GDPR e Chatbot AI: Privacy e Compliance | Guida Completa 2026
Victor Gobbetti
CEO V Digital
Un chatbot AI che gestisce conversazioni con i clienti raccoglie dati personali e deve rispettare il GDPR. In questa guida completa scoprirai quali obblighi si applicano, come mostrare l'informativa privacy, gestire i consensi, configurare la data retention e rispondere alle richieste degli interessati, con esempi pratici per ecommerce e settore sanitario.
Il GDPR si applica al chatbot perché raccoglie dati personali degli utenti: anche solo il testo della conversazione può contenere informazioni personali. Il titolare del trattamento è l'azienda che usa il chatbot, non il provider tecnologico. Implementare la compliance GDPR correttamente protegge l'azienda da sanzioni e aumenta la fiducia degli utenti nel servizio.
GDPR Applicato ai Chatbot: Le Basi Legali
Ogni trattamento di dati personali deve avere una base legale (art. 6 GDPR). Per i chatbot, le basi legali più comunemente applicabili sono:
Contratto (art. 6.1.b)
Il trattamento è necessario per fornire il servizio richiesto dall'utente. Applicabile quando il chatbot gestisce richieste di supporto per clienti esistenti o elabora prenotazioni.
Interesse Legittimo (art. 6.1.f)
Applicabile per migliorare la qualità del servizio analizzando le conversazioni in forma aggregata. Richiede una valutazione di bilanciamento degli interessi (LIA).
Consenso (art. 6.1.a)
Necessario per trattamenti non strettamente indispensabili all'erogazione del servizio: profilazione, marketing, cookie analitici. Il consenso deve essere libero, specifico, informato e revocabile.
Quali Dati Raccoglie un Chatbot
Prima di impostare la compliance, è fondamentale mappare accuratamente tutti i dati che il chatbot raccoglie, anche quelli meno ovvi.
| Tipo di dato | Esempi | Dato personale? | Dato sensibile? |
|---|---|---|---|
| Testo conversazione | Messaggi dell'utente in chiaro | Sì | Dipende |
| Dati di contatto | Nome, email, telefono (se forniti) | Sì | No |
| Dati tecnici | IP, browser, dispositivo, visitor_id | Sì | No |
| Metadati sessione | Timestamp, durata, canale, URL pagina | Indiretto | No |
| Dati sanitari (se condivisi) | Sintomi, diagnosi, farmaci | Sì | Sì (art. 9) |
| Dati finanziari (se condivisi) | Informazioni su fatture, pagamenti | Sì | No (in sé) |
Informativa Privacy nel Widget Chatbot: Come e Quando
Il GDPR richiede che l'informativa privacy venga fornita prima o al momento della raccoltadei dati. Per un chatbot, esistono due approcci principali:
Approccio 1: Banner di Apertura
Al primo avvio della chat, il widget mostra un messaggio che include il link all'informativa privacy. L'utente deve accettare prima di poter iniziare la conversazione.
Esempio testo:
"Prima di iniziare, ti informiamo che questa chat raccoglie i tuoi messaggi per fornirti assistenza. Leggi la nostra Privacy Policy. Continuando accetti il trattamento dei tuoi dati per finalità di supporto."
Approccio 2: Link nel Footer del Widget
Il link all'informativa è sempre visibile nel footer del widget chatbot. Meno intrusivo, adatto quando la base legale è il contratto o l'interesse legittimo (non serve consenso esplicito per ogni apertura).
Requisito minimo:
Il link deve essere ben visibile (non nascosto), portare a un documento completo e specifico per il chatbot, non solo alla generica privacy policy del sito.
Attenzione: Dati Particolari
Se il chatbot opera in ambito sanitario, legale o finanziario, gli utenti potrebbero condividere dati sensibili (art. 9 GDPR). In questo caso è necessario il consenso esplicito prima dell'inizio della conversazione, con specifica indicazione del tipo di dati e delle finalità di trattamento. Scopri come gestiamo la compliance per gli studi medici a Verona.
Data Retention: Per Quanto Tempo Conservare i Log
Il GDPR stabilisce il principio di limitazione della conservazione: i dati non vanno tenuti oltre il necessario. Per i chatbot, la policy di retention dipende dalla finalità del trattamento.
| Finalità | Retention consigliata | Motivazione |
|---|---|---|
| Supporto cliente attivo | 3-6 mesi | Gestione follow-up e reclami nel breve termine |
| Miglioramento qualità AI | 6-12 mesi | Ottimizzazione knowledge base e prompt |
| Adempimenti legali / contrattuali | Fino a 10 anni | Obblighi fiscali e contrattuali specifici del settore |
| Analisi aggregate anonimizzate | Indefinito | Dati anonimi non soggetti al GDPR (considerando 26) |
Best Practice: Cancellazione Automatica
Configura il sistema chatbot per cancellare o anonimizzare automaticamente le conversazioni al termine del periodo di retention. Questo riduce il rischio di data breach e semplifica la gestione delle richieste di cancellazione.
Diritto alla Cancellazione: Come Gestirlo
Il diritto all'oblio (art. 17 GDPR) permette agli interessati di chiedere la cancellazione dei propri dati. L'azienda ha 30 giorni per rispondere.
Ricezione della richiesta
L'utente invia richiesta scritta via email o modulo dedicato. Registrare data e ora di ricezione per il rispetto del termine di 30 giorni.
Verifica dell'identità
Confermare che chi fa la richiesta sia effettivamente il soggetto interessato (chiedere un documento o verifica via email già registrata).
Cancellazione o anonimizzazione
Cancellare o anonimizzare le conversazioni nel sistema chatbot. Comunicare la richiesta al provider (data processor) per garantire cancellazione anche nei backup.
Verifica sub-responsabili
Se i dati sono stati condivisi con sistemi integrati (CRM, ERP), garantire la cancellazione anche in quei sistemi secondo il DPA stipulato.
Risposta all'interessato
Confermare per iscritto l'avvenuta cancellazione entro 30 giorni dalla richiesta, indicando cosa è stato cancellato e cosa eventualmente conservato per obblighi di legge.
Data Processing Agreement (DPA) con il Provider
Il provider del chatbot è un responsabile del trattamento (data processor). Il GDPR obbliga a stipulare con lui un Data Processing Agreement (DPA) che regoli le modalità di trattamento dei dati.
Cosa Deve Contenere il DPA
Checklist GDPR Compliance per il Chatbot
Misure Legali e Documentali
- Informativa privacy aggiornata con sezione chatbot
- DPA firmato con il provider chatbot
- Registro dei trattamenti aggiornato (art. 30)
- Base legale identificata per ogni tipo di trattamento
- Procedura interna per gestire richieste degli interessati
Misure Tecniche
- Crittografia in transito (TLS 1.3) e a riposo (AES-256)
- Accesso ai dati con autenticazione a due fattori
- Cancellazione automatica dopo il periodo di retention
- Log degli accessi ai dati delle conversazioni
- Procedure di data breach (notifica entro 72h al Garante)
Domande Frequenti: GDPR e Chatbot
Il chatbot deve rispettare il GDPR?
Sì. Ogni chatbot che raccoglie dati personali (anche solo il testo delle conversazioni) è soggetto al GDPR. Il titolare del trattamento è l'azienda che usa il chatbot. È necessario indicare una base legale, informare gli utenti e rispettare i loro diritti.
Devo mostrare un banner cookie per il chatbot?
Dipende: se il chatbot usa solo cookie tecnici necessari, no. Se usa cookie analitici o di profilazione, sì. Verificare con il proprio DPO quali cookie vengono effettivamente impostati dal widget.
Per quanto tempo si conservano le conversazioni?
Non c'è un termine obbligatorio specifico per legge. Per supporto: 3-6 mesi. Per miglioramento AI: 6-12 mesi. Per obblighi legali/contrattuali: fino a 10 anni. I dati anonimi non hanno limite (non sono dati personali ai sensi GDPR).
Come gestire la richiesta di cancellazione dati?
L'azienda ha 30 giorni per rispondere. Il processo include: verifica identità dell'interessato, cancellazione/anonimizzazione nel sistema chatbot, comunicazione al provider e ai sistemi integrati, conferma scritta all'interessato.
Chi è il titolare del trattamento dati nel chatbot?
L'azienda che usa il chatbot (es. lo studio medico, l'hotel). Il provider del chatbot è il responsabile del trattamento (data processor). È obbligatorio stipulare un DPA che definisca misure di sicurezza, sub-responsabili e procedure di breach.
Quali dati personali raccoglie un chatbot?
Testo delle conversazioni (potenzialmente con dati sensibili), dati di contatto se forniti (nome, email, telefono), dati tecnici (IP, browser, visitor_id) e metadati di sessione (timestamp, canale, URL). Tutti devono essere indicati nell'informativa privacy.
Chatbot GDPR Compliant by Design
V Support è progettato con la privacy by design. DPA incluso nel contratto, data retention configurabile, cancellazione automatica e strumenti per la gestione dei diritti degli interessati.
Server europei (UE) certificati ISO 27001
DPA pre-firmato incluso nell'onboarding
Crittografia end-to-end TLS 1.3 + AES-256
Ti è piaciuto questo articolo? Condividilo:
Victor Gobbetti
CEO V Digital
Esperto di intelligenza artificiale e automazione aziendale. Aiuto le aziende italiane a sfruttare l'AI per migliorare il customer service e aumentare l'efficienza operativa.
Pronto a implementare un Chatbot AI?
Scopri come V Support può automatizzare il tuo customer service. Demo gratuita di 30 minuti.