Un chatbot IA è conforme al GDPR?

Un chatbot non è conforme o non conforme di per sé: dipende da come lo implementate. Servono una base giuridica per il trattamento, informazioni chiare per gli utenti, accordi di trattamento dei dati con ogni fornitore che gestisce i dati, un meccanismo valido per i trasferimenti fuori dall'UE, una conservazione limitata e un modo per rispondere alle richieste di accesso e cancellazione.

Il provider dell'LLM vede i messaggi dei miei clienti?

Sì, tutto ciò che inviate nel prompt arriva al provider che esegue il modello, compresi la cronologia della conversazione e le conoscenze recuperate. Per questo contano la scelta del provider, i termini contrattuali, le impostazioni di conservazione dei dati e la regione, e per questo conviene tenere fuori dai prompt i dati personali non necessari.

Cosa richiede la KVKK per i chatbot IA?

La legge turca sulla protezione dei dati personali n. 6698 si applica alle conversazioni con chatbot con persone in Turchia come a qualsiasi altro trattamento. Dovete informare gli interessati, avere un fondamento giuridico per il trattamento, prestare particolare attenzione alle categorie particolari come i dati sulla salute e usare un meccanismo consentito, come i contratti standard del Consiglio, quando i dati vengono trasferiti all'estero, ad esempio verso un provider LLM fuori dalla Turchia.

Per quanto tempo devo conservare le conversazioni del chatbot?

Solo per il tempo necessario allo scopo che avete comunicato ai clienti, come la gestione della richiesta, gli obblighi di legge o la revisione della qualità. Fissate un periodo di conservazione per ogni archivio di dati, compresi i log delle conversazioni, i log del provider LLM e l'eventuale database vettoriale, ed eliminate o anonimizzate i dati alla scadenza.

Chatbot IA e dati dei clienti: checklist privacy GDPR e KVKK per i team di messaggistica

Un agente IA su WhatsApp o Instagram fa passare i messaggi dei clienti attraverso diverse aziende. Questa checklist mostra come mappare quei dati, scegliere i provider, definire la conservazione e gestire il consenso secondo il GDPR e la KVKK turca.

Team MonoChat Aggiornato: 13 ottobre 2026 9 min di lettura

In questa pagina

Dove vanno i dati dei clienti quando risponde un agente IA
La checklist privacy per i chatbot IA
Riepilogo rapido: GDPR e KVKK a confronto
Come MonoChat vi aiuta a mantenere il controllo su IA e dati
Fonti

Per rendere un chatbot IA conforme al GDPR e alla KVKK, mappate ogni sistema attraverso cui passano i messaggi dei clienti, dotatevi di una base giuridica e di un’informativa privacy chiara, firmate un accordo di trattamento dei dati con ogni provider, usate un meccanismo di trasferimento valido quando i dati lasciano l’UE o la Turchia, tenete i dati personali fuori dai prompt quando possibile, fissate i periodi di conservazione e dite alle persone che stanno parlando con un’IA. La conformità dipende da come implementate il chatbot, non dal chatbot in sé.

Il punto delicato è che una singola risposta su WhatsApp può coinvolgere quattro o cinque aziende: Meta, la vostra piattaforma di messaggistica, un provider LLM, un database vettoriale e il CRM in cui l’agente cerca le informazioni. Questa checklist le passa in rassegna una per una. Sono indicazioni pratiche per i team di messaggistica, non consulenza legale: confermate i dettagli con il vostro responsabile della protezione dei dati o con il vostro consulente legale.

Dove vanno i dati dei clienti quando risponde un agente IA

Cominciate disegnando il percorso di un singolo messaggio. Un flusso tipico è questo:

Passaggio	Sistema	Dati coinvolti	La vostra domanda
1	Canale di messaggistica (WhatsApp, Instagram, Messenger)	Numero di telefono o nome utente, contenuto del messaggio, contenuti multimediali	Quali termini e regole di archiviazione si applicano?
2	Piattaforma di messaggistica	Cronologia delle conversazioni, profilo del contatto, tag, note	Chi può accedervi, dove è archiviata, per quanto tempo?
3	Base di conoscenza e database vettoriale	I vostri contenuti; dati personali solo se li avete caricati	Nell’indice ci sono dati personali?
4	Provider LLM	Prompt: istruzioni, testo recuperato, cronologia, ultimo messaggio	I dati vengono conservati, usati per l’addestramento, trattati dove?
5	Strumenti collegati (CRM, prenotazioni, negozio)	Dati degli ordini, appuntamenti, dettagli dell’account	Cosa può leggere e scrivere l’agente?
6	Operatori umani	Conversazione completa dopo il passaggio	Chi vede cosa, e viene registrato?

Ogni riga è un punto in cui i dati personali vengono trattati e in cui servono un contratto, una regola di conservazione e un controllo degli accessi. Se non riuscite a compilare una riga, quello è il vostro primo compito.

La checklist privacy per i chatbot IA

1. Scegliete una base giuridica e mettetela per iscritto

Secondo il GDPR (articolo 6), ogni finalità di trattamento richiede una base giuridica. Rispondere a un cliente che vi ha scritto si fonda di solito sul contratto o sul legittimo interesse. I messaggi di marketing si fondano di solito sul consenso. Usare le conversazioni per migliorare il vostro agente è una finalità distinta e va valutata separatamente, senza dare per scontato che la base originale la copra.

La KVKK ha un proprio elenco di condizioni di trattamento. Se servite clienti sia dell’UE sia turchi, documentate la base giuridica secondo ciascuna legge.

2. Informate le persone sull’IA e sui loro dati

La vostra informativa privacy dovrebbe indicare che le conversazioni possono essere gestite da un sistema di IA, quali provider trattano i dati, dove, per quanto tempo e come raggiungere una persona. Gli articoli 13 e 14 del GDPR stabiliscono cosa includere e la KVKK prevede un analogo obbligo di informativa.

Nell’UE gli obblighi di trasparenza dell’AI Act si applicano dal 2 agosto 2026. Richiedono che le persone siano informate quando interagiscono con un sistema di IA, a meno che non sia evidente dal contesto. Un breve primo messaggio risolve sia il punto legale sia le aspettative del cliente:

Ciao, sono l'assistente virtuale di Northwind Home, un'IA. Posso aiutarti
con ordini, resi e consegne. Scrivi "operatore" in qualsiasi momento per
parlare con il nostro team.
Informativa privacy: northwindhome.example/privacy

3. Firmate un accordo di trattamento dei dati con ogni responsabile del trattamento

La vostra piattaforma di messaggistica, il provider LLM, l’host del database vettoriale e qualsiasi fornitore di strumenti che tratta dati personali per vostro conto sono responsabili del trattamento. L’articolo 28 del GDPR richiede un contratto scritto che limiti il trattamento alle vostre istruzioni, imponga riservatezza e sicurezza e disciplini sub-responsabili, cancellazione e audit. Tenete un elenco dei sub-responsabili e controllatelo quando i provider cambiano.

4. Verificate i trasferimenti fuori dall’UE o dalla Turchia

Molti provider LLM trattano i dati in altri paesi. Secondo il capo V del GDPR, i trasferimenti fuori dal SEE richiedono una decisione di adeguatezza o garanzie adeguate, come le clausole contrattuali standard.

Le regole della KVKK sui trasferimenti all’estero sono cambiate a giugno 2024. I trasferimenti si basano ora su una decisione di adeguatezza, su garanzie adeguate come i contratti standard pubblicati dal Consiglio per la protezione dei dati personali, o su eccezioni limitate. I contratti standard devono essere notificati all’Autorità entro cinque giorni lavorativi dalla firma. Verificate dove ogni provider tratta i dati e scegliete regioni o provider coerenti con i vostri obblighi.

Su WhatsApp, la Cloud API di Meta offre l’archiviazione locale: potete scegliere dove vengono archiviati a riposo i dati dei messaggi per ciascun numero di telefono aziendale. Il contenuto può comunque essere trattato nei data center di Meta a livello internazionale mentre è in uso, fino a 60 minuti sulla Cloud API, prima di essere conservato solo nella regione selezionata.

5. Scegliete il provider LLM con cura

Il provider del modello vede tutto ciò che inserite nel prompt. Prima di collegarne uno, verificate:

Uso per l’addestramento. Il provider usa i dati dell’API per addestrare i modelli e potete rifiutare?
Conservazione. Per quanto tempo vengono conservati prompt e risposte, anche per il monitoraggio degli abusi?
Regione. Dove vengono trattati e archiviati i dati e potete scegliere?
Contratto. È disponibile un accordo di trattamento dei dati per il vostro piano?
Self-hosting. Un modello open source sui vostri server sarebbe adatto ai casi d’uso sensibili?

Usare il vostro account presso il provider (bring your own key) significa che contratto, impostazioni della regione e opzioni di conservazione sono vostri, invece di essere ereditati dall’account di un fornitore.

6. Riducete al minimo ciò che entra nei prompt e negli strumenti

La minimizzazione dei dati (articolo 5 del GDPR) è il controllo sulla privacy più efficace per gli agenti IA.

Non caricate nella base di conoscenza schede dei clienti, documenti d’identità o note interne.
Inviate al modello solo la cronologia che gli serve, non l’intero profilo del contatto.
Date agli strumenti l’accesso più ristretto possibile: uno strumento per lo stato dell’ordine ha bisogno di un numero d’ordine, non dell’intero database dei clienti.
Mascherate o evitate campi come codici fiscali o numeri di documento, numeri di carta e password.
Istruite l’agente a non chiedere mai dati sensibili che non gli servono.

Regola per l'agente: non chiedere mai numeri di carta, password o numeri
di documento in chat. Se un cliente ne condivide uno, non ripeterlo e
proponi invece il link di pagamento sicuro o una chiamata con il nostro team.

Se il vostro agente si collega ai sistemi aziendali tramite protocolli come MCP, la stessa regola vale per ogni sistema collegato. Per i rischi, consultate MCP per la messaggistica con i clienti.

7. Trattate con particolare cura i dati sulla salute e le altre categorie particolari

Salute, religione, dati biometrici e categorie simili ricevono una protezione ulteriore ai sensi dell’articolo 9 del GDPR e della KVKK. Cliniche, farmacie e assicurazioni dovrebbero limitare ciò che gestisce l’IA, evitare i consigli medici forniti da un’IA e indirizzare le domande cliniche a personale qualificato. Svolgete una valutazione d’impatto sulla protezione dei dati (articolo 35 del GDPR) prima di lanciare un agente IA che tratta tali dati su larga scala.

8. Fissate la conservazione per ogni archivio

La limitazione della conservazione (articolo 5 del GDPR) significa conservare i dati personali solo per il tempo necessario. Stabilite e documentate un periodo per:

la cronologia delle conversazioni nella vostra piattaforma di messaggistica,
i log presso il provider LLM,
le trascrizioni esportate e le analisi,
gli eventuali dati personali in un database vettoriale o in una base di conoscenza.

Poi assicuratevi che la cancellazione avvenga davvero, anche nei backup quando possibile.

9. Preparatevi alle richieste di accesso e cancellazione

I clienti possono chiedervi quali dati conservate su di loro e chiederne la cancellazione (articoli 15 e 17 del GDPR, con diritti analoghi nella KVKK). Sappiate come trovare le conversazioni di una persona in tutti i sistemi della vostra mappa dei dati e come eliminarle in ciascuno.

10. Evitate decisioni prese solo dall’IA

L’articolo 22 del GDPR limita le decisioni basate unicamente su un trattamento automatizzato che incidono in modo significativo sulle persone. Lasciate che l’IA risponda, raccolga e instradi, e riservate alle persone approvazioni, rifiuti, decisioni sul credito ed eccezioni. Un passaggio dall’IA all’operatore affidabile è sia una funzione di servizio sia una funzione di conformità.

11. Proteggete gli accessi e conservate i log

Limitate chi può leggere le conversazioni, usate il controllo degli accessi basato sui ruoli, richiedete l’autenticazione a più fattori e conservate log di audit su chi ha fatto cosa. L’articolo 32 del GDPR richiede una sicurezza adeguata al rischio e l’articolo 33 fissa un termine di 72 ore per notificare all’autorità di controllo una violazione dei dati personali, quando la violazione presenta un rischio per le persone.

12. Rispettate le regole del canale

La WhatsApp Business Messaging Policy di Meta ha requisiti propri su opt-in, uso dei dati e IA. La nostra guida alla policy di WhatsApp sui chatbot IA per il 2026 spiega cosa consente Meta, mentre l’opt-in su WhatsApp tratta il consenso per i messaggi proattivi.

Tema	GDPR	KVKK (legge n. 6698)
Informare gli utenti	Articoli 13 e 14	Obbligo di informativa
Contratti con i responsabili	Articolo 28	Il titolare è corresponsabile della sicurezza del responsabile (articolo 12)
Trasferimenti all’estero	Capo V: adeguatezza, clausole contrattuali standard	Adeguatezza, contratti standard notificati all’Autorità, eccezioni limitate
Categorie particolari	Articolo 9	Categorie particolari di dati personali
Conservazione	Limitazione della conservazione, articolo 5	Cancellazione, distruzione o anonimizzazione quando la finalità termina
Diritti degli interessati	Accesso, cancellazione e altri	Diritti analoghi, tra cui accesso e cancellazione

Come MonoChat vi aiuta a mantenere il controllo su IA e dati

MonoChat è progettato in modo che le parti sensibili dello stack possano restare sotto il vostro controllo. Ecco cosa offre il prodotto, come descritto nella nostra pagina su sicurezza e conformità:

Le vostre chiavi LLM. Con gli LLM personalizzati collegate il vostro account OpenAI, Anthropic, Google, Azure, AWS o di un altro provider, così mantenete i vostri prezzi e i vostri accordi sui dati e decidete quale assistente usa quale modello.
Modelli self-hosted. Potete collegare modelli in esecuzione sui vostri server tramite Ollama, oppure la vostra API del modello, quando i prompt devono restare sulla vostra infrastruttura.
Il vostro database vettoriale. L’integrazione VectorDB mantiene i vettori della base di conoscenza nel database vettoriale che scegliete, con le vostre policy di archiviazione e conservazione, nella regione o nel cloud che preferite.
Conoscenza per ambiti. La base di conoscenza IA separa i contenuti in ambiti con un proprio controllo degli accessi, così ogni agente recupera solo ciò che deve.
Azioni IA controllate. Gli strumenti di funzione IA funzionano con validazione, permessi, endpoint in allowlist e log, così un assistente può fare solo ciò che consentite.
Controllo degli accessi e log. Accesso basato sui ruoli, isolamento degli spazi di lavoro, log di audit e credenziali dei provider cifrate e limitate allo spazio di lavoro.
API ufficiali dei canali. WhatsApp si collega tramite la WhatsApp Business Platform ufficiale (Cloud API) e MonoChat è un Meta Business Partner ufficiale.
Certificazioni e policy. MonoChat possiede le certificazioni ISO 27001 e ISO 9001 e la sua informativa sulla privacy è redatta secondo la KVKK (legge n. 6698). Le richieste di accesso, rettifica o cancellazione dei dati personali ricevono risposta entro 30 giorni.
Opzione on-premise. Il piano Enterprise offre l’installazione on-prem per requisiti più stringenti.

Potete valutare il prodotto con il piano Basic gratuito (un agente, un canale) su app.monochat.ai e leggere l’informativa sulla privacy completa prima della vostra verifica.

Fonti

Metta in pratica con MonoChat

Tutte le guide