Checklist GDPR per chatbot AI in PMI italiane: 14 punti operativi

Per usare un assistente AI con i clienti nel rispetto del GDPR servono quattordici adempimenti, e qui li trovi in fila: per ciascuno la regola, che cosa fare e chi se ne occupa. Dal 2 agosto 2026 si aggiunge l’obbligo di trasparenza dell’AI Act: chi scrive o chiama deve sapere che risponde un’intelligenza artificiale.

Testo aggiornato al 27 ottobre 2026. Non è una consulenza legale: è la lista che ti fa arrivare dal tuo legale o dal tuo DPO con il lavoro già impostato, e separa ciò che un fornitore come TrueReply copre per contratto da ciò che resta a te come titolare del trattamento.

Prendiamo un caso ipotetico. Un’azienda attiva un assistente AI sul sito e, due settimane dopo, un gruppo di cliniche che potrebbe diventare suo cliente le manda un questionario di due diligence: DPA, registro dei trattamenti, DPIA, DPO, trasferimenti fuori dall’Unione europea, violazioni di dati. Chi ha già seguito questi quattordici punti risponde in un pomeriggio.

Perché conviene sistemarlo adesso

Il Garante privacy segue da vicino gli assistenti conversazionali. Con un provvedimento del 10 aprile 2025, annunciato il 19 maggio 2025, ha sanzionato per 5 milioni di euro Luka Inc., la società che gestisce il chatbot Replika: basi giuridiche non individuate, informativa inadeguata, nessuna verifica dell’età. Sono le mancanze che i punti 4 e 5 di questa lista prevengono.

Anche il caso ChatGPT è utile da conoscere. La sanzione da 15 milioni di euro decisa dal Garante nel 2024 è stata annullata dal Tribunale di Roma nel marzo 2026, ma i rilievi da cui era partita (base giuridica, informativa, verifica dell’età, ritardo nella notifica di una violazione) sono gli stessi temi che trovi qui sotto.

Le sanzioni del GDPR arrivano fino a 20 milioni di euro o al 4% del fatturato mondiale annuo, se superiore (art. 83, par. 5). Pesano anche le due diligence dei clienti più strutturati, che sempre più spesso chiedono queste risposte prima di firmare.

Punto 1: il titolare del trattamento sei tu

Quando un assistente AI risponde ai tuoi clienti sul sito, su WhatsApp o al telefono, tu sei il titolare del trattamento (art. 4, n. 7 GDPR) e il fornitore è il responsabile (art. 4, n. 8). Vale anche se il servizio è di terzi, se i dati stanno sui loro server e se l’assistente risponde senza che nessuno lo segua in diretta.

Cosa fare: scrivilo nel registro dei trattamenti e nelle procedure interne, e indica chi in azienda governa l’assistente. Da questa scelta dipendono gli altri tredici punti.

Riferimenti: artt. 4 e 24 GDPR. Chi se ne occupa: direzione, con il DPO se nominato.

Punto 2: firma un DPA con il fornitore

Il titolare non può affidare dati a un responsabile esterno senza un contratto scritto, il DPA (Data Processing Agreement). Deve indicare oggetto, durata, natura e finalità del trattamento, tipi di dati e di interessati, obblighi del responsabile, sub-responsabili autorizzati, misure di sicurezza, assistenza su violazioni e diritti degli interessati, sorte dei dati a fine contratto e verifiche.

Cosa fare: chiedi il DPA prima di firmare il contratto commerciale e fallo leggere al tuo legale. Un fornitore che non ne ha uno pronto non è pronto a trattare i dati dei tuoi clienti.

Riferimenti: art. 28, par. 3 GDPR. Chi se ne occupa: titolare, con il legale o il DPO.

Punto 3: sappi dove stanno i dati e chi li tratta

Il GDPR ammette il trasferimento di dati fuori dall’Unione europea solo con una delle basi del Capo V: una decisione di adeguatezza, come quella sul Data Privacy Framework UE-USA per le aziende che vi aderiscono, oppure le clausole contrattuali standard accompagnate da una valutazione dei rischi. Il trasferimento non è vietato, ma va dichiarato e documentato.

Cosa fare: chiedi al fornitore per iscritto dove stanno i server, quali sub-responsabili trattano i dati, in quali paesi e con quali garanzie. Le risposte devono coincidere con il suo DPA e con la sua informativa privacy, e finiscono nella tua informativa.

Riferimenti: artt. 44-49 GDPR. Chi se ne occupa: titolare, DPO.

Punto 4: informa le persone prima che scrivano

Prima del primo messaggio, la persona deve poter sapere chi tratta i suoi dati, perché, su quale base giuridica, per quanto tempo, a chi vengono comunicati, se escono dall’Unione europea e quali diritti ha. Un’informativa inadeguata è una delle violazioni contestate a Replika.

Cosa fare: prepara un paragrafo dell’informativa dedicato all’assistente AI, oltre a quella generica del sito, e rendilo raggiungibile dal primo messaggio o da un link sempre visibile accanto alla chat. Scrivilo in italiano semplice. Più sotto trovi un testo di apertura da adattare.

Riferimenti: artt. 12 e 13 GDPR. Chi se ne occupa: titolare, con il DPO o il legale.

Punto 5: scegli la base giuridica, che non è sempre il consenso

L’art. 6 GDPR prevede sei basi giuridiche. Per un assistente che risponde a domande commerciali la più frequente è l’esecuzione di misure precontrattuali chieste dalla persona (lettera b), oppure il legittimo interesse a dare assistenza ai clienti (lettera f). Il consenso (lettera a) serve per ciò che va oltre la richiesta, come il marketing successivo o la profilazione, e i dati sanitari chiedono anche una condizione dell’art. 9.

Cosa fare: assegna una base giuridica a ogni finalità. Rispondere alla richiesta, ricontattare la persona e proporle offerte sono tre finalità diverse, e la mappa va nel registro.

Riferimenti: artt. 6 e 9 GDPR. Chi se ne occupa: DPO, titolare.

Punto 6: chiedi il consenso a parte, e rendilo revocabile

Quando la base è il consenso, deve essere libero, specifico, informato, inequivocabile e revocabile con la stessa facilità con cui è stato dato. Una casella già spuntata, o un unico consenso per sei finalità, non valgono.

Cosa fare: se vuoi usare i contatti raccolti dall’assistente per il marketing, chiedi il consenso con una domanda separata e chiara, e conserva data e testo della richiesta. Su TrueReply un messaggio promozionale avviato dal tuo gestionale parte solo se per quella persona arriva la data del consenso, e solo dopo che hai sottoscritto una dichiarazione di responsabilità.

Riferimenti: artt. 4, n. 11 e 7 GDPR, linee guida EDPB 05/2020. Chi se ne occupa: titolare.

Punto 7: fissa per quanto tempo conservi i dati

I dati restano solo per il tempo che serve alla finalità. Non esiste un termine uguale per tutti: una conversazione di assistenza, un contatto diventato cliente e un dato sanitario hanno esigenze diverse.

Cosa fare: scrivi nel registro il termine per ogni tipo di dato (conversazioni, trascrizioni delle chiamate, eventuali registrazioni audio, anagrafica dei contatti) e verifica che il fornitore cancelli da solo allo scadere. Se ti serve uno storico più lungo, tienilo in un archivio tuo, con un termine deciso da te.

Riferimenti: art. 5, par. 1, lett. e GDPR. Chi se ne occupa: titolare, con il supporto del fornitore.

Punto 8: escludi l’addestramento dei modelli sui tuoi dati

Se il fornitore usa le conversazioni dei tuoi clienti per addestrare modelli, avvia un trattamento con una finalità nuova, che ha bisogno di una base propria. Nel caso Replika il Garante ha aperto un’istruttoria a parte proprio sull’addestramento del modello.

Cosa fare: pretendi nel DPA l’impegno scritto a non usare i dati per addestrare modelli, propri o di terzi, e chiedi che lo stesso impegno valga per i sub-responsabili.

Riferimenti: art. 5, par. 1, lett. b GDPR. Chi se ne occupa: titolare, DPO.

Punto 9: verifica le misure di sicurezza del fornitore

L’art. 32 GDPR chiede misure tecniche e organizzative adeguate al rischio, e ne elenca alcune come esempio: pseudonimizzazione, cifratura, riservatezza, integrità e disponibilità dei sistemi, verifiche periodiche della loro efficacia.

Cosa fare: non le realizzi tu, ma devi sapere che il fornitore le ha. Chiedi la loro descrizione nel DPA o in una scheda scritta, ed eventuali certificazioni come la ISO/IEC 27001. Dal tuo lato, decidi chi in azienda accede alle conversazioni e ritira gli accessi di chi lascia l’incarico.

Riferimenti: art. 32 GDPR. Chi se ne occupa: il fornitore le applica, il titolare le verifica.

Punto 10: aggiorna il registro dei trattamenti

Il registro delle attività di trattamento è obbligatorio. La deroga per chi ha meno di 250 dipendenti vale solo se il trattamento è occasionale, non presenta rischi e non tocca dati sanitari o giudiziari. Secondo le FAQ del Garante sul registro, sotto i 250 dipendenti è obbligato chi fa trattamenti non occasionali, che possono presentare un rischio anche non elevato o che riguardano dati sanitari o giudiziari. Un assistente che risponde ogni giorno ai clienti non è un trattamento occasionale.

Cosa fare: aggiungi una voce per l’assistente AI con finalità, categorie di interessati e di dati, destinatari (il fornitore è fra questi), eventuali trasferimenti fuori dall’Unione europea, termini di cancellazione e misure di sicurezza.

Riferimenti: art. 30 GDPR. Chi se ne occupa: titolare, DPO se nominato.

Punto 11: valuta se serve la DPIA

La valutazione d’impatto è obbligatoria quando il trattamento presenta un rischio elevato: nuove tecnologie, monitoraggio sistematico, dati sanitari su larga scala, profilazione con effetti rilevanti sulle persone. Il Garante ha pubblicato con un provvedimento dell’11 ottobre 2018 l’elenco dei trattamenti per cui è sempre richiesta.

Un assistente di assistenza clienti, senza dati sanitari, profilazione o decisioni automatizzate con effetti sulla persona, di solito non la richiede. Diventa obbligatoria se l’assistente tratta dati sanitari o giudiziari, profila su larga scala o decide in automatico.

Cosa fare: fai una valutazione preliminare e mettila per iscritto. Se la DPIA serve, falla con il DPO; se non serve, la nota scritta dimostra che la domanda te la sei posta.

Riferimenti: art. 35 GDPR. Chi se ne occupa: DPO, titolare.

Punto 12: valuta se devi nominare il DPO

Il DPO è obbligatorio per le autorità pubbliche, per chi monitora le persone in modo regolare e sistematico su larga scala e per chi tratta su larga scala dati sanitari o giudiziari. Per molte aziende non lo è, ma lo diventa per cliniche, poliambulatori e laboratori.

Cosa fare: verifica se rientri in un caso obbligatorio. Se sì, nomina un DPO interno o esterno e comunica i suoi dati di contatto al Garante. Se no, puoi nominarlo comunque: rende più semplici le due diligence dei clienti strutturati.

Riferimenti: artt. 37-39 GDPR, linee guida WP29 n. 243. Chi se ne occupa: direzione.

Punto 13: prepara la risposta alle richieste degli interessati

Chi ha scritto o parlato con il tuo assistente può chiedere accesso, rettifica, cancellazione, limitazione, portabilità e opposizione. Devi rispondere entro un mese, prorogabile di altri due nei casi complessi, e di norma gratuitamente.

Cosa fare: indica nell’informativa un indirizzo per le richieste, decidi chi le smista e verifica con il fornitore come si estraggono e si cancellano i dati di una persona: da te, dalla dashboard, oppure con un’assistenza che risponde in tempo utile.

Riferimenti: artt. 12-22 GDPR. Chi se ne occupa: titolare, con il supporto del fornitore.

Punto 14: tieni pronta la procedura per le violazioni di dati

In caso di violazione dei dati personali il titolare la notifica al Garante entro 72 ore da quando ne viene a conoscenza, salvo che sia improbabile un rischio per le persone; se il rischio è elevato, avvisa anche gli interessati. Il responsabile deve informare il titolare senza ingiustificato ritardo.

Cosa fare: scrivi chi riceve la notizia, chi decide e chi notifica tramite il servizio online del Garante. Controlla che il DPA obblighi il fornitore ad avvisarti senza ritardo, così che le tue 72 ore restino utilizzabili, e annota anche gli incidenti che non notifichi.

Riferimenti: artt. 33 e 34 GDPR. Chi se ne occupa: titolare, DPO, con il supporto del fornitore.

I 14 punti in una tabella

AI Act: dal 2 agosto 2026 l’assistente si dichiara

L’articolo 50 dell’AI Act (Regolamento UE 2024/1689) si affianca al GDPR senza sostituirlo: chi interagisce con un sistema di intelligenza artificiale deve saperlo fin dalla prima interazione, in modo chiaro. L’obbligo si applica dal 2 agosto 2026, sulla chat del sito come su WhatsApp e al telefono.

Che cosa scrivere canale per canale, chi deve dichiarare e chi vigila in Italia lo trovi nella guida su AI Act e assistenti AI. Il testo di apertura qui sotto mette nello stesso messaggio la dichiarazione e il rinvio all’informativa.

Un testo di apertura da adattare

Copia, sostituisci le parti fra parentesi quadre con i dati veri, che il tuo fornitore ti conferma, e fallo rileggere al tuo DPO o al tuo legale.

Benvenuto in [NomeAzienda]. Ti risponde un assistente di intelligenza artificiale, non un operatore. I messaggi che scambi sono trattati da [NomeAzienda], P.IVA [numero], titolare del trattamento, per rispondere alle tue domande e, se lasci i tuoi contatti, per ricontattarti. Dove sono trattati i dati e con quali garanzie: [luoghi e garanzie indicati dal fornitore]. Conserviamo la conversazione per [periodo]. I tuoi messaggi non sono usati per addestrare modelli di intelligenza artificiale. Per accesso, rettifica o cancellazione scrivi a [indirizzo email]. Informativa completa: [link]. Non inserire in questa chat dati sanitari o giudiziari.

Questa apertura identifica il titolare, la finalità, la conservazione e i diritti, rinvia all’informativa completa e dichiara che risponde un’intelligenza artificiale. Il periodo di conservazione e le garanzie sul luogo dei dati devono coincidere con ciò che il fornitore scrive nel suo DPA.

Che cosa copre TrueReply come responsabile del trattamento

TrueReply opera come responsabile del trattamento e risponde così ai punti che toccano il fornitore.

• DPA pubblico. Il DPA di TrueReply si legge prima di attivare il servizio e copre i contenuti dell’art. 28: sub-responsabili, misure di sicurezza, assistenza su violazioni e diritti, sorte dei dati a fine contratto.
• Luogo dei dati. I dati stanno su server in Europa, isolati azienda per azienda. L’elenco dei fornitori che li trattano per conto di TrueReply e le garanzie degli eventuali trasferimenti sono nell’informativa privacy e nel DPA: è da lì che prendi le parole per la tua informativa.
• Addestramento. I contenuti delle conversazioni non sono mai usati per addestrare modelli.
• Conservazione. Le conversazioni restano 6 mesi e poi si cancellano da sole, con lo stesso termine per tutti gli account. Lo storico più lungo lo tieni su un tuo foglio Google collegato. L’anagrafica dei contatti (nome, recapiti, stato, senza il testo delle conversazioni) segue un termine diverso: resta finché esiste l’account e si cancella con l’account o contatto per contatto, e anche questo va nella tua informativa. Nelle soluzioni pronte all’uso l’audio delle telefonate non viene registrato: restano la trascrizione e un riassunto, e su misura la registrazione si può prevedere.
• Diritti degli interessati. Dalla dashboard esporti in formato strutturato i dati dell’account, conversazioni comprese, esporti o cancelli il singolo contatto, cancelli il singolo thread email e l’intero account. Per cancellare prima dei 6 mesi una conversazione di chat, WhatsApp o telefono scrivi a info@truereply.it: TrueReply provvede senza ingiustificato ritardo, in tempo per il mese previsto dall’art. 12.
• Violazioni. TrueReply ti avvisa senza ingiustificato ritardo, così le tue 72 ore verso il Garante restano utilizzabili.
• AI Act. Il messaggio di benvenuto di ogni canale deve dichiarare che risponde un assistente AI, il controllo avviene al salvataggio e, se lasci il campo vuoto, la piattaforma usa una frase propria.

Che cosa resta a te

Queste sono scelte del titolare, e nessun fornitore può farle al posto tuo.

• L’informativa privacy e la cookie policy del tuo sito, che devono nominare l’assistente come trattamento, il fornitore, la base giuridica e la conservazione.
• La base giuridica di ogni finalità e la sua voce nel registro.
• La valutazione su DPIA e DPO, con i documenti del fornitore come base per descrivere il trattamento.
• Il consenso al marketing: se chiederlo, con quale testo, e la data per ogni persona.
• La formazione di chi in azienda legge le conversazioni e risponde alle richieste degli interessati.

Domande frequenti

Le regole cambiano con la dimensione dell’azienda?

Poco. Il GDPR non ha una soglia sotto la quale non si applica: informativa, base giuridica, DPA, conservazione e diritti valgono per tutti. La sola soglia è quella dei 250 dipendenti per il registro, e con un assistente che lavora ogni giorno la deroga quasi mai si applica. Con un fornitore che ha già DPA e strumenti pronti, i quattordici punti richiedono giorni di lavoro, non mesi.

Che cosa rischio se non faccio niente?

Sanzioni fino a 20 milioni di euro o al 4% del fatturato mondiale annuo, se superiore. Il Garante commisura l’importo alla gravità della violazione e alle circostanze del caso, ma il danno più frequente è un altro: un cliente strutturato che, alla due diligence, sceglie un fornitore in regola.

Serve sempre una DPIA per un assistente AI?

No. Serve se l’assistente tratta dati sanitari o giudiziari, profila su larga scala o prende decisioni automatizzate con effetti sulle persone. Per un assistente di assistenza clienti generalista basta documentare la valutazione preliminare. Il confine lo decidi con il tuo DPO.

TrueReply è un’azienda italiana?

Sì. TrueReply è il prodotto di Michele Bogoni, P.IVA 04555040239, con sede a Monteforte d’Alpone (VR): contratti, fatture e assistenza in italiano. Chi c’è dietro lo trovi nella pagina Chi siamo.

Il passo successivo

Stampa la tabella dei 14 punti e scrivi accanto a ciascuno il nome di chi se ne occupa e la data in cui lo chiudi. Poi porta la lista al tuo legale o al tuo DPO insieme al DPA del fornitore: se il fornitore sarà TrueReply, il DPA lo leggi già adesso alla pagina DPA.

L’assistente AI di TrueReply risponde sulla chat del sito, su WhatsApp e al telefono con server in Europa, cancellazione automatica delle conversazioni a 6 mesi e la dichiarazione AI già nel messaggio di benvenuto. Piani e canoni sono nella pagina Prezzi; per una domanda sul tuo caso scrivi all’assistente in basso a destra o passa dai Contatti.