Cosa non caricare su ChatGPT in azienda, e cosa usare al suo posto

«Posso caricare questo file su ChatGPT?» è la domanda che sentiamo più spesso quando si parla di AI in azienda. La risposta dipende da due cose: dal piano che stai usando e dal documento che hai in mano. Qui trovi cosa fa ChatGPT con i dati aziendali secondo le pagine di OpenAI, quali documenti non caricare, una lista di controllo e cosa usare al posto dell'account personale.

Cosa fa ChatGPT con i tuoi dati: dipende dal piano

OpenAI distingue i servizi per le persone dai servizi per le aziende. Le regole sono diverse, e la pagina del centro assistenza le riassume così (aggiornata a ottobre 2026).

Tre dettagli che contano:

• nei piani personali, se dai un giudizio a una risposta (pollice su o giù), l'intera conversazione può essere usata per l'addestramento anche se hai spento l'opzione;
• le chat temporanee non vengono usate per addestrare i modelli finché restano temporanee;
• nei piani aziendali il giudizio sulla risposta non autorizza l'addestramento, e l'amministratore può disattivarlo.

Quindi la frase «ChatGPT impara dai tuoi documenti» è vera per un account personale con le impostazioni di fabbrica e non lo è per un piano aziendale. In azienda il problema è un altro: molte persone usano l'account personale per lavoro, e nessuno controlla le impostazioni.

Dove sono i server di ChatGPT

Un documento caricato va sui server di OpenAI e dei suoi fornitori. OpenAI offre la «residenza dei dati» in Europa, cioè la conservazione nello Spazio economico europeo e in Svizzera, ma solo per i nuovi spazi di lavoro Enterprise ed Edu e per i clienti API idonei. La pagina non la prevede per i piani personali né per ChatGPT Business (a ottobre 2026).

Anche con la residenza attiva, alcune elaborazioni possono avvenire fuori dalla regione scelta: la pagina cita l'estrazione del testo dai file PDF e Word, l'instradamento delle richieste e le integrazioni esterne. Vale la pena saperlo prima di caricare una pratica di cento pagine.

Cosa non caricare su un account personale

La lista vale per ChatGPT e per ogni servizio online usato con un account personale, senza contratto aziendale. Non è una lista di divieti di legge: è quello che un'azienda prudente non manda a un servizio terzo di cui non controlla server, conservazione e accessi.

• Contratti con clienti e fornitori. Spesso contengono una clausola di riservatezza. Caricarli su un servizio esterno può violarla, a prescindere da cosa ne fa il servizio.
• Buste paga, cedolini, dati dei dipendenti. Sono dati personali, e dentro ci sono anche trattenute sindacali, assenze per malattia, pignoramenti. Alcuni rientrano nelle categorie particolari dell'articolo 9 del GDPR.
• Cartelle cliniche, referti, certificati medici. Dati sulla salute, i più protetti. Il Garante privacy ha lanciato un allarme proprio sui referti caricati nelle piattaforme di AI (30 luglio 2025): prima di caricare, leggi l'informativa per capire se i dati vengono cancellati, conservati o usati per addestrare gli algoritmi.
• Pratiche legali, atti, perizie, verbali. Dati di terzi e segreto professionale. Vale per gli studi, ma anche per l'ufficio legale di un'azienda.
• Documenti d'identità, codici fiscali, IBAN, firme. Dati che servono a frodi e furti d'identità, anche se il servizio è onesto.
• Password, chiavi di accesso, configurazioni dei sistemi. Un file di configurazione incollato «per farselo spiegare» è una password regalata.
• Bilanci non ancora pubblicati, offerte in gara, listini riservati, codice sorgente, invenzioni da brevettare. Segreti aziendali: una volta usciti, non rientrano.
• Email, chat e registrazioni di altre persone. Sono dati di terzi che non hanno scelto il servizio che stai usando.

Regola pratica: se non lo manderesti per email a uno sconosciuto, non lo caricare su un account personale.

Cosa puoi caricare, e come

• Informazioni già pubbliche. Il tuo sito, i listini pubblicati, i comunicati, le norme.
• Testi tuoi senza dati di altri. La bozza di una mail, una procedura interna, la descrizione di un prodotto.
• Documenti resi anonimi. Togli nomi, numeri, date e importi prima di incollare. Funziona per un paragrafo, non per una pratica di cento pagine.
• Chat temporanee per le domande occasionali: non vengono usate per l'addestramento, ma il testo viene comunque inviato ai server del fornitore.

Lista di controllo prima di caricare

Cinque domande. Se rispondi «sì» alla prima o alla seconda e «personale» alla terza, fermati.

1. Il documento contiene dati di altre persone: clienti, dipendenti, pazienti, controparti?
2. C'è una clausola di riservatezza, un segreto professionale o un segreto aziendale?
3. Sto usando un account personale o un piano aziendale con contratto?
4. Ho verificato nelle impostazioni che l'addestramento sia spento, e so che il giudizio sulle risposte lo riattiva?
5. So in quale Paese restano i dati, per quanto tempo, e chi presso il fornitore può leggerli?

Cosa usare al posto dell'account personale

Un piano aziendale del servizio online. Per i testi di tutti i giorni è il primo passo: l'addestramento è spento per impostazione predefinita, l'amministratore decide la conservazione, il fornitore firma un contratto da responsabile del trattamento. Prima di attivarlo controlla tre cose sulla pagina del fornitore: se i dati restano in Europa, chi del fornitore può leggere le conversazioni (OpenAI indica dipendenti autorizzati, per incidenti, abusi e obblighi di legge) e in quanti giorni vengono cancellate le chat eliminate.

Un'AI privata, per i documenti della lista. Contratti, buste paga, cartelle cliniche e pratiche non devono uscire dall'azienda per essere letti da un'AI. Con modelli aperti installati su un server in Italia, nella tua sede o in un data center, i documenti e le conversazioni restano su macchine tue o dedicate a te. Si creano assistenti con i documenti, gli strumenti e i permessi di ciascun reparto: ogni assistente legge solo i documenti che gli hai assegnato, e i permessi dicono chi può usarlo. Come un assistente risponde a partire dai documenti lo spieghiamo in RAG per chatbot. Come funziona in pratica: Un'AI privata che tiene contratti e pratiche in Italia →

Un assistente che risponde solo con quello che gli dai. Per rispondere ai clienti al telefono, su WhatsApp o in chat non serve caricare l'archivio: bastano orari, servizi e domande frequenti. L'assistente telefonico e l'assistente WhatsApp lavorano così, con le informazioni che hai scelto tu. Se vuoi capire cosa succede con i tuoi documenti, raccontaci il tuo caso.

Domande frequenti

Caricare documenti su ChatGPT è sicuro?

Dipende dal piano e dal documento. Con un account personale i contenuti possono servire ad addestrare i modelli, salvo che tu spenga l'opzione, e non puoi scegliere dove restano. Con un piano aziendale l'addestramento è spento per impostazione predefinita e l'amministratore controlla la conservazione; la residenza in Europa è prevista per Enterprise, Edu e API. Per i documenti della lista qui sopra, la risposta prudente è no in entrambi i casi, finché non hai un contratto che li copre o un'AI che resta da te.

Se spengo «Migliora il modello per tutti», ChatGPT è sicuro per i dati?

L'opzione riguarda solo l'addestramento. Il documento viene comunque inviato e conservato sui server del fornitore secondo le sue condizioni, e se dai un giudizio a una risposta la conversazione può essere usata lo stesso. Non cambia nemmeno il problema della clausola di riservatezza o del segreto professionale.

ChatGPT è privato? Chi può vedere le mie chat?

Nei piani aziendali, secondo la pagina di OpenAI: in Business gli amministratori dello spazio di lavoro possono vedere, esportare ed eliminare le conversazioni degli utenti; in Enterprise hanno un registro di audit. Dipendenti autorizzati di OpenAI e, per Business, fornitori terzi vincolati alla riservatezza possono accedere per assistenza, controlli sugli abusi e obblighi di legge. Per gli account personali vale l'informativa sulla privacy di OpenAI: leggila prima di usarli per lavoro.

Vale solo per ChatGPT?

No. Gli altri servizi online hanno lo stesso schema a due livelli: versione personale con regole sue e piani aziendali con contratto. Google, per esempio, scrive nella pagina sulla privacy dell'app Gemini di non inserire informazioni riservate che non vorresti far vedere a un revisore. Controlla sempre la pagina del fornitore e la data in cui è stata aggiornata.

Fonti: OpenAI, How your data is used to improve model performance (centro assistenza, aggiornato a ottobre 2026) · OpenAI, Privacy aziendale in OpenAI (8 gennaio 2026) · OpenAI, Data residency and inference residency for ChatGPT (aggiornato a ottobre 2026) · Garante privacy, Referti medici e IA, allarme del Garante privacy sui rischi di un uso scorretto (30 luglio 2025) · Google, Gemini Apps Privacy Hub (a ottobre 2026) · Regolamento (UE) 2016/679, articolo 9 (EUR-Lex).