GDPR e LLM: cosa può (e non può) fare chi tratta dati

Nel marzo 2023 il Garante italiano per la protezione dei dati personali fece qualcosa che nessuna autorità al mondo aveva ancora fatto: bloccò temporaneamente ChatGPT sul territorio nazionale. Non per i contenuti che generava, ma per come trattava i dati — informativa carente, base giuridica incerta per l’addestramento, nessuna verifica dell’età. Il servizio tornò online dopo qualche settimana di correzioni; a fine 2024 arrivò una sanzione da 15 milioni di euro a OpenAI, che il Tribunale di Roma ha poi fatto cadere accogliendo l’opposizione dell’azienda (sentenza n. 4153/2026, marzo 2026): secondo le motivazioni riportate dalla stampa giuridica, non nel merito ma per competenza, perché da quando OpenAI aveva una sede europea in Irlanda a decidere doveva essere l’autorità irlandese. Quell’episodio, spesso liquidato come una bizzarria italiana, poneva in realtà la domanda giusta: le regole europee sui dati personali, scritte prima dei grandi modelli linguistici, si applicano ai grandi modelli linguistici? La risposta è sì. Il difficile è capire come.

Il GDPR in una frase (e perché gli LLM lo stressano)

Il GDPR si regge su un’idea semplice: ogni trattamento di dati personali deve avere una finalità dichiarata, una base giuridica che lo autorizza e un perimetro proporzionato allo scopo. È il principio del biglietto del treno: valido per un viaggio, su quella tratta, non per andare ovunque per sempre.

Gli LLM stressano questo impianto in ogni punto. Il training raccoglie dal web enormi quantità di testo che contengono, inevitabilmente, dati personali — raccolti per finalità che non c’entrano nulla con l’addestramento di un modello. La minimizzazione dei dati convive male con l’appetito di corpora sempre più grandi. E i diritti degli interessati — sapere, correggere, cancellare — presuppongono un archivio da cui estrarre o rimuovere un record: ma un modello non è un archivio, è un insieme di pesi in cui l’informazione è diluita e non indirizzabile. Chiedere di cancellare un nome dai pesi di un modello è come chiedere di togliere un uovo da una torta già cotta.

Le basi giuridiche: il menù è corto

Chi tratta dati personali con un LLM — per addestrarlo, per metterlo a punto o semplicemente per farci passare dentro le richieste dei clienti — deve scegliere una base giuridica tra quelle dell’articolo 6. In pratica il menù si riduce a tre voci.

Il consenso è la via maestra sulla carta e la più fragile in pratica: dev’essere specifico, informato e revocabile, il che lo rende quasi inutilizzabile per il training su dati raccolti in massa. L’esecuzione di un contratto copre i casi in cui il trattamento serve al servizio richiesto: se l’utente chiede all’assistente di riassumere la propria email, trattarne il contenuto è parte della prestazione. Il legittimo interesse è la base su cui si gioca la partita vera: l’EDPB, il comitato dei garanti europei, in un parere di fine 2024 ha confermato che può reggere l’addestramento dei modelli — ma solo superando un test in tre passi: l’interesse dev’essere lecito, il trattamento necessario, e i diritti degli interessati non devono prevalere. Non è un timbro automatico: è un bilanciamento da documentare caso per caso.

Il flusso dei dati personali in un sistema basato su LLM: ogni passaggio richiede una base giuridica, e i diritti degli interessati non si spengono mai.

Il nodo dei diritti: correggere ciò che non si può indirizzare

Il punto più duro è il rapporto tra i diritti degli articoli 15-21 e la natura dei modelli. Se un LLM genera un’affermazione falsa su una persona reale, quella persona ha diritto alla rettifica — ma non esiste un campo del database da correggere. Le soluzioni oggi praticate sono pragmatiche: filtri in uscita che bloccano determinate generazioni, correzioni a livello di sistema (non di pesi), rimozione dei dati dai set di addestramento per le versioni future. L’EDPB, nello stesso parere, ha aggiunto un tassello importante: un modello addestrato su dati personali non è automaticamente «anonimo» solo perché i dati non sono più leggibili in chiaro — l’anonimità va dimostrata caso per caso, valutando quanto è plausibile estrarre informazioni sulle persone dal modello.

Un modello linguistico non è un archivio: è una torta già cotta. I diritti sulle uova vanno garantiti prima che finiscano nell’impasto, e all’uscita dal forno.

Chi è titolare di cosa: la catena delle responsabilità

L’azienda che usa un LLM via API su dati dei propri clienti è, quasi sempre, titolare del trattamento: decide finalità e mezzi, e risponde delle scelte. Il fornitore del modello, per quel trattamento, agisce tipicamente come responsabile — ed è per questo che il contratto conta più del marketing: serve un accordo sul trattamento dei dati (art. 28) che dica se i prompt vengono conservati, per quanto, se vengono usati per addestrare versioni future e dove risiedono i server. Se i dati escono dall’Unione, si aggiunge il capitolo dei trasferimenti extra-UE, con le sue garanzie specifiche.

Per i trattamenti su larga scala o su dati sensibili, la valutazione d’impatto (DPIA, art. 35) non è un optional: è lo strumento con cui si dimostra di aver pensato ai rischi prima, non dopo l’incidente. È la logica dell’accountability: non basta essere in regola, bisogna poterlo provare.

Che cosa può fare, in concreto, chi tratta dati con un LLM

Riassumendo il perimetro pratico:

• Si può usare un LLM su dati personali dei clienti, se il trattamento serve al servizio, l’informativa lo dice chiaramente e il contratto col fornitore regola conservazione e riuso dei prompt.
• Si può mettere a punto un modello su dati aziendali, con legittimo interesse documentato o consenso, minimizzando: spesso pseudonimizzare o filtrare i dati personali prima del fine-tuning costa poco e toglie gran parte del rischio.
• Non si può riusare per il training dati raccolti per tutt’altra finalità senza rifare i conti con base giuridica e informativa.
• Non si può ignorare una richiesta di cancellazione o rettifica «perché il modello non lo permette»: la difficoltà tecnica non estingue il diritto, impone soluzioni compensative.
• Non si dovrebbe incollare dati personali nei prompt di servizi consumer senza garanzie contrattuali: è la via più comune, e più banale, verso una violazione.

Perché vi riguarda: se lavorate con dati e modelli, il GDPR non è l’ostacolo che impedisce di usare gli LLM — è la lista di domande a cui dovrete comunque rispondere il giorno in cui un cliente, un DPO o un’autorità ve le farà. Rispondere prima, con un’informativa onesta, un contratto letto per intero e una DPIA dove serve, costa qualche giornata di lavoro. Rispondere dopo costa molto di più — e il precedente italiano dimostra che le autorità europee, sui modelli linguistici, le domande le fanno davvero.