Usiamo sempre più spesso l’intelligenza artificiale per scrivere una mail, analizzare un documento, riassumere un contratto o preparare una relazione.
Poi magari quella conversazione ci sembra interessante e decidiamo di condividerla con un collega attraverso un link.
Un gesto semplice.
Ma siamo sicuri di sapere chi potrà vedere quel contenuto dopo che lo abbiamo condiviso?
La domanda non è teorica.
A luglio 2026 diverse conversazioni realizzate con Claude, il sistema di intelligenza artificiale di Anthropic, sono risultate raggiungibili attraverso i motori di ricerca.
Quando “condividere con un link” significa rendere pubblico
Il caso è interessante perché non si è trattato necessariamente di un attacco informatico.
Claude permette agli utenti di creare un link pubblico per condividere una conversazione.
Secondo Anthropic, questi collegamenti non vengono comunicati direttamente ai motori di ricerca. Ma se il link viene successivamente pubblicato in una pagina web, in un forum o in un altro spazio accessibile pubblicamente, può essere trovato e indicizzato da un motore di ricerca.
Ed ecco il problema.
Tra le conversazioni individuate pubblicamente sarebbero comparsi anche documenti aziendali, informazioni sui dipendenti e perfino dati relativi alla salute.
Il punto quindi non è stabilire se Claude sia sicuro oppure no.
Il punto è capire cosa mettiamo dentro questi strumenti e cosa facciamo successivamente con quelle informazioni.
In azienda una chat con l’AI può contenere molti più dati di quanto pensiamo
Pensiamo a situazioni assolutamente normali.
Un dipendente inserisce una mail di un cliente per migliorarne il testo.
L’amministrazione carica un contratto per farselo riassumere.
Le risorse umane chiedono all’AI di analizzare alcuni curriculum.
Un commerciale copia un elenco di clienti per preparare una comunicazione.
In pochi minuti dentro una conversazione possono finire nomi, indirizzi email, numeri di telefono, informazioni professionali, dati economici o altre informazioni personali.
A quel punto non stiamo semplicemente utilizzando l’intelligenza artificiale.
Stiamo effettuando un trattamento di dati personali.
E qui entra in gioco il GDPR
Il GDPR stabilisce alcuni principi che esistevano molto prima dell’arrivo di ChatGPT, Claude e degli altri strumenti di AI.
Uno dei più importanti è quello della minimizzazione dei dati: bisogna utilizzare soltanto i dati adeguati, pertinenti e realmente necessari rispetto alla finalità perseguita.
A questo si aggiungono i principi di integrità e riservatezza.
Tradotto nella vita quotidiana di un’azienda significa farsi alcune domande molto semplici:
Era necessario inserire il nome del cliente?
Era necessario caricare tutto il contratto?
Potevamo eliminare i riferimenti alle persone prima di utilizzare l’AI?
Chi può accedere alla conversazione?
Cosa succede quando generiamo un link di condivisione?
Sono domande apparentemente banali.
Ma la protezione dei dati personali passa proprio da qui.
Il problema spesso non è lo strumento. È come viene utilizzato
Possiamo avere procedure privacy perfette, informative aggiornate e registri dei trattamenti compilati correttamente.
Poi un dipendente copia un documento contenente dati personali dentro uno strumento AI e lo condivide attraverso un link pubblico.
Ed è sufficiente un comportamento di pochi secondi per creare un problema che nessuna procedura aveva previsto.
È uno degli aspetti che l’intelligenza artificiale sta rendendo sempre più evidente.
La conformità al GDPR non può essere soltanto documentale.
Deve entrare nelle normali abitudini di chi lavora in azienda.
Serve una regola semplice: prima di inserire un dato, chiedersi se serve davvero
Non significa vietare l’intelligenza artificiale.
Significa imparare ad utilizzarla consapevolmente.
Una buona regola potrebbe essere questa: se posso ottenere lo stesso risultato senza inserire un dato personale, quel dato non dovrebbe essere inserito.
Possiamo togliere nomi e cognomi.
Possiamo sostituire un cliente con “Cliente A”.
Possiamo eliminare numeri di telefono, indirizzi email e altri elementi identificativi.
Possiamo evitare di caricare interi documenti quando è sufficiente utilizzarne soltanto una parte.
E soprattutto dobbiamo prestare attenzione alle funzioni di condivisione.
Perché “chiunque abbia il link può vedere” non significa necessariamente “solo la persona a cui mando il link lo vedrà”.
La privacy nell’era dell’intelligenza artificiale parte dalle piccole azioni
Probabilmente nei prossimi anni utilizzeremo sempre più strumenti di intelligenza artificiale.
Per questo la domanda non è se le aziende debbano utilizzarli.
La domanda è se abbiano imparato ad utilizzarli senza perdere il controllo dei dati personali.
Il GDPR ci chiede esattamente questo: conoscere i trattamenti, valutarne i rischi e adottare misure adeguate per proteggere le informazioni.
Anche quando il trattamento nasce semplicemente da una chat.
Perché a volte la differenza tra un’informazione riservata e un’informazione pubblica può essere soltanto un clic.
La tua azienda sa davvero quali dati vengono inseriti ogni giorno negli strumenti di intelligenza artificiale?
Con il Privacy Check-up puoi iniziare a capire quanto la protezione dei dati personali sia realmente applicata nella tua azienda, non soltanto sulla carta.
--> QUALE LIVELLO DI ADEGUAMENTO PRIVACY HAI?
Scopri con un semplice e veloce test, in piena autonomia, il livello di adeguamento della tua azienda:
Fai il test
