Sempre più organizzazioni adottano piattaforme come ChatGPT Enterprise, spesso sottovalutando un aspetto fondamentale: introdurre un sistema di IA generativa in azienda non significa acquistare una licenza software, ma ripensare regole, responsabilità e modelli di governance.
Il recente intervento del Garante Privacy nei confronti della start-up Myndoor dimostra che il tema è ormai profondamente giuridico e organizzativo, e non più solo tecnologico.
Uno spunto che permette una riflessione più ampia sugli obblighi per le imprese che adottano sistemi di IA generativa e sulle misure di governance necessarie per coniugare innovazione, tutela dei lavoratori, protezione dei dati, proprietà intellettuale e cyber sicurezza.
Indice degli argomenti
Il report di OpenAI sull’adozione dell’IA generativa in azienda
L’adozione di sistemi di intelligenza artificiale generativa come ChatGPT Enterprise è ormai entrata nelle strategie di trasformazione digitale di molte organizzazioni.
Se fino a pochi mesi fa l’utilizzo di questi strumenti era spesso lasciato all’iniziativa dei singoli dipendenti, oggi le imprese stanno progressivamente migrando verso soluzioni enterprise, caratterizzate da maggiori garanzie di sicurezza, gestione centralizzata degli utenti, integrazione con gli strumenti aziendali e controllo amministrativo della piattaforma.
Il primo State of Enterprise AI Report di OpenAI evidenzia come l’adozione dell’IA generativa stia entrando in una nuova fase: oltre 7 milioni di ChatGPT workplace seats attivi, una crescita di circa 9 volte delle licenze ChatGPT Enterprise nell’ultimo anno e un utilizzo sempre più integrato nei processi aziendali.
Il ruolo di ChatGPT Enterprise
Questa migrazione, tuttavia, viene spesso affrontata dalle aziende come un semplice progetto tecnologico o (nel migliore dei casi) come un tema di sicurezza informatica e protezione dei dati personali.
Una lettura riduttiva, poiché l’introduzione di una piattaforma come ChatGPT Enterprise modifica profondamente l’organizzazione del lavoro, il modo in cui circolano le informazioni aziendali, le modalità di assunzione delle decisioni e, soprattutto, il delicato equilibrio tra poteri datoriali e diritti dei lavoratori.
Pur prendendo spunto da ChatGPT Enterprise, l’analisi si può estendere alle principali piattaforme di IA generativa enterprise che presentano analoghe funzionalità di amministrazione centralizzata, gestione degli utenti e integrazione con gli ecosistemi aziendali (come Microsoft Copilot, Gemini Enterprise, Claude Enterprise).
L’avvertimento del Garante a Myndoor
In questo contesto assume un significato che va ben oltre il caso concreto il provvedimento del Garante per la protezione dei dati personali del 14 maggio 2026 sul caso Myndoor, startup italiana che ha sviluppato un plug-in di intelligenza artificiale capace di analizzare i messaggi scambiati dai lavoratori su Microsoft Teams e Slack per fornire indicazioni sul loro livello di stress e benessere psicologico.
Pur non accertando una violazione della normativa, il Garante ha rivolto alla società un avvertimento, evidenziando il rischio che, anche attraverso dati aggregati o elaborazioni algoritmiche, il datore di lavoro possa venire a conoscenza di informazioni riferibili ai propri dipendenti, in contrasto con i principi del GDPR, dello Statuto dei lavoratori e del nuovo AI Act.
L’avvertimento a Myndoor è importante: ecco perché
Sebbene sia riferito a un’applicazione di sentiment analysis e non a un sistema di IA generativa, il provvedimento contiene principi destinati a incidere anche sull’adozione di piattaforme come ChatGPT Enterprise.
Il Garante richiama infatti l’attenzione sulla necessità che la conformità sia incorporata fin dalla progettazione del sistema e dell’organizzazione che lo utilizza, impedendo che tecnologie nate per aumentare la produttività si trasformino, anche indirettamente, in strumenti di controllo dei lavoratori o di trattamento di informazioni che il datore di lavoro non ha titolo a conoscere.
Ne deriva che non è sufficiente affidarsi alla conformità del fornitore o alle caratteristiche tecniche della piattaforma:è il datore di lavoro che deve dimostrare di aver costruito un modello organizzativo rispettoso dei diritti dei lavoratori e del principio di accountability.
La necessità di una vera governance
Molte organizzazioni sembrano ancora sottovalutare il fatto che l’adozione di ChatGPT Enterprise richiede una vera governance nella quale convergano GDPR, Statuto dei lavoratori, AI Act, disciplina della proprietà intellettuale e cyber security.
In altre parole, oltre ad acquistare una licenza Enterprise e procedere alla migrazione tecnologica, occorre ripensare l’intero modello organizzativo che ne disciplina l’utilizzo.
ChatGPT Enterprise non è la versione “professionale” di ChatGPT
Uno degli equivoci più frequenti consiste nel considerare ChatGPT Enterprise come una semplice evoluzione della versione consumer.
In realtà, le differenze sono sostanziali.
La piattaforma enterpriseintroduce un workspace aziendale amministrato
dall’organizzazione, con gestione centralizzata degli utenti, autenticazione tramite sistemi di Single Sign-On, controlli di sicurezza, possibilità di integrare basi documentali interne, gestione dei privilegi amministrativi e funzionalità di amministrazione e monitoraggio dell’utilizzo della piattaforma.
Nuove implicazioni giuridiche
La presenza di amministratori di sistema e di strumenti di gestione centralizzata determina nuove implicazioni giuridiche, dal momento che l’azienda non si limita più a consentire ai dipendenti l’utilizzo di uno strumento esterno, ma introduce una piattaforma aziendale integrata nel suo ecosistema e destinata ad essere utilizzata nello svolgimento dell’attività lavorativa.
Da questo momento l’adozione dell’intelligenza artificiale diventa una questione di organizzazione del lavoro, di governo del trattamento dei dati e di sicurezza informatica.
Il vero nodo: l’accesso alle conversazioni dei lavoratori
Tra tutti i profili giuridici, quello destinato probabilmente a generare il maggior contenzioso riguarda l’accesso alle conversazioni effettuate dai dipendenti.
Le piattaforme enterprise consentono infatti la raccolta di log amministrativi e, a seconda della configurazione adottata e delle funzionalità rese disponibili dal fornitore, possono prevedere differenti livelli di visibilità sulle attività svolte dagli utenti.
La concreta visibilità dei contenuti delle conversazioni dipende infatti dalla configurazione della piattaforma e dalle funzionalità rese disponibili dal provider, ma proprio tale possibilità rende necessariodisciplinarne preventivamente la governance.
Un aspetto che pone in relazione discipline diverse.
Il GDPR
La prima è rappresentata dal GDPR, che impone di rispettare i principi di liceità, limitazione della finalità, minimizzazione e limitazione della conservazione.
Ogni accesso ai dati contenuti nelle conversazioni deve essere fondato su una specifica finalità, adeguatamente documentata e limitata ai soggetti autorizzati.
L’art. 4 dello Statuto dei lavoratori
La seconda è costituita dall’articolo 4 dello Statuto dei lavoratori, che disciplina gli strumenti dai quali possa derivare anche indirettamente un controllo dell’attività dei dipendenti.
Il vero tema è la possibilità che le informazioni all’interno delle conversazioni vengano utilizzate, anche solo potenzialmente, per finalità di controllo della prestazione lavorativa (come il monitoraggio della produttività, la valutazione delle prestazioni o la ricostruzione del comportamento lavorativo del singolo dipendente).
È questa potenziale destinazione funzionale che rende necessario interrogarsi sulla disciplina dell’articolo 4 dello Statuto dei lavoratori già nella fase di progettazione della governance della piattaforma.
ChatGPT Enterprise: evitare accessi illegittimi da parte del datore di lavoro
Il provvedimento Myndoor affronta proprio questo tema, affermando un principio destinato ad assumere una portata ben più ampia rispetto al caso concreto: il datore di lavoro non deve poter conoscere informazioni che eccedano quanto strettamente necessario rispetto al rapporto di lavoro, soprattutto quando tali informazioni derivino da elaborazioni algoritmiche o riguardino aspetti della sfera personale del lavoratore.
Il Garante sottolinea come tali garanzie debbano essere assicurate in fase di progettazione del sistema, evitando a monte la possibilità di accessi non legittimi da parte del datore di lavoro.
Si tratta di un principio che può essere agevolmente esteso anche all’utilizzo di sistemi di intelligenza artificiale generativa.
La disciplina degli accessi alle conversazioni
Se le conversazioni (come è prevedibile) contengono idee progettuali, strategie commerciali, valutazioni personali o informazioni riferibili al lavoratore, la loro consultazione sistematica da parte dell’azienda potrebbe trasformare uno strumento di produttività in uno strumento di controllo a distanza.
Di conseguenza, una delle prime decisioni organizzative, che l’impresa è chiamata ad assumere, riguarda proprio la disciplina degli accessi alle conversazioni: chi può accedere, per quali finalità, con quale procedura autorizzativa, con quali garanzie e per quanto tempo tali dati devono essere conservati.
Dalla compliance privacy alla governance dell’IA
Per molti anni l’introduzione di un nuovo software aziendale coincideva, per le imprese, sostanzialmente, con la predisposizione dell’informativa privacy e dell’accordo di nomina del responsabile del trattamento.
L’intelligenza artificiale rende ora questo approccio insufficiente.
L’azienda deve innanzitutto verificare il ruolo assunto dal fornitore della piattaforma, sottoscrivere il Data Processing Agreement previsto dall’articolo 28 del GDPR e valutare gli eventuali trasferimenti di dati verso Paesi terzi.
Occorre quindi aggiornare il registro dei trattamenti, verificare se l’utilizzo comporti la necessità di una valutazione d’impatto ai sensi dell’articolo 35 del GDPR e predisporre un’informativa specifica rivolta ai dipendenti.
Quest’ultimo documento assume oggi un’importanza centrale, non essendo più sufficiente richiamare genericamente l’utilizzo di strumenti informatici aziendali.
L’informativa deve infatti descrivere in modo trasparente quali dati vengono trattati attraverso la piattaforma di IA, chiarendo se e in quali casi le conversazioni possano essere consultate dagli amministratori della piattaforma o da altre funzioni aziendali, precisando le relative finalità, i tempi di conservazione e le garanzie predisposte a tutela dei lavoratori.
Le principali criticità nella conservazione
Molte organizzazioni adottano infatti le impostazioni predefinite della piattaforma senza interrogarsi sulla loro effettiva conformità al principio di limitazione della conservazione previsto dall’articolo 5 del GDPR.
È invece il titolare del trattamento che deve individuare un periodo di retention coerente con le finalità perseguite e documentarne le ragioni.
L’AI Act amplia la prospettiva
L’entrata in vigore del Regolamento europeo sull’intelligenza artificiale modifica ulteriormente il quadro.
Così come il GDPR ha imposto alle organizzazioni di dimostrare la conformità dei trattamenti attraverso il principio di accountability, il Regolamento europeo sull’intelligenza artificiale introduce una forma di responsabilizzazione assimilabile ad un’accountability algoritmica.
Non è più sufficiente utilizzare uno strumento conforme: il deployer è chiamato a governarne l’impiego, valutarne i rischi, garantire un’adeguata supervisione umana e assicurare che il personale disponga delle competenze necessarie per un utilizzo consapevole.
In questa prospettiva si collocano tantol’obbligo di AI literacy previsto dall’articolo 4, quanto i divieti relativi ad alcune applicazioni dell’IA nel contesto lavorativo, tra cui i sistemi destinati a inferire le emozioni dei lavoratori (art. 5), richiamati dal Garante.
Più in generale, l’Autorità sottolinea la capacità dei sistemi di intelligenza artificiale di produrre inferenze ulteriori rispetto ai dati originariamente trattati, sottolineando la necessità digarantire trasparenza, verificabilità degli output e controllo umano effettivo.
Tali principi risultano coerenti anche con le garanzie previste dall’articolo 22 del GDPR nei casi in cui gli output dell’IA siano utilizzati nell’ambito di processi decisionali automatizzati o semi-automatizzati, oltre che con l’impianto complessivo dell’AI Act.
Proprietà intellettuale e patrimonio informativo aziendale
L’introduzione di piattaforme di IA generativa pone inoltre questioni che esulano dalla protezione dei dati personali, in quanto i prompt possono contenere informazioni riservate, know-how aziendale, codice sorgente, documentazione tecnica, strategie commerciali o opere dell’ingegno tutelate dal diritto d’autore.
Analogamente, gli output prodotti dall’intelligenza artificiale possono essere riutilizzati in processi aziendali, attività creative o sviluppo di nuovi prodotti.
Sebbene le principali piattaforme enterprise riconoscano generalmente ai clienti ampi diritti suglioutput prodotti, ciò non esime le imprese dal verificare attentamente le condizioni contrattuali applicabili, con particolare riguardo alle clausole relative alla titolarità dei contenuti, alle licenze d’uso, alle eventuali limitazioni di responsabilità e alle garanzie offerte dal fornitore, così da evitare incertezze nell’utilizzo commerciale dei risultati prodotti dal sistema e nella loro integrazione nei processi aziendali.
Oltre ai profili legati alla riservatezza, l’impresa dovrebbe quindi disciplinare il rapporto tra intelligenza artificiale e proprietà intellettuale, definendo regole sull’utilizzo di opere protette nei prompt, sulla verifica della liceità degli output prodotti dal modello e sulla tutela del know-how aziendale.
L’assenza di una disciplina interna espone l’organizzazione al rischio di divulgazione di informazioni riservate, oltre che di possibili contestazioni in materia di diritto d’autore, segreto commerciale e obblighi di riservatezza assunti nei confronti di clienti e partner.
AI policy aziendali
Le aziende sono pertanto chiamate a disciplinare espressamente quali contenuti possano essere caricati nella piattaforma, quali informazioni debbano rimanere escluse, quali procedure di validazione debbano precedere il loro utilizzo nei processi aziendali e come debbano essere disciplinati la titolarità, il riutilizzo e lo sfruttamento degli output prodotti nell’ambito del rapporto di lavoro, anche alla luce delle condizioni contrattuali applicabili alla piattaforma adottata.
Anche sotto questo profilo emerge la necessità di una specifica AI Policy aziendale, che, oltre a costituire un importante strumento organizzativo, rappresenta una concreta misura di accountability e di prevenzione dei rischi. Si tratta infatti di uno strumento attraverso il quale l’organizzazione definisce regole di utilizzo della piattaforma, categorie di dati che possono essere inserite nei prompt, modalità di verifica degli output, ruoli e responsabilità degli utenti e procedure di accesso alle conversazioni e ai log.
Proprio attraverso tale documento il principio di accountability trova concreta attuazione nell’utilizzo quotidiano dell’intelligenza artificiale.
Migrazione a ChatGPT Enterprise: un progetto anche di cyber security
L’adozione di ChatGPT Enterprise non può però essere affrontata solo come una questione giuslavoristica, di protezione dei dati personali o, più recentemente, di conformità all’AI Act, perché sarebbe una prospettiva parziale.
L’introduzione di una piattaforma di intelligenza artificiale generativa come ChatGPT Enterprise all’interno dell’organizzazionemodifica a tutti gli effetti il perimetro di sicurezza aziendale, creando un nuovo punto di accesso a informazioni, documenti e conoscenze che costituiscono il patrimonio più prezioso dell’impresa.
Ogni giorno gli utenti, utilizzando questo strumento come interlocutore privilegiato, caricano contratti, offerte commerciali, codice sorgente, progetti di ricerca, documentazione tecnica, dati di clienti e informazioni riservate.
L’assenza di regole organizzative che disciplinino quali informazioni possano essere condivise con il sistema e quali, invece, debbano rimanere escluse è una reale fonte di rischio in ambito di sicurezza informatica.
Le attività che precedono la migrazione verso una piattaforma enterprise
La migrazione verso una piattaforma enterprise dovrebbe pertanto essere preceduta anche da un’attività di classificazione del patrimonio informativo aziendale e dall’individuazione delle categorie di dati che non possono essere utilizzate nei prompt.
Per esempio, segreti commerciali, informazioni coperte da obblighi di riservatezza, dati strategici o documentazione soggetta a particolari vincoli normativi.
La gestione degli accessi
La sicurezza riguarda inoltre, come già evidenziato, la gestione degli accessi: ChatGPT Enterprise si integra normalmente con i sistemi di gestione delle identità aziendali e consente la definizione di ruoli amministrativi, privilegi e funzionalità di controllo.
Ciò impone l’applicazione dei principi di autenticazione forte, segregazione dei privilegi e minimo accesso necessario.
In particolare, la tracciabilità degli accessi amministrativi e la periodica verifica dei privilegi assegnati costituiscono misure essenziali anche ai fini della sicurezza informatica, oltre che della conformità al GDPR e allo Statuto dei lavoratori.
I rischi cyber della migrazione: prompt injection, data exfiltration e supply chain
Ulteriore elemento di attenzione riguarda le integrazioni con l’ecosistema digitale aziendale.
Le piattaforme di IA generativa possono essere collegate a repository documentali, sistemi di knowledge management, ambienti di sviluppo software e banche dati interne: ogni nuova integrazione amplia inevitabilmente la superficie di attacco e rende necessario verificare attentamente quali informazioni possano essere recuperate dal modello, con quali autorizzazioni e secondo quali criteri di sicurezza.
Qui assumono particolare rilievo irischi di prompt injection, attraverso i quali istruzioni malevole possono alterare il comportamento del modello, e di data exfiltration, cioè l’estrazione non autorizzata di informazioni riservate sfruttando le capacità di interrogazione dell’intelligenza artificiale.
Accanto ai profili strettamente tecnici si collocano poi quelli relativi alla sicurezza della filiera digitale.
Articolo 32 del GDPR
L’adozione di una piattaforma enterprise comporta infatti l’ingresso di un nuovo fornitore all’interno dell’ecosistema ICT dell’organizzazione.
Diventa quindi necessario valutare, oltre che le condizioni contrattuali e gli aspetti privacy, anche le garanzie offerte dal provider in materia di resilienza dell’infrastruttura, gestione delle vulnerabilità, cifratura dei dati, continuità operativa, gestione degli incidenti e sicurezza della supply chain.
Si tratta di valutazioni che l’articolo 32 del GDPR impone al titolare del trattamento al fine di adottare misure tecniche e organizzative adeguate al rischio, mentre l’articolo 25 richiede che tali misure siano incorporate fin dalla progettazione del sistema.
NIS2 e AI generativa: la gestione del rischio è un obbligo
Per i soggetti rientranti nell’ambito di applicazione della Direttiva NIS2 e del decreto legislativo n. 138/2024, che ne ha recepito i contenuti nell’ordinamento italiano, gli obblighi risultano poi ancora più articolati.
L’introduzione di una piattaforma di IA generativa deve essere senz’altro ricompresa nell’ambito del più ampio sistema di gestione del rischio cyber, imponendo una preventiva valutazione degli impatti derivanti dall’integrazione della soluzione nell’ecosistema digitale aziendale.
Gestione delle vulnerabilità e definizione di regole
Ciò comporta, tra l’altro, oltre alla verifica della sicurezza del fornitore e della relativa supply chain ICT, all’adozione di misure per il controllo degli accessi e dei privilegi amministrativi e all’implementazione di meccanismi di autenticazione forte, anche la gestione delle vulnerabilità, il monitoraggio degli eventi di sicurezza, la predisposizione di procedure di risposta agli incidenti e di continuità operativa, nonché la definizione di regole per prevenire fenomeni di data leakage, data exfiltration e accessi non autorizzati alle informazioni aziendali.
La migrazione verso ChatGPT Enterprise, pertanto, non può essere considerata una semplice implementazione applicativa, poiché, soprattutto per le aziende soggette a tali normative, costituisce a tutti gli effetti un intervento sull’architettura di sicurezza dell’organizzazione, che richiede un coinvolgimento congiunto delle funzioni IT, cyber security, privacy e compliance.
La checklist della governance
L’adozione di ChatGPT Enterprise dovrebbe essere preceduta da un percorso strutturato di valutazione giuridica e organizzativa.
Prima dell’attivazione della piattaforma l’organizzazione dovrebbe:
- verificare la conformità del caso d’uso rispetto all’AI Act;
- valutare gli impatti privacy (DPIA ai sensi dell’art.35 GDPR);
- valutare gli impatti giuslavoristici (verifica dell’eventuale applicabilità dell’art. 4 Statuto dei lavoratori e, ove necessario, procedere agli adempimenti conseguenti);
- aggiornare la documentazione GDPR (aggiornamento del registro delle attività di trattamento, redazione delle informative specifiche, aggiornamento di altra documentazione privacy);
- definire e adottare policy interne sull’utilizzo dell’intelligenza artificiale (AI Policy);
- disciplinare l’accesso alle conversazioni e ai log;
- stabilire tempi di conservazione coerenti con le finalità del trattamento;
- configurare correttamente i privilegi amministrativi;
- predisporre adeguati percorsi di formazione del personale (AI Literacy)
- assicurare che ogni decisione avente effetti significativi sui lavoratori rimanga soggetta a un effettivo controllo umano;
- procedere alla valutazione del rischio cyber della migrazione e alla configurazione sicura della piattaforma;
- classificare le informazioni aziendali e redigere policy sull’utilizzo dei dati nei prompt (Prompt Policy).
L’IA non si installa: si governa
È ormai impensabile considerare l’intelligenza artificiale come un semplice software da installare, poiché essa modifica profondamente le modalità di organizzazione del lavoro, di circolazione delle informazioni e di assunzione delle decisioni.
Il principale avvertimento del Garante sembra infatti ribadire che la conformità normativa dipende soprattutto dal modello organizzativo costruito intorno alla tecnologia che si sceglie, non soltanto dagli strumenti che si decidono di adottare.
Il Garante richiama dunque l’attenzione sulla capacità dell’organizzazione di impedire che l’intelligenza artificiale diventi, anche indirettamente, uno strumento di sorveglianza dei lavoratori.
Per adottare ChatGPT Enterprise, le aziende sono dunque chiamate a dimostrare di aver progettato un reale sistema di governance capace di coniugare innovazione, tutela dei lavoratori e protezione dei diritti fondamentali.
Se ciò non avviene, il rischio è che dietro il linguaggio rassicurante della digital transformation si celi una tecnologia capace di fare molto più che efficientare produttività e risorse: monitorare indirettamente i lavoratori, concentrare enormi quantità di informazioni strategiche in un unico ecosistema digitale e affidare agli algoritmi valutazioni sempre più pervasive.
Tutto ciò senza che l’organizzazione abbia realmente compreso e governato le implicazioni giuridiche, organizzative e di sicurezza che ne derivano: una contraddizione evidente, dato che non si può parlare di trasformazione digitale dato che non si può parlare di trasformazione digitale se manca proprio la capacità di governarne consapevolmente i rischi.
Partecipa alla community