![\"\"](\"https:\/\/userbot.ai\/blog\/wp-content\/uploads\/2026\/09\/Quasi-1-dipendente-su-2-usa-gia-lAI-generativa-edited-1200x764.png\")
<\/figure>\n\n\n\nil 92% di tutto l’uso aziendale di AI si concentra su un solo strumento: ChatGPT<\/strong><\/p>\n\n\n\n il 67% di quell’uso passa da account personali non gestiti<\/strong><\/p>\n\n\n\n Quindi, prima ancora di chiedersi se adottare ChatGPT o un’altra piattaforma, molte organizzazioni dovrebbero capire come l’AI viene gi\u00e0 utilizzata al proprio interno.<\/p>\n\n\n\n Non \u00e8 solo una questione di cybersecurity.<\/strong> Entrano in gioco protezione dei dati, propriet\u00e0 intellettuale, controllo degli accessi, qualit\u00e0 degli output, conformit\u00e0 normativa e capacit\u00e0 dell’azienda di ricostruire come \u00e8 stato prodotto un determinato contenuto.<\/p>\n\n\n\n In questo articolo mettiamo in fila che cosa comporta avere ChatGPT in azienda (o un altro AI provider) senza una strategia esplicita: cosa distingue un account personale da un contratto aziendale, quali sono i rischi concreti, cosa chiedono oggi GDPR e AI Act a chi usa l’AI senza svilupparla, e quali decisioni conviene prendere prima di scrivere una policy.<\/p>\n\n\n\n Dal punto di vista dell’utente, la differenza pu\u00f2 sembrare minima. L’interfaccia \u00e8 la stessa, il modello pu\u00f2 essere lo stesso e anche il risultato ottenuto pu\u00f2 essere molto simile.<\/p>\n\n\n\n Per l’azienda cambia invece quasi tutto: conta sapere se i contenuti inseriti vengono utilizzati per migliorare o addestrare i modelli, per quanto tempo vengono conservati, dove vengono trattati e quali soggetti possono accedervi. Se vengono trattati dati personali<\/strong>, bisogna anche capire quale rapporto contrattuale esiste con il fornitore e se sono previsti trasferimenti fuori dall’Unione Europea.<\/p>\n\n\n\n C’\u00e8 poi un problema molto pi\u00f9 pratico: chi controlla l’account<\/strong>.<\/p>\n\n\n\n Se un dipendente utilizza un account personale, l’organizzazione non pu\u00f2 normalmente revocarlo quando la persona cambia ruolo o lascia l’azienda, non pu\u00f2 applicare le proprie politiche di autenticazione e non ha visibilit\u00e0 sulla cronologia delle conversazioni.<\/p>\n\n\n\n \u00c8 qui che il tema smette di essere \u201cquale modello \u00e8 migliore?\u201d e diventa una questione di governance<\/strong>.<\/p>\n\n\n\n Vediamo meglio i rischi dell’uso dell’AI in azienda senza strategia.<\/p>\n\n\n\n Usare un assistente AI significa quasi sempre fornirgli del contesto<\/a>.<\/p>\n\n\n\n \u00c8 proprio ci\u00f2 che lo rende utile.<\/p>\n\n\n\n Per migliorare una proposta commerciale bisogna incollare almeno una parte della proposta. Per riassumere un contratto bisogna caricare il contratto. Per farsi aiutare su un problema software \u00e8 facile finire per condividere porzioni di codice, configurazioni o log.<\/p>\n\n\n\n Secondo il LayerX Enterprise AI & SaaS Data Security Report 2025<\/a>, il 77% dei dipendenti che utilizza questi strumenti inserisce informazioni aziendali nei prompt <\/strong>e gran parte di questi passaggi avviene attraverso account personali.<\/p>\n\n\n\n Non significa che ogni utilizzo sia necessariamente pericoloso. Significa per\u00f2 che l’azienda dovrebbe decidere quali informazioni possono essere condivise e quali devono rimanere all’interno del proprio perimetro.<\/p>\n\n\n\n Listini riservati, contratti, dati dei clienti, informazioni sui dipendenti, codice sorgente o documentazione interna non possono essere trattati allo stesso modo di un comunicato stampa gi\u00e0 pubblicato sul sito.<\/p>\n\n\n\n Senza regole e strumenti adeguati, questa distinzione viene lasciata alla sensibilit\u00e0 del singolo utente.<\/p>\n\n\n\n Basta poco perch\u00e9 un prompt contenga dati personali.<\/p>\n\n\n\n Un nome in una mail, un curriculum da sintetizzare, una conversazione con un cliente, un ticket di assistenza o un documento amministrativo possono essere sufficienti.<\/p>\n\n\n\n In questi casi l’organizzazione rimane responsabile del trattamento<\/strong> e deve poter spiegare perch\u00e9 quei dati vengono trattati, da chi, con quali misure di sicurezza e sulla base di quale rapporto con il fornitore.<\/p>\n\n\n\n Con uno strumento utilizzato autonomamente tramite un account personale, ricostruire queste informazioni pu\u00f2 diventare molto difficile.<\/p>\n\n\n\n Le sanzioni previste dall’articolo 83 del GDPR<\/strong> possono arrivare fino a 20 milioni di euro o al 4% del fatturato mondiale annuo. Ma nella gestione quotidiana il problema pu\u00f2 manifestarsi molto prima: per esempio quando un cliente chiede dove vengono trattati i propri dati oppure quando un audit richiede di documentare quali strumenti vengono utilizzati dall’organizzazione.<\/p>\n\n\n\n Le aziende hanno investito negli ultimi anni in Single Sign-On, autenticazione multifattore, gestione centralizzata degli utenti e procedure di revoca degli accessi.<\/p>\n\n\n\n Un account personale pu\u00f2 bypassare tutto questo.<\/p>\n\n\n\n Le conversazioni possono restare associate a un indirizzo privato, gli accessi non seguono necessariamente le policy aziendali e l’azienda pu\u00f2 non avere alcuna possibilit\u00e0 di intervenire se il rapporto con quella persona termina.<\/p>\n\n\n\n Un’attenzione particolare va riservata anche alle estensioni del browser basate su AI. Alcune, per offrire funzioni contestuali, richiedono permessi molto ampi sulle pagine visitate. Questo pu\u00f2 significare accesso a CRM, gestionali, piattaforme amministrative o altri sistemi aziendali aperti nel browser.<\/p>\n\n\n\n Un testo generato da ChatGPT pu\u00f2 sembrare perfettamente plausibile e, nella maggior parte dei casi d’uso quotidiani, questo \u00e8 sufficiente.<\/p>\n\n\n\n La situazione cambia quando quel testo entra in un processo aziendale.<\/strong><\/p>\n\n\n\n Una risposta a un cliente, una procedura interna, una parte di un’offerta o un documento destinato a una gara possono richiedere qualcosa in pi\u00f9 della semplice plausibilit\u00e0.<\/p>\n\n\n\n Bisogna poter ricostruire almeno quali informazioni sono state utilizzate, quali fonti hanno contribuito alla risposta e quale sistema ha generato il risultato.<\/p>\n\n\n\n Se tutto \u00e8 avvenuto all’interno di una conversazione personale, queste informazioni possono non essere disponibili all’organizzazione.<\/p>\n\n\n\n \u00c8 il motivo per cui, nei sistemi che portiamo in produzione, insistiamo tanto sulla osservabilit\u00e0 e sulla citazione delle fonti<\/a>: non \u00e8 un vezzo tecnico, \u00e8 ci\u00f2 che rende un output difendibile.<\/p>\n\n\n\n La diffusione non coordinata dell’AI produce spesso una situazione curiosa: l’azienda pensa di non avere ancora investito nell’intelligenza artificiale, mentre in realt\u00e0 sta gi\u00e0 pagando diversi strumenti.<\/p>\n\n\n\n Un abbonamento viene rimborsato a un dipendente, un altro viene acquistato direttamente da un reparto, un terzo viene inserito nella carta aziendale.<\/p>\n\n\n\n Il problema non \u00e8 soltanto economico.<\/p>\n\n\n\n Ogni gruppo finisce per costruire il proprio modo di lavorare, spesso utilizzando strumenti diversi per svolgere attivit\u00e0 molto simili. Ci\u00f2 che funziona in un reparto rimane confinato l\u00ec e l’organizzazione perde la possibilit\u00e0 di standardizzare processi, competenze e automazioni.<\/p>\n\n\n\n In altre parole, l‘AI viene adottata comunque, ma senza beneficiare delle economie di scala che dovrebbe creare.<\/strong><\/p>\n\n\n\n Un equivoco diffuso \u00e8 che l’AI Act riguardi i fornitori di tecnologia. Una parte degli obblighi ricade invece sugli utilizzatori<\/strong>, cio\u00e8 su qualunque organizzazione che usi sistemi di AI nella propria attivit\u00e0. Ecco il quadro aggiornato a settembre 2026, dopo le modifiche introdotte dal Regolamento (UE) 2026\/1744<\/a>, il Digital Omnibus sull’IA entrato in vigore a fine luglio 2026.<\/p>\n\n\n\n Il quadro normativo \u00e8 in movimento e va verificato alla data in cui prendete le vostre decisioni, ma la direzione \u00e8 chiara e non dipende dai rinvii: l’onere della prova sta su chi usa l’AI<\/strong>. Un’organizzazione che non sa quali sistemi vengono usati al suo interno non pu\u00f2 documentare nulla. In Italia, secondo l’Osservatorio Artificial Intelligence del Politecnico di Milano<\/a>, oltre un’azienda su due ha avviato iniziative di alfabetizzazione, ma solo il 15% ha in corso un progetto strutturato di adeguamento.<\/p>\n\n\n\n \ud83d\udea9 Red flag:<\/strong> se alla domanda “quali sistemi di AI usa la nostra organizzazione?” non esiste un elenco scritto e aggiornato, nessuna delle misure previste dall’AI Act \u00e8 dimostrabile, indipendentemente da quanto sia ben scritta la vostra policy.<\/p>\n<\/blockquote>\n\n\n\n Quando un’organizzazione prende consapevolezza del fenomeno, la prima reazione \u00e8 spesso scrivere una policy.<\/p>\n\n\n\n \u00c8 comprensibile, ma rischia di essere il punto di partenza sbagliato.<\/p>\n\n\n\n Prima sarebbe utile fotografare ci\u00f2 che succede gi\u00e0 oggi: quali strumenti vengono utilizzati, da quali persone o reparti, tramite quali account e soprattutto con quali categorie di dati.<\/p>\n\n\n\n Solo a quel punto diventa possibile stabilire regole realistiche.<\/p>\n\n\n\n Una buona governance dovrebbe chiarire almeno quali informazioni non possono essere inserite in strumenti esterni, quali sistemi sono autorizzati, come devono essere gestite le identit\u00e0 e quali attivit\u00e0 richiedono una verifica umana prima che l’output venga utilizzato.<\/p>\n\n\n\n Non tutte le attivit\u00e0, infatti, presentano lo stesso livello di rischio.<\/p>\n\n\n\n Chiedere a un modello di sintetizzare un articolo pubblico non \u00e8 equivalente a utilizzarlo per valutare un candidato, rispondere automaticamente a un cliente o elaborare informazioni riservate.<\/p>\n\n\n\n Anche la responsabilit\u00e0 deve essere chiara. Legal, IT, Security e HR possono contribuire alla definizione delle regole, ma serve qualcuno che abbia la responsabilit\u00e0 di tenere insieme il quadro.<\/p>\n\n\n\n E soprattutto deve esistere un’alternativa concreta.<\/p>\n\n\n\n Dire alle persone di non utilizzare strumenti personali funziona molto poco se l’organizzazione non mette a disposizione qualcosa che consenta di ottenere gli stessi benefici in modo controllato.<\/p>\n\n\n\n Passare dagli account personali a licenze aziendali \u00e8 un passo importante.<\/p>\n\n\n\n Permette di migliorare la gestione degli utenti, definire condizioni contrattuali pi\u00f9 adatte a un contesto professionale e ottenere maggiori garanzie sul trattamento dei dati.<\/p>\n\n\n\n Ma non equivale ancora a costruire una strategia AI.<\/p>\n\n\n\n Restano da decidere chi pu\u00f2 utilizzare determinati modelli, quali dati possono essere messi a disposizione, come collegare l’AI alla conoscenza interna, quali applicazioni e sistemi aziendali pu\u00f2 interrogare e come tracciare le attivit\u00e0 svolte.<\/p>\n\n\n\n Quando l’utilizzo cresce, la differenza tra \u201cavere alcune licenze AI\u201d e \u201cavere una piattaforma AI aziendale\u201d diventa sempre pi\u00f9 evidente.<\/p>\n\n\n\n No. Non esiste alcun divieto di usare strumenti di AI generativa al lavoro. Diventano problematici gli usi specifici: trattare dati personali senza base giuridica e senza un contratto adeguato con il fornitore, far uscire informazioni riservate, o impiegare l’AI in processi che rientrano tra quelli ad alto rischio senza le garanzie previste. La differenza la fa il come, non il se.<\/p>\n<\/details>\n\n\n\n Una policy \u00e8 necessaria ma non sufficiente. Se non \u00e8 accompagnata da uno strumento approvato, da controlli sugli accessi e da tracciabilit\u00e0 dell’uso, resta una dichiarazione d’intenti. Peggio ancora, una policy che vieta un uso che poi continua indisturbato crea una distanza documentata tra ci\u00f2 che l’azienda dichiara e ci\u00f2 che fa.<\/p>\n<\/details>\n\n\n\n Risolve la parte contrattuale, ma non risolve il resto. Restano aperti il governo dei permessi (chi pu\u00f2 usare cosa, su quali dati), l’accesso alla conoscenza aziendale, la tracciabilit\u00e0 degli output e il legame con i sistemi dove il lavoro avviene davvero. Molte organizzazioni scoprono a questo punto che serve una piattaforma, non un abbonamento.<\/p>\n<\/details>\n\n\n\n Dipende dal fornitore e dal piano, ed \u00e8 una delle quattro domande da porre prima. La localizzazione dei dati non \u00e8 solo una questione di conformit\u00e0 formale: determina quali autorit\u00e0 possono accedervi e con quali procedure. Abbiamo approfondito il tema in Data residency e data sovereignty in UE<\/a>.<\/p>\n<\/details>\n\n\n\n Da un censimento onesto dell’uso reale, seguito da una mappa dei dati e da un progetto pilota su un reparto con casi d’uso chiari. L’ordine conta: le organizzazioni che partono dalla policy senza aver misurato l’uso scrivono quasi sempre regole che non hanno nessun rapporto con quello che accade davvero.<\/p>\n<\/details>\n\n\n\n Per molte organizzazioni il primo passo non richiede un progetto enorme.<\/p>\n\n\n\n Serve innanzitutto capire cosa sta gi\u00e0 succedendo.<\/strong><\/p>\n\n\n\n Da l\u00ec si pu\u00f2 mappare quali dati vengono utilizzati, individuare i casi d’uso pi\u00f9 frequenti e scegliere un primo gruppo di persone con cui sperimentare un ambiente controllato.<\/p>\n\n\n\n La policy pu\u00f2 essere costruita sulla base di quello che emerge, invece di provare a prevedere a tavolino ogni possibile utilizzo dell’intelligenza artificiale.<\/p>\n\n\n\n \u00c8 una differenza importante.<\/p>\n\n\n\n L’obiettivo non dovrebbe essere impedire alle persone di utilizzare strumenti che migliorano concretamente il loro lavoro. Dovrebbe essere fare in modo che possano utilizzarli senza dover scegliere autonomamente, ogni volta, dove finisce la produttivit\u00e0 e dove comincia il rischio.<\/p>\n\n\n\n In molte aziende l’adozione dell’AI \u00e8 gi\u00e0 iniziata. Semplicemente \u00e8 avvenuta dal basso, una persona e un account alla volta.<\/p>\n\n\n\n Costruire una strategia AI significa riportare questa adozione dentro un perimetro aziendale: con strumenti gestiti, regole comprensibili, identit\u00e0 controllate e una visione comune su come l’intelligenza artificiale pu\u00f2 entrare nei processi.<\/p>\n\n\n\n Ed \u00e8 probabilmente questo il passaggio pi\u00f9 importante: non decidere se le persone debbano usare l’AI, ma creare le condizioni perch\u00e9 possano usarla bene.<\/p>\n\n\n\n \nParla con un esperto Userbot \u2192 \u00c8 gratuito<\/a>\n<\/p>\n\n\n\n![\"\"](\"https:\/\/userbot.ai\/blog\/wp-content\/uploads\/2026\/09\/Il-92-delluso-aziendale-dellAI-si-concentra-su-ChatGPT-edited-1200x747.png\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/userbot.ai\/blog\/wp-content\/uploads\/2026\/09\/2-utilizzi-su-3-passano-da-account-personali-edited-1200x746.png\")
<\/figure>\n\n\n\nUn account personale e un servizio aziendale non sono la stessa cosa<\/strong><\/h2>\n\n\n\n
1. Il primo rischio riguarda i dati<\/strong><\/h3>\n\n\n\n
![\"\"](\"https:\/\/userbot.ai\/blog\/wp-content\/uploads\/2026\/09\/Il-77-degli-utilizzatori-inserisce-informazioni-aziendali-nei-prompt-edited-1200x742.png\")
<\/figure>\n\n\n\n2. Quando entrano in gioco dati personali, il problema diventa anche GDPR<\/strong><\/h3>\n\n\n\n
3. Gli account personali creano anche un problema di sicurezza<\/strong><\/h3>\n\n\n\n
4. C’\u00e8 poi il problema di capire da dove arriva una risposta<\/strong><\/h3>\n\n\n\n
5. Anche i costi diventano difficili da vedere<\/strong><\/h3>\n\n\n\n
Cosa chiede l’AI Act a chi usa l’AI, non solo a chi la sviluppa<\/h2>\n\n\n\n
\n
\n
La policy dovrebbe arrivare dopo il censimento, non prima<\/h2>\n\n\n\n
Comprare licenze aziendali risolve solo una parte del problema<\/h2>\n\n\n\n
Da dove partire: le cinque decisioni da prendere<\/h2>\n\n\n\n
\n
FAQ: ChatGPT in azienda<\/h2>\n\n\n\n
Usare ChatGPT in azienda \u00e8 illegale?<\/strong><\/summary>\n
Basta una policy scritta per essere a posto?<\/strong><\/summary>\n
Se compriamo le licenze aziendali di uno strumento, il problema \u00e8 risolto?<\/strong><\/summary>\n
I nostri dati escono dall’Europa?<\/strong><\/summary>\n
Da dove si comincia se non abbiamo ancora nulla?<\/strong><\/summary>\n
Conclusione<\/h2>\n\n\n\n