Chatbot AI sui siti web: come implementarli in conformità al GDPR

I chatbot AI non sono più un tema del futuro: rispondono alle richieste dei clienti 24 ore su 24, alleggeriscono i team di assistenza e migliorano sensibilmente l'esperienza degli utenti. Chi però integra un bot di questo tipo nel proprio sito web entra in un territorio della protezione dei dati che richiede una pianificazione accurata. Questo articolo mostra che cosa conta, dove si nascondono le insidie tipiche e come realizzare un chatbot nel rispetto del GDPR.

Che cosa rende particolari i chatbot AI dal punto di vista della protezione dei dati?

A differenza di un semplice modulo di contatto, un chatbot AI elabora gli input in tempo reale, memorizza le cronologie delle conversazioni, trasmette dati a servizi esterni e in alcuni casi apprende dalle interazioni. Ne derivano contemporaneamente più dimensioni rilevanti per la protezione dei dati:

• Raccolta di dati personali: gli utenti inseriscono nomi, indirizzi e-mail, descrizioni dei loro problemi o persino informazioni sulla salute, spesso senza rendersene conto.
• Trasferimento verso paesi terzi: molti servizi di AI (OpenAI, Google, Amazon) trattano i dati su server negli Stati Uniti o in altri paesi extra UE.
• Trattamento automatizzato: non appena un sistema prende decisioni che producono effetti sulle persone, si applica l'art. 22 GDPR.
• Addestramento dei modelli di AI: se gli input vengono utilizzati per migliorare il modello, si tratta di un'attività di trattamento autonoma.

Il Regolamento generale sulla protezione dei dati (GDPR) si applica a tutte queste operazioni non appena è coinvolto anche un solo interessato dell'UE.

Basi giuridiche: su quale fondamento si possono trattare i dati?

Ogni trattamento di dati personali richiede una base giuridica ai sensi dell'art. 6 GDPR. Per i chatbot ne entrano in gioco tipicamente tre:

Consenso (art. 6, par. 1, lett. a) GDPR) Il consenso è la base più sicura quando il trattamento va oltre quanto necessario per fornire il servizio, ad esempio se i dati delle conversazioni vengono usati a fini di analisi o per l'addestramento dell'AI. Deve essere libero, informato, specifico e inequivocabile. Una casella già spuntata non basta.

Esecuzione di un contratto (art. 6, par. 1, lett. b) GDPR) Se il chatbot viene impiegato per gestire un rapporto contrattuale in essere o in fase di avvio (ad es. verifica dello stato di un ordine, richieste di assistenza nell'area clienti), questa base può essere applicabile.

Legittimo interesse (art. 6, par. 1, lett. f) GDPR) Per interazioni con il chatbot puramente funzionali e prive di dati sensibili si può invocare il legittimo interesse dell'azienda, ma solo se il bilanciamento degli interessi risulta a favore del titolare e non prevalgono i diritti fondamentali degli utenti.

Consiglio pratico: per i visitatori senza un rapporto contrattuale in essere, il consenso è di norma la scelta appropriata.

Misure tecniche e organizzative (TOM)

L'art. 25 GDPR richiede la "protezione dei dati fin dalla progettazione" (privacy by design) e la "protezione dei dati per impostazione predefinita" (privacy by default). In concreto, per i chatbot ciò significa:

Minimizzazione dei dati Il bot dovrebbe chiedere solo i dati effettivamente necessari per la singola richiesta. Chi vuole sapere soltanto gli orari di apertura non deve inserire un indirizzo e-mail.

Pseudonimizzazione e anonimizzazione I log delle conversazioni dovrebbero essere conservati, ove possibile, in forma anonimizzata o almeno pseudonimizzata. Nomi reali e identificativi diretti vanno rimossi dai log il prima possibile.

Cifratura La trasmissione e la conservazione dei dati del chatbot devono avvenire in forma cifrata (almeno TLS 1.2, meglio TLS 1.3).

Restrizioni di accesso Log e cronologie delle conversazioni devono essere accessibili solo alle persone autorizzate. I modelli di accesso basati sui ruoli vanno documentati.

Piano di cancellazione Per tutti i dati trattati devono essere definiti termini di cancellazione chiari. Le cronologie delle conversazioni non dovrebbero essere conservate più a lungo dello stretto necessario: di norma bastano poche settimane o pochi mesi.

Trattamento per conto: il contratto con il fornitore

Chi integra un servizio di AI esterno, tramite API o con una soluzione widget già pronta, affida dati personali a un fornitore di servizi. Si configura così un trattamento per conto del titolare ai sensi dell'art. 28 GDPR. Senza un accordo valido sul trattamento dei dati (DPA) l'utilizzo è illecito.

Un DPA deve disciplinare, tra l'altro:

• Oggetto e durata del trattamento
• Natura e finalità del trattamento
• Obbligo del responsabile del trattamento di attenersi alle istruzioni
• Misure di sicurezza tecniche e organizzative
• Gestione dei sub-responsabili
• Diritti degli interessati e obblighi di assistenza

Molti grandi fornitori (OpenAI, Microsoft, Google) mettono a disposizione contratti standard. Questi però non andrebbero accettati alla cieca: è consigliabile una verifica legale, in particolare per quanto riguarda i sub-responsabili e la loro ubicazione.

Trasferimento verso paesi terzi: il problema USA

Un problema centrale nell'uso di servizi di AI statunitensi è il trasferimento dei dati verso paesi terzi. Dalla sentenza Schrems II della Corte di giustizia dell'UE (2020), i trasferimenti verso gli USA senza garanzie adeguate non sono ammessi.

Da luglio 2023 esiste con l'EU-U.S. Data Privacy Framework (DPF) una nuova decisione di adeguatezza della Commissione europea. I fornitori certificati nell'ambito del DPF possono ricevere dati dall'UE senza che siano necessarie clausole contrattuali standard (SCC) aggiuntive. Se un fornitore è certificato si può verificare su dataprivacyframework.gov.

Importante: il DPF non è irrevocabile. Sono in corso discussioni politiche e giuridiche che potrebbero metterne a rischio la tenuta nel medio periodo. Restano quindi necessarie una valutazione dei rischi e una verifica periodica.

In alternativa, fornitori europei o modelli open source in self-hosting (ad es. LLM eseguiti sulla propria infrastruttura) offrono una soluzione più solida sotto il profilo della protezione dei dati, perché non avviene alcun trasferimento verso paesi terzi.

Informativa privacy: rispettare gli obblighi di trasparenza

L'informativa privacy del sito web deve descrivere l'uso del chatbot in modo completo e comprensibile (art. 13 GDPR). Le seguenti informazioni sono obbligatorie:

• Quali dati raccoglie il chatbot?
• Per quale finalità vengono trattati?
• Su quale base giuridica?
• A quali destinatari (compresi i sub-responsabili) vengono comunicati i dati?
• Verso quali paesi vengono trasferiti i dati e su quale base?
• Per quanto tempo vengono conservati i dati?
• Quali diritti hanno gli utenti (accesso, cancellazione, opposizione)?

Una formula generica come "Utilizziamo strumenti di AI" non è sufficiente. La descrizione deve essere concreta e comprensibile.

Attuare tecnicamente i diritti degli interessati

Anche per i dati del chatbot valgono tutti i diritti degli interessati previsti dal GDPR:

• Diritto di accesso (art. 15): gli utenti possono chiedere di sapere quali dati sono memorizzati.
• Diritto alla cancellazione (art. 17): su richiesta deve essere possibile cancellare tutti i dati personali dai log delle conversazioni.
• Diritto alla portabilità dei dati (art. 20): se il trattamento si basa sul consenso o su un contratto, i dati devono poter essere forniti in un formato leggibile da dispositivo automatico.
• Diritto di opposizione (art. 21): in caso di trattamento basato sul legittimo interesse, gli utenti possono opporsi.

L'infrastruttura tecnica deve essere in grado di gestire questi diritti. I log delle conversazioni dovrebbero quindi essere strutturati in modo da poter essere attribuiti in modo univoco a una persona e cancellati completamente su richiesta.

Categorie particolari di dati personali

Se nel chatbot vengono trattati dati sensibili, ad esempio nella comunicazione medico-paziente, nella consulenza psicologica o nella consulenza legale, si applicano requisiti più stringenti ai sensi dell'art. 9 GDPR. Dati sanitari, convinzioni religiose od opinioni politiche possono essere trattati solo con consenso esplicito o nell'ambito di ristrette eccezioni previste dalla legge.

In questi scenari una valutazione d'impatto sulla protezione dei dati (DPIA) ai sensi dell'art. 35 GDPR è quasi sempre obbligatoria.

Valutazione d'impatto sulla protezione dei dati (DPIA)

Una DPIA va effettuata quando un trattamento può presentare un rischio elevato per i diritti e le libertà delle persone fisiche. Per i chatbot AI ciò accade spesso, in particolare se:

• avviene una profilazione o un'analisi sistematica del comportamento degli utenti,
• vengono trattate categorie particolari di dati personali,
• il trattamento avviene su larga scala su un sistema accessibile al pubblico.

La DPIA documenta i rischi, le contromisure e la valutazione del rischio residuo e deve essere sottoposta all'autorità di controllo se i rischi non possono essere ridotti a sufficienza.

Checklist pratica per un uso dei chatbot AI conforme al GDPR

Base giuridica

• Base giuridica determinata per ogni attività di trattamento
• Meccanismo di consenso (se necessario) implementato tecnicamente
• DPA stipulato con il fornitore e verificato

Trasparenza

• Informativa privacy aggiornata e completa
• Gli utenti vengono informati sul trattamento dei dati prima del primo input

Tecnologia

• Trasmissione e conservazione cifrate
• Termini di cancellazione definiti e implementati tecnicamente
• Diritti degli interessati attuabili (accesso, cancellazione, portabilità)
• Minimizzazione dei dati implementata (solo i campi necessari)

Trasferimento verso paesi terzi

• Fornitore verificato per certificazione DPF o SCC
• Trasferimento documentato

Valutazione dei rischi

• DPIA effettuata (se necessaria)
• Registro delle attività di trattamento aggiornato

Conclusione

Un chatbot AI può essere un'aggiunta preziosa per qualsiasi sito web, a condizione che sia progettato fin dall'inizio nel rispetto della protezione dei dati. I rischi maggiori non nascono dalla malafede, ma da contratti mancanti, basi giuridiche poco chiare e scarsa trasparenza nei confronti degli utenti. Chi attua con coerenza le misure descritte crea non solo certezza giuridica, ma anche fiducia tra i propri utenti, e questo è in fondo il vantaggio competitivo più duraturo.

Negli scenari complessi, soprattutto in settori regolamentati come sanità, finanza o diritto, è inoltre consigliabile coinvolgere uno specialista in protezione dei dati e questioni legali.