Chatbot AI, GDPR e AI Act: cosa deve fare il sito di un'azienda

Un chatbot AI sul sito di un'azienda nell'Unione europea deve rispettare due gruppi di regole. Per l'AI Act europeo, i visitatori devono sapere che stanno parlando con un'AI, al più tardi alla prima interazione, e questo vale dal 2 agosto 2026. Per il GDPR, quello che i visitatori scrivono spesso contiene dati personali, quindi ti servono una base giuridica, un'informativa privacy che parli della chat, un periodo di conservazione e un accordo con il fornitore AI che tratta i messaggi.

Questa guida spiega ogni obbligo con parole semplici e si chiude con una checklist. Sono informazioni generali per piccole aziende, non una consulenza legale: per il tuo caso specifico, confrontati con il tuo consulente privacy, il tuo DPO o un avvocato.

Cosa chiede l'AI Act a un chatbot

L'AI Act (Regolamento (UE) 2024/1689) riguarda molti tipi di intelligenza artificiale. Per una chat di assistenza clienti su un sito, l'obbligo che conta è la trasparenza, all'articolo 50.

• Cosa: l'articolo 50, paragrafo 1, stabilisce che i sistemi di AI destinati a interagire direttamente con le persone devono essere progettati in modo che le persone interessate siano informate del fatto di interagire con un sistema di AI.
• Quando: l'articolo 50, paragrafo 5, stabilisce che questa informazione va fornita in modo chiaro e distinguibile, al più tardi al momento della prima interazione, e deve rispettare i requisiti di accessibilità applicabili.
• Da quando: l'articolo 50 si applica dal 2 agosto 2026. La Commissione europea conferma la data nelle sue FAQ sugli obblighi di trasparenza dell'articolo 50. Il periodo di tolleranza fino al 2 dicembre 2026 citato lì riguarda la marcatura dei contenuti generati dall'AI, non l'avviso del chatbot.
• Eccezione: l'obbligo non si applica quando per una persona ragionevolmente informata e attenta è ovvio che sta parlando con un'AI. Un fumetto della chat con un nome simpatico e una foto non lo rende ovvio. Non contare su questa eccezione per una chat di assistenza.
• Sanzioni: le FAQ della Commissione indicano che le sanzioni possono arrivare a 15 milioni di euro o al 3% del fatturato mondiale annuo. I controlli spettano alle autorità nazionali di vigilanza del mercato: in Italia la legge 132/2025 ha affidato questo ruolo all'Agenzia per la cybersicurezza nazionale (ACN).

Formalmente l'articolo 50, paragrafo 1, si rivolge al fornitore del sistema di AI. I tuoi visitatori, però, vedono solo il tuo sito. Chiunque abbia realizzato la chat, verifica tu stesso che l'avviso compaia sul tuo sito prima del primo messaggio.

Com'è fatto un buon avviso AI

Breve, visibile prima che il visitatore scriva e onesto sui limiti. Per esempio: "Stai parlando con un assistente automatico, non con una persona. Risponde usando i documenti di questa organizzazione, e può sbagliare." Aggiungi per quanto tempo si conserva la conversazione e un link alla tua informativa privacy. Traducilo in ogni lingua del tuo sito.

Chatbot AI e GDPR: le quattro cose da sistemare

In una chat le persone scrivono nomi, numeri d'ordine, indirizzi email e a volte molto di più. Questo rende la conversazione un dato personale e la tua azienda il titolare del trattamento: chi decide perché e come vengono trattati i dati.

1. Una base giuridica

Il GDPR (Regolamento (UE) 2016/679) elenca sei basi giuridiche: consenso, contratto, obbligo legale, interesse pubblico, interessi vitali e legittimo interesse. Il consenso non è l'unica strada. Per rispondere alle domande che clienti e potenziali clienti scelgono di fare, il contratto o il legittimo interesse possono essere più adatti, ma il legittimo interesse ti obbliga a verificare che i diritti delle persone non vengano toccati in modo serio. Decidi su quale base ti appoggi e mettilo per iscritto.

2. Un'informativa privacy che parli della chat

La Commissione europea elenca le informazioni che devi dare alle persone (pagina in inglese) quando raccogli i loro dati. Per una chat, la tua informativa privacy dovrebbe dire almeno:

• che il sito ha un assistente di chat automatico e a cosa serve;
• quali dati tratta (i messaggi, e qualsiasi altra cosa salvi insieme a loro);
• la tua base giuridica;
• per quanto tempo si conservano le conversazioni;
• chi riceve i messaggi (il tuo fornitore AI e ogni altro servizio coinvolto);
• se i dati escono dall'UE, e su quale base;
• i diritti delle persone, tra cui accesso, cancellazione e reclamo all'autorità di controllo, in Italia il Garante per la protezione dei dati personali.

Collega l'informativa privacy dalla chat stessa, accanto all'avviso AI.

3. Un periodo di conservazione

L'indicazione della Commissione è che i dati vanno conservati per il tempo più breve possibile, con termini stabiliti per cancellarli o riesaminarli. Rileggere le vecchie conversazioni è utile per migliorare le risposte, ma per questo di solito bastano poche settimane o pochi mesi. Scegli un numero di giorni, scrivilo nell'informativa e assicurati che la cancellazione avvenga davvero in automatico. Tenere le chat "finché qualcuno si ricorda di fare pulizia" è l'errore più facile da evitare.

4. Il fornitore AI: accordo sul trattamento e trasferimenti

L'azienda la cui AI scrive le risposte riceve ogni messaggio. Per il GDPR è il tuo responsabile del trattamento, e la Commissione spiega che lavorare con un responsabile del trattamento richiede un contratto (pagina in inglese). La maggior parte dei fornitori AI offre un accordo sul trattamento dei dati (DPA, Data Processing Agreement) nelle impostazioni dell'account o nelle condizioni d'uso. Accettalo o firmalo prima che la chat vada online.

Se il fornitore tratta i dati fuori dall'UE, il DPA dovrebbe indicare quale meccanismo di trasferimento usa. Per gli Stati Uniti spesso è l'EU-US Data Privacy Framework (per le aziende certificate, sulla base della decisione di adeguatezza della Commissione del 10 luglio 2023) oppure le clausole contrattuali standard della Commissione. Se preferisci che il trattamento resti nell'UE, alcuni fornitori lo offrono; la nostra guida su quale AI scegliere per il chatbot del sito confronta le opzioni.

Una checklist pratica per la chat del tuo sito

1. La chat mostra un avviso AI sopra il primo messaggio, in ogni lingua del sito.
2. L'avviso ha un link alla tua informativa privacy.
3. La tua informativa privacy ha una sezione sulla chat: finalità, dati, base giuridica, conservazione, destinatari, trasferimenti, diritti.
4. Hai accettato o firmato il DPA del tuo fornitore AI (e di ogni secondo servizio, per esempio quello che costruisce l'indice di ricerca).
5. Le conversazioni vengono cancellate in automatico dopo un numero di giorni stabilito.
6. Non conservi più del necessario: niente indirizzi IP o tracciamenti aggiuntivi senza un motivo.
7. La chat risponde solo dai tuoi documenti, quindi non può promettere cose che la tua azienda non ha mai detto.
8. Quando non sa rispondere, indica un modo per arrivare a una persona.
9. Se qualcuno lo chiede, riesci a trovare e cancellare le sue conversazioni.
10. Qualcuno legge ogni tanto le conversazioni e sa cosa fare se un visitatore condivide dati sensibili.

Come fare: a mano, con uno strumento generico o con Answer Desk

A mano o con un chatbot generico

Buona parte della checklist è scrittura e burocrazia: la sezione dell'informativa, il DPA, la base giuridica. Quelle toccano a te, qualunque strumento usi. Le voci tecniche (avviso prima del primo messaggio, cancellazione automatica, ricerca delle chat di una persona) dipendono dal chatbot. Prima di sceglierne uno, chiedi al fornitore: l'avviso AI si può nascondere per errore? Dove vengono salvate le conversazioni, e posso impostare un periodo di cancellazione? Chi riceve i messaggi, e dove?

Con Answer Desk su WordPress

Answer Desk è il nostro plugin WordPress per una chat di assistenza che risponde dai tuoi documenti. Gestisce la parte tecnica della chat anche nella versione gratuita, in Answer Desk > Regole e privacy:

• Avviso AI: compare sopra il primo messaggio e non si può spegnere, solo riformulare in Le tue parole. La frase sulla conservazione e il link alla privacy vengono aggiunti in automatico; Quello che i visitatori leggono adesso: mostra il testo finale.
• Conservazione: Cancellale dopo imposta il numero di giorni (predefinito 90). La cancellazione avviene una volta al giorno e toglie davvero i dati. La versione gratuita applica al massimo 30 giorni; con una licenza vale il numero che hai scelto.
• Nessun indirizzo IP salvato: per limitare i messaggi per visitatore, conserva un'impronta a senso unico che riconosce un visitatore per un'ora.
• Responsabili del trattamento: una tabella elenca il tuo fornitore AI, il fornitore dell'indice e il tuo sito stesso, con cosa riceve ciascuno e dove tratta i dati.
• Strumenti privacy di WordPress: suggerisce un paragrafo "Assistente di chat automatico" in Impostazioni > Privacy e funziona con Strumenti > Esporta dati personali e Strumenti > Elimina dati personali (che trovano, tramite l'indirizzo email, le conversazioni dei visitatori che avevano fatto accesso).

Il riquadro A che punto sei mostra una spunta o un punto esclamativo per cinque voci. È una lista di controllo, non un certificato: firmare il DPA con il tuo fornitore AI e citare la chat nella tua informativa privacy restano compiti tuoi. La spiegazione completa è in Avviso IA, privacy e limiti, e Leggi ed esporta le conversazioni spiega come leggere e cancellare le singole chat.

Errori comuni

• Un avviso solo nel footer o nella pagina privacy. L'AI Act lo chiede alla prima interazione, quindi il suo posto è nella chat.
• Un nome e una foto da persona vera senza nessun avviso. È esattamente il caso a cui mira la regola sulla trasparenza.
• Conservare ogni conversazione per sempre "per l'addestramento" o "non si sa mai".
• Lasciare che l'AI risponda con conoscenze generali. Non è un problema di GDPR, ma un prezzo o una data di consegna inventati sono la tua azienda che parla.
• Dimenticare il secondo fornitore. Se un servizio scrive le risposte e un altro costruisce l'indice di ricerca, sono responsabili del trattamento entrambi.

In sintesi: a chi serve cosa

Ogni azienda dell'UE con una chat AI sul sito ha bisogno dell'avviso AI prima del primo messaggio (dal 2 agosto 2026) e di un assetto GDPR: base giuridica, un'informativa privacy che copra la chat, un periodo di conservazione e un DPA con il fornitore AI. Se hai già un chatbot, controlla per prima cosa l'avviso e il periodo di cancellazione, perché sono le due voci che mancano più spesso. Se devi sceglierne uno, prendi uno strumento che renda impossibile nascondere l'avviso e cancelli da solo le vecchie chat, poi dedica il tuo tempo alle pratiche che solo tu puoi fare. Per capire come la chat trova le sue risposte, leggi chatbot AI addestrati sui tuoi documenti.