Quando digita qualcosa in uno strumento IA, le sue parole vengono inviate ai server dell'azienda. In molti casi, a meno che non disattivi un'impostazione, quel testo può essere usato per migliorare l'IA — potrebbe diventare parte di ciò che il modello impara. Il GDPR le dà il diritto di sapere cosa un'azienda detiene su di lei, di chiedere la cancellazione e di opporsi all'uso dei suoi dati per l'addestramento del modello. I passaggi chiave: trovare le impostazioni sulla privacy, disattivare l'addestramento e sapere come chiedere la cancellazione.
Ogni volta che digita una domanda o un problema in un chatbot IA, le sue parole lasciano il suo dispositivo e viaggiano verso i server di un'azienda. È inevitabile — l'IA vive lì, non sul suo telefono o laptop. Ma cosa succede a quelle parole dopo che sono arrivate? Questo è il punto importante — ed è qui che entrano in gioco i suoi diritti come residente europeo.
La privacy dei dati è la principale preoccupazione che molti europei hanno riguardo agli strumenti IA. Il Garante italiano l'ha presa sul serio fin da subito: a marzo 2023 ha sospeso in via cautelare ChatGPT sul territorio italiano, e a novembre 2024 ha multato OpenAI per 15 milioni di euro per una serie di presunte violazioni del GDPR. Questa preoccupazione è fondata — e questa guida le spiegherà in termini semplici cosa succede davvero.
Cosa significa davvero "i suoi prompt potrebbero addestrare il modello"
Quando digita un messaggio in un chatbot IA per consumatori e lo invia, va sui server dell'azienda. L'IA genera una risposta che torna da lei. Fin qui funziona come qualsiasi altro servizio web.
Il passaggio in più è questo: molti servizi IA per consumatori conservano, per impostazione predefinita, un registro di queste conversazioni e possono usarle per migliorare il loro modello. "Migliorare il modello" significa che gli ingegneri dell'azienda analizzano i modelli nelle conversazioni — a volte con revisori umani — e usano questi modelli per rendere l'IA più intelligente.
In pratica, ciò significa che le parole che ha digitato — le sue domande, le sue preoccupazioni, la sua situazione personale — potrebbero diventare parte di ciò che il modello impara. Non in un modo che consenta a qualcuno di cercare il suo messaggio esatto, ma le sue parole contribuiscono al comportamento futuro del modello.
Non è un segreto. È nei termini di servizio. La maggior parte delle persone semplicemente non li legge mai.
La differenza che fa una singola impostazione
Quasi ogni grande servizio IA ha ora una pagina di impostazioni sulla privacy. In quella pagina c'è di solito un'opzione del tipo: "Usa le mie conversazioni per migliorare il modello." Negli account gratuiti è spesso attivata per impostazione predefinita.
Disattivarla richiede circa trenta secondi e significa che le sue nuove conversazioni non verranno usate per l'addestramento.
Cosa non fa:
- Non cancella le conversazioni già archiviate sul server.
- Non impedisce all'azienda di conservare la conversazione per motivi di sicurezza o legali.
- Potrebbe non applicarsi alle conversazioni avvenute prima della modifica dell'impostazione.
Per rimuovere effettivamente i dati archiviati, deve esercitare i suoi diritti GDPR — spiegati di seguito.
I suoi quattro diritti fondamentali GDPR in termini semplici
GDPR sta per Regolamento Generale sulla Protezione dei Dati. È una legge dell'UE che le dà un controllo reale ed eseguibile sui suoi dati personali. Ecco i quattro diritti più rilevanti per gli strumenti IA.
1. Il diritto di accesso (art. 15 GDPR)
Può chiedere a qualsiasi azienda: "Quali dati personali detenete su di me?" Devono risponderle entro un mese — prorogabile di altri due mesi per richieste complesse (art. 12.3) — e fornirle una copia in un formato utilizzabile. Si chiama Richiesta di Accesso ai Dati (Subject Access Request).
Per uno strumento IA, questo può includere: i dettagli del suo account, la cronologia delle conversazioni e le deduzioni che l'azienda ha tratto dal suo utilizzo.
2. Il diritto alla cancellazione (art. 17 GDPR, il "diritto all'oblio")
Può chiedere a un'azienda di cancellare i dati personali che detiene su di lei. Questo diritto non è assoluto: l'art. 17.3 prevede eccezioni esplicite — obbligo legale di conservazione, libertà di espressione e informazione, o necessità di accertare, esercitare o difendere un diritto in sede giudiziaria. L'azienda deve comunque spiegare il motivo del rifiuto.
Per gli strumenti IA, questo significa tipicamente: cancellazione del suo account, delle conversazioni archiviate e di tutti i dati di addestramento derivati dalle sue conversazioni (questa ultima parte può essere tecnicamente complessa, poiché le aziende potrebbero non essere in grado di rimuovere la sua influenza da un modello già addestrato).
3. Il diritto di opposizione (art. 21 GDPR)
Può dire a un'azienda: "Smettete di usare i miei dati per questo scopo." Per l'addestramento IA, questo significa opporsi all'uso delle sue conversazioni per migliorare il modello. L'azienda deve fermarsi, a meno che non possa dimostrare un motivo imperativo per continuare.
In pratica, è spesso più facile usare l'interruttore sulla privacy nelle impostazioni che seguire un processo di opposizione formale — ma entrambe le strade sono a sua disposizione.
4. Il diritto alla portabilità (art. 20 GDPR)
Può chiedere di ricevere i dati che ha fornito lei stesso a un servizio, in un formato strutturato, di uso comune e leggibile da dispositivo automatico — per esempio per passare a un altro fornitore. È esattamente ciò che si nasconde dietro la funzione "Esporta dati" citata più avanti in questa guida: non è un gesto di cortesia dell'azienda, è un diritto GDPR a sé stante.
Dove presentare reclamo se un'azienda non risponde
Se un'azienda non risponde, o risponde in modo palesemente insufficiente, il passo successivo è un reclamo a un'autorità di controllo (art. 77 GDPR) — gratuito e senza bisogno di un avvocato.
In Italia l'autorità competente è il Garante per la protezione dei dati personali. C'è però una complicazione specifica per i grandi fornitori IA: dal 15 febbraio 2024, quando OpenAI ha stabilito la propria sede unica europea in Irlanda, la competenza sui trattamenti transfrontalieri è passata al meccanismo dello "sportello unico" (one-stop-shop) del GDPR — un tribunale di Roma lo ha confermato nel marzo 2026, annullando su questo punto procedurale la maxi-sanzione da 15 milioni di euro che il Garante aveva inflitto a OpenAI nel 2024 (la sentenza non è entrata nel merito delle violazioni contestate). In pratica: presenti comunque il reclamo al Garante, che se necessario lo trasmetterà all'autorità irlandese (DPC) competente in prima battuta per i fornitori con sede unica in Irlanda.
Cosa fa il Garante — e cosa non fa: istruisce il reclamo, può imporre prescrizioni e sanzioni amministrative fino a 20 milioni di euro o al 4% del fatturato mondiale annuo. Quello che non fa è assegnarle un risarcimento personale. Una richiesta di risarcimento del danno patrimoniale o non patrimoniale ai sensi dell'art. 82 GDPR va presentata separatamente davanti al tribunale civile — un reclamo al Garante non è un presupposto obbligatorio per questa azione, e il suo esito non vincola il giudice.
Passi concreti che può fare oggi
Un semplice elenco di controllo. Non deve fare tutto — anche uno o due punti fanno una vera differenza.
Passo 1 — Trovare le impostazioni sulla privacy. In ChatGPT: Impostazioni → Controlli sui dati. In altri strumenti, cerchi Impostazioni → Privacy o Guida → Informativa sulla privacy → I suoi diritti.
Passo 2 — Disattivare l'addestramento. Disattivi qualsiasi opzione che dice "migliorare il modello", "usare le conversazioni per l'addestramento" o simili. Salvi.
Passo 3 — Eliminare la cronologia delle conversazioni. La maggior parte degli strumenti IA consente di eliminare chat singole o tutta la cronologia. Eliminarle dalla sua visualizzazione le rimuove anche dalla pipeline di addestramento futura.
Passo 4 — Inviare una richiesta di cancellazione se vuole un nuovo inizio. Usi il modulo di richiesta sulla privacy dell'azienda (di solito nel centro assistenza o nella pagina sulla privacy). Indichi chiaramente: "Esercito il mio diritto alla cancellazione ai sensi del GDPR. Si prega di cancellare tutti i dati personali che detenete su di me, inclusa la cronologia delle conversazioni."
Passo 5 — Se non ottiene risposta o la risposta è insoddisfacente: presenti reclamo. Se l'azienda non risponde entro i termini o risponde in modo insufficiente, si rivolga gratuitamente al Garante per la protezione dei dati personali (vedi la sezione sopra). Non sostituisce una richiesta di risarcimento, ma mette pressione e lascia una traccia ufficiale.
Passo 6 — Usare una modalità più privata per argomenti sensibili. Alcuni strumenti offrono una modalità "in incognito" o "chat temporanea" che non salva affatto la conversazione. La usi quando discute di qualcosa che non vuole sia conservato.
"Vorrei fare una domanda sulla mia situazione personale, ma voglio mantenere la mia privacy. Esiste un modo per usarla senza salvare questa conversazione?"
Può letteralmente fare questa domanda all'IA — le dirà quali modalità o impostazioni sono disponibili.
A cosa fare attenzione
Non incollare mai dati medici, finanziari o di identità. Anche con l'addestramento disattivato, il suo testo viene trasmesso ai server dell'azienda e lì conservato durante la sessione. Nome completo più condizione medica più data di nascita è esattamente il tipo di combinazione che rende i dati personali sensibili. Usi descrizioni generali.
Screenshot e registrazioni vocali sono anche dati. Se condivide una foto o usa un assistente vocale, quell'immagine o audio va al server. Sia altrettanto cauto con l'input visivo e audio quanto con il testo digitato.
Gli strumenti "gratuiti" e i suoi dati. Quando un servizio non costa nulla, l'azienda deve pagare le sue spese in qualche modo. Per molti strumenti IA, una risposta è usare ciò che gli utenti condividono per migliorare il prodotto — che poi vendono alle aziende. Questo non è automaticamente negativo, ma è bene esserne consapevoli.
Phishing e falsi moduli di "cancellazione dati". Vedrà occasionalmente email o messaggi che offrono di aiutarla a cancellare i suoi dati IA. Vada sempre direttamente al sito ufficiale — non clicchi mai su un link in un'email inaspettata. Le richieste GDPR legittime passano attraverso la pagina privacy ufficiale dell'azienda.
Addestramento disattivato ≠ dati cancellati. Disattivare l'addestramento è un passo importante, ma non è lo stesso che chiedere la cancellazione dei suoi dati. Se vuole un nuovo inizio completo, deve presentare una richiesta di cancellazione formale.
Cosa provare dopo
Una volta sistemate le impostazioni sulla privacy, il passo successivo è capire quali dati questi strumenti già detengono su di lei — e come vederli. La nostra guida Cosa sa l'IA su di me? spiega come richiedere un export completo dei dati dai principali servizi IA.
Se usa specificamente ChatGPT, la guida passo passo Impostazioni privacy di ChatGPT le mostra ogni interruttore in termini semplici.
E se vuole andare ancora oltre — rinunciare all'addestramento su più servizi contemporaneamente — Come rinunciare all'addestramento IA e richiedere la cancellazione dei propri dati copre l'intero processo.
Fonti
- Intelligenza artificiale: il Garante blocca ChatGPT — Garante per la protezione dei dati personali
- ChatGPT, il Garante privacy chiude l'istruttoria — Garante per la protezione dei dati personali
- Tribunale Roma annulla multa da 15 milioni di euro del Garante Privacy a OpenAI — ANSA
- Art. 12 GDPR — Trasparenza delle informazioni, delle comunicazioni e modalità — GDPR-info.eu
- Art. 17 GDPR — Diritto alla cancellazione ("diritto all'oblio") — GDPR-info.eu
- Art. 20 GDPR — Diritto alla portabilità dei dati — GDPR-info.eu
- Art. 82 GDPR — Diritto al risarcimento e responsabilità — GDPR-info.eu
