GDPR e agenti AI: cosa devi sapere prima di mettere un bot sul sito

Un chatbot sul sito o su WhatsApp sembra una cosa piccola: qualche risposta automatica, un modulo per gli appuntamenti, magari la presa di un ordine. Ma dal primo messaggio in cui un cliente scrive il suo nome, il telefono o un problema di salute, il tuo bot tratta dati personali. E questo significa GDPR.

La buona notizia: un chatbot conforme al GDPR non è più difficile da costruire di uno non conforme, se pensi ai dati fin dall'inizio. Qui sotto trovi cosa devi sapere prima di mettere un bot sul sito, passo dopo passo, con una checklist finale. Non è una consulenza legale; per i casi particolari parla con uno specialista della protezione dei dati.

Perché un chatbot rientra nel GDPR

Il Regolamento generale sulla protezione dei dati (Regolamento (UE) 2016/679) si applica a qualsiasi trattamento di dati personali, cioè a qualsiasi informazione su una persona identificata o identificabile. Un bot tratta dati di questo tipo quasi sempre:

• nome, telefono, e-mail, indirizzo di consegna;
• il contenuto della conversazione, che può includere dettagli su ordini, problemi, preferenze;
• il numero di telefono e la registrazione o trascrizione di una chiamata, nel caso di un agente vocale;
• dati tecnici: indirizzo IP, identificativi di sessione, cookie.

Tu, come azienda che decide perché e come vengono usati i dati, sei il titolare del trattamento. I fornitori che trattano i dati per tuo conto (l'agenzia che costruisce il bot, la piattaforma di messaggistica, il fornitore del modello AI, il database) sono responsabili del trattamento. La responsabilità principale resta a te.

Le sei domande a cui devi saper rispondere

1. Su quale base giuridica tratti i dati?

L'articolo 6 del GDPR elenca le basi giuridiche. Per un chatbot di assistenza clienti, le più frequenti sono:

• esecuzione di un contratto o misure precontrattuali su richiesta dell'interessato: il cliente chiede un appuntamento o fa un ordine;
• legittimo interesse: per esempio rispondere a domande generali o migliorare il servizio, a condizione che il tuo interesse non prevalga sui diritti del cliente;
• consenso: necessario, di regola, per marketing, newsletter o cookie non strettamente necessari.

Decidi la base giuridica per ogni finalità separatamente. Il fatto che un cliente abbia chiesto un appuntamento non ti dà automaticamente il diritto di mandargli offerte promozionali.

2. Hai informato chiaramente le persone?

L'articolo 13 richiede che, quando raccogli dati, tu dica chi sei, perché li raccogli, su quale base, a chi li trasmetti, per quanto tempo li conservi e quali diritti ha la persona. In pratica:

• il primo messaggio del bot contiene un breve link all'informativa privacy;
• l'informativa descrive esplicitamente il bot: quali dati raccoglie, chi sono i fornitori, dove sono archiviati;
• per l'agente vocale, il messaggio iniziale dice che la chiamata è gestita da un assistente virtuale e, se è il caso, che viene registrata o trascritta.

3. Raccogli solo ciò che ti serve?

Il principio di minimizzazione dei dati, all'articolo 5, dice di chiedere solo i dati necessari alla finalità. Per un appuntamento ti servono nome, telefono e orario. Non ti servono il codice fiscale (CNP in Romania) o la data di nascita. Configura il bot in modo che non chieda più del necessario e non incoraggi il cliente a inviare documenti o dettagli inutili.

4. Per quanto tempo conservi le conversazioni?

Sempre l'articolo 5 richiede che i dati non siano conservati più del necessario. Stabilisci un periodo concreto di conservazione per conversazioni, trascrizioni e registrazioni, e imposta la cancellazione automatica nel sistema, non nella lista delle cose «da fare prima o poi».

5. Hai contratti con tutti i fornitori?

L'articolo 28 richiede un contratto scritto con ogni responsabile del trattamento, che stabilisca cosa può fare con i dati. Fai un elenco di tutti i fornitori coinvolti nel bot (l'agenzia, il database, la piattaforma di messaggistica o telefonia, il fornitore della voce, il fornitore del modello AI) e verifica per ciascuno l'accordo sul trattamento dei dati.

6. Dove finiscono i dati?

Se i dati vengono trasferiti fuori dallo Spazio economico europeo, il Capo V del GDPR richiede garanzie adeguate. Molti fornitori di tecnologia hanno infrastrutture o società madri fuori dall'UE. Chiedi esplicitamente dove sono archiviati i dati, dove vengono trattati e su quale base avviene il trasferimento.

Situazioni in cui devi fare più attenzione

Dati sanitari e altre categorie particolari

Cliniche, studi dentistici, saloni che chiedono di allergie o patologie: se il bot raccoglie informazioni sulla salute, rientri nell'articolo 9, che tutela le categorie particolari di dati e ne consente il trattamento solo a condizioni rigorose. Qui serve un'analisi dedicata. Una soluzione pratica: il bot prende solo l'appuntamento, e i dettagli medici restano per il colloquio con lo specialista.

Decisioni automatizzate

L'articolo 22 dà alle persone il diritto di non essere sottoposte a una decisione basata unicamente su un trattamento automatizzato che produca effetti giuridici o che incida in modo analogo significativamente su di loro. Un bot che fissa appuntamenti non rientra qui. Uno che respinge automaticamente una richiesta di credito o un candidato a un lavoro può rientrarci. Tieni una persona nella decisione.

Valutazione d'impatto

L'articolo 35 richiede una valutazione d'impatto sulla protezione dei dati quando il trattamento può presentare un rischio elevato, soprattutto se si usano nuove tecnologie. Per un semplice bot informativo, di regola non serve. Per uno che tratta dati sanitari su larga scala o prende decisioni sulle persone, verifica con uno specialista se la valutazione è obbligatoria.

Cookie e widget della chat

Molti widget di chat installano cookie o identificativi nel browser. In Romania le regole sui cookie vengono dalla Legea nr. 506/2004 (la legge romena sulle comunicazioni elettroniche), oltre che dal GDPR. Verifica se il tuo widget installa cookie non strettamente necessari e, in caso affermativo, caricalo solo dopo il consenso.

La sicurezza, la parte pratica

L'articolo 32 richiede misure tecniche e organizzative adeguate al rischio. Per un chatbot significa almeno:

• accesso alle conversazioni solo per le persone che ne hanno bisogno, con account individuali;
• chiavi di accesso e password custodite in modo sicuro, non in e-mail o documenti condivisi;
• connessioni cifrate e un database protetto, con regole di accesso su righe e tabelle;
• backup e un piano per cosa fare se qualcosa va storto;
• il bot non ha accesso a più dati di quelli che gli servono per il suo compito.

I diritti dei clienti: come rispondere

Le persone hanno diritto di sapere quali dati hai su di loro, di correggerli, di chiederne la cancellazione e di opporsi a determinati trattamenti. Assicurati di poter trovare rapidamente tutte le conversazioni di una persona a partire da telefono o e-mail e di poterle cancellare su richiesta. Se il bot è costruito su un database ben organizzato, ci vogliono minuti, non giorni.

Cosa rischi

L'autorità che vigila sull'applicazione del GDPR in Romania è l'ANSPDCP (il Garante privacy romeno). L'articolo 83 del GDPR prevede sanzioni fino a 20 milioni di euro o al 4% del fatturato mondiale annuo per le violazioni più gravi. Oltre alla sanzione, una fuga di dati dalle conversazioni dei clienti colpisce direttamente la tua reputazione.

Checklist prima di mettere il bot online

1. Hai definito le finalità e la base giuridica per ciascuna.
2. L'informativa privacy descrive il bot e i suoi fornitori.
3. Il primo messaggio dice che si tratta di un assistente virtuale e rimanda all'informativa privacy.
4. Il bot chiede solo i dati necessari.
5. Hai un periodo di conservazione e una cancellazione automatica.
6. Hai contratti di trattamento con tutti i fornitori.
7. Sai dove sono archiviati e trattati i dati e su quale base avvengono eventuali trasferimenti.
8. Hai verificato se tratti dati sanitari o prendi decisioni automatizzate.
9. Il widget non installa cookie non essenziali senza consenso.
10. Puoi trovare e cancellare rapidamente i dati di una persona.
11. Hai inserito il sistema nel registro delle attività di trattamento, se la tua azienda ha questo obbligo.

Come costruiamo noi

I nostri agenti girano su Claude, di Anthropic, e conversazioni e dati dei clienti sono archiviati su Supabase, su server nell'UE. Ogni chatbot su WhatsApp o sul sito si presenta come assistente virtuale, chiede solo i dati di cui ha bisogno e ha accesso solo a ciò che gli serve. I dettagli tecnici sono nella pagina sulla sicurezza dei dati. Ricorda che anche l'AI Act richiede, separatamente dal GDPR, che le persone sappiano di parlare con un'AI.

Se vuoi un bot che ti aiuti con i clienti senza crearti problemi con i dati, prenota una consulenza gratuita di 30 minuti. Ti diciamo onestamente quali dati tratterebbe il tuo bot e cosa va preparato prima del lancio.