali, documentandole nel registro.
- Controlla i trasferimenti extra-UE: verifica le garanzie contrattuali e la certificazione DPF dei provider.
- Attiva le opzioni di privacy: disabilita il training sui dati, limita la conservazione, usa versioni Enterprise/Business.
- Esegui una DPIA per i casi d’uso più rilevanti, con modello semplificato.
- Aggiorna il registro dei trattamenti con tutti gli strumenti AI adottati.
- Forma il personale: il team deve sapere quali dati non inserire e perché (obbligo convergente con l’AI literacy richiesta dall’AI Act).
- Nomina un referente che coordini privacy e AI, anche senza essere un DPO dedicato.
GDPR e AI Act: due normative, una strategia
Un aspetto che le PMI spesso trascurano è che GDPR e AI Act non sono normative separate. Si sovrappongono, si rafforzano a vicenda e in diversi punti si richiamano esplicitamente. L’AI Act, all’articolo 2, stabilisce che il regolamento non pregiudica il GDPR: gli obblighi AI Act si aggiungono a quelli GDPR, non li sostituiscono. Un’azienda conforme all’AI Act ma che viola il GDPR resta sanzionabile. E viceversa.
La buona notizia è che molte azioni richieste sono le stesse: il registro degli strumenti AI serve sia per l’AI Act (inventario e governance) sia per il GDPR (registro dei trattamenti). La formazione sull’AI literacy copre sia l’obbligo AI Act sia la consapevolezza privacy. La DPIA è un requisito GDPR che soddisfa anche parte delle valutazioni di conformità richieste dall’AI Act per i sistemi ad alto rischio.
Costruisci un sistema di governance unico che copra entrambe le normative. Non duplicare la burocrazia: integra i requisiti in un processo leggero ma documentato.
Domande frequenti su GDPR, AI e PMI
Usare ChatGPT in azienda viola il GDPR?
Non di per sé. Usare ChatGPT viola il GDPR se inserisci dati personali senza base giuridica, senza informativa aggiornata, senza garanzie sul trasferimento extra-UE o senza un contratto di responsabile del trattamento (DPA) con OpenAI. La versione gratuita è consumer e non offre queste garanzie: per uso aziendale serve almeno ChatGPT Team o Enterprise, con DPA firmato e training disabilitato.
Quando serve una DPIA per l’uso dell’AI?
L’articolo 35 GDPR richiede la DPIA quando il trattamento può presentare un rischio elevato per diritti e libertà delle persone. L’EDPB, nell’Opinion 28/2024, conferma che l’uso di AI generativa richiede in molti casi una DPIA preventiva, in particolare per profilazione sistematica, trattamento di dati sensibili, decisioni automatizzate su candidati o clienti, o uso di nuove tecnologie su larga scala.
Cosa è successo con DeepSeek in Italia?
Il 30 gennaio 2025 il Garante Privacy ha bloccato DeepSeek con provvedimento n. 33/2025, dichiarando illecito il trattamento delle società cinesi Hangzhou e Beijing DeepSeek. Tra le violazioni: dati su server in Cina senza garanzie per trasferimenti internazionali, mancata designazione di un rappresentante UE ex art. 27, informativa non conforme agli articoli 12-14 GDPR. Una PMI che usava DeepSeek si è trovata con lo strumento inutilizzabile da un giorno all’altro.
Il legittimo interesse copre l’uso dell’AI?
Può coprirlo, ma solo dopo un bilanciamento documentato. L’EDPB Opinion 28/2024 ha chiarito che servizi come agenti conversazionali o AI per cybersecurity possono basarsi sul legittimo interesse, a condizione che il trattamento sia strettamente necessario e il bilanciamento dei diritti dell’interessato sia rispettato. Per una PMI significa: test di necessità per iscritto, valutazione delle alternative meno invasive, documentazione nel registro dei trattamenti.
Una PMI deve nominare un DPO per usare l’AI?
Non necessariamente. Il DPO è obbligatorio solo nei casi dell’articolo 37 GDPR (autorità pubbliche, monitoraggio sistematico su larga scala, trattamento su larga scala di dati particolari). Molte PMI non rientrano in queste categorie. Serve però un referente interno per la governance privacy e AI: una persona che coordini policy, registro, formazione e risposte agli interessati.
Cosa rischia concretamente una PMI italiana che ignora il tema?
Le sanzioni GDPR possono arrivare a 20 milioni di euro o al 4% del fatturato annuo mondiale, quale importo è più alto. Per le PMI, il rischio concreto più frequente non è la multa massima ma: segnalazione di un cliente o candidato al Garante, ispezione, richiesta di informazioni, eventuale sanzione proporzionata e ordine di conformazione. In parallelo: danno reputazionale, costi di consulenza emergenziale, possibile blocco dei trattamenti non conformi.
Da dove partire: il primo passo concreto
Se ti senti sopraffatto dalla complessità, ecco il consiglio più pratico: inizia dalla policy AI di una pagina. Un documento che dica quali strumenti sono approvati, quali dati non devono entrare nell’AI, chi è responsabile e come segnalare problemi.
Non e sufficiente per la piena conformità, ma è il fondamento su cui costruire tutto il resto. Senza una policy non c’e governance. Senza governance non c’e accountability. E senza accountability, ogni uso dell’AI è un rischio non gestito.
Il libro Intelligenza Artigianale dedica un capitolo alla governance leggera per PMI, con template pronti è un approccio calibrato su chi non ha un ufficio legale interno. Il principio di fondo e semplice: poche regole chiare, applicate davvero, valgono più di un manuale di cento pagine che nessuno legge.
I GDPR AI PMI rischi sono reali, ma gestibili. I provvedimenti del Garante Privacy nel 2025 su DeepSeek e Replika e l’EDPB Opinion 28/2024 disegnano un quadro in cui l’AI si può usare, a patto di farlo con metodo. L’AI resta uno strumento straordinario per le PMI italiane. Come ogni strumento potente, richiede regole.
