In sintesi
- Il 47% dei lavoratori italiani usa strumenti di AI in azienda, ma solo il 19% di loro usa esclusivamente strumenti aziendali (Politecnico di Milano, 2026).
- Il problema non è la produttività: è che i dati aziendali escono già oggi, senza che nessuno sappia dove vanno.
- La residenza dei dati in Europa dipende dal fornitore e dal piano: non tutti i servizi la offrono.
- La soluzione che funziona è un’alternativa autorizzata, più regole e formazione.
Il dato che cambia la discussione
Di solito un GPT aziendale si giustifica con il tempo risparmiato. I dati del Politecnico di Milano suggeriscono un argomento più urgente: l’AI in azienda c’è già. Otto utilizzatori su dieci usano, almeno in parte, strumenti che l’azienda non ha mai fornito. Contratti, offerte, dati dei clienti e disegni tecnici vengono incollati in chatbot con account personali, con condizioni d’uso che nessuno in azienda ha letto.
Il tema non è solo tecnico. Il Garante Privacy ha inserito l’intelligenza artificiale tra le aree del piano ispettivo 2026, e la Legge 132/2025 chiede ai datori di lavoro di informare per iscritto i lavoratori sui sistemi di AI usati nei processi in cui sono coinvolti.
Dove vengono elaborati i dati
“Il fornitore è conforme al GDPR” non dice dove avviene l’elaborazione. La situazione a fine settembre 2026:
| Servizio | Dati in Europa |
|---|---|
| ChatGPT Enterprise / Edu (OpenAI) | Dati a riposo in Europa per i nuovi workspace; elaborazione in Europa disponibile per i clienti idonei. |
| API OpenAI | Progetti configurati in Europa elaborano le richieste nella regione, per gli endpoint idonei. Si imposta solo su progetti nuovi. |
| Claude (Anthropic, piani diretti) | Nessuna regione europea: l’elaborazione avviene negli Stati Uniti o in modalità globale. |
| Claude su AWS Bedrock o Google Vertex AI | Elaborazione in regioni UE disponibile (per esempio Francoforte su AWS). |
| Modello open-weight su server aziendale | I dati restano nel perimetro dell’azienda. |
Queste condizioni cambiano spesso e dipendono dal piano sottoscritto: vanno verificate sulla documentazione del fornitore prima di ogni scelta. Il punto resta: un account personale gratuito non offre nessuna di queste garanzie.
Tre livelli di AI privata
- API con elaborazione in Europa. Modelli di punta, costo a consumo, dati elaborati in regioni UE. Adatto alla maggior parte dei documenti aziendali.
- Cloud dedicato in Europa. Modello su infrastruttura riservata all’azienda. Più controllo, costo fisso più alto.
- Server in azienda. Modello open-weight installato nel perimetro aziendale: i dati non escono. Ha senso per proprietà intellettuale, disegni, dati sanitari o vincoli contrattuali. Ne parliamo in AI locale e on-premise.
La scelta dipende dalla classificazione dei dati, non da una preferenza tecnologica. Un aspetto spesso trascurato: il software acquistato in proprietà o con licenza pluriennale può rientrare nell’iperammortamento 2026, mentre gli abbonamenti SaaS ne sono esclusi.
Cosa fare in pratica
- Chiedi ai dipendenti cosa usano, in forma anonima: è il modo più rapido per scoprire dove escono i dati.
- Offri uno strumento autorizzato, come un GPT aziendale collegato ai documenti con i permessi di ogni reparto.
- Scrivi una policy breve: quali dati si possono usare, con quale strumento, chi risponde.
- Forma le persone sui limiti degli strumenti, come richiede anche l’articolo 4 dell’AI Act.
Fonti
- Osservatorio Artificial Intelligence, Politecnico di Milano
- OpenAI, data residency in Europe
- AWS, Claude data residency
Domande frequenti
Cos’è la shadow AI?
È l’uso di strumenti di intelligenza artificiale che l’azienda non ha scelto né autorizzato, spesso con account personali. Il rischio principale è che documenti interni, dati di clienti e informazioni riservate finiscano su servizi di cui l’azienda non conosce condizioni e sede dei dati.
Basta vietare ChatGPT in azienda?
Di solito no. Se lo strumento serve al lavoro, il divieto sposta l’uso su dispositivi e account personali, dove l’azienda ha ancora meno controllo. Funziona meglio offrire un’alternativa autorizzata e scrivere regole chiare.
Serve per forza un’AI on-premise?
No. Per molti usi basta un servizio con elaborazione dei dati in Europa e un contratto aziendale. Il server in azienda ha senso quando i dati sono particolarmente sensibili o un vincolo contrattuale lo richiede.
L’AI privata può rientrare nell’iperammortamento?
Il software acquistato in proprietà o con licenza pluriennale può rientrare, mentre gli abbonamenti SaaS sono esclusi. I dettagli e i punti da verificare con il commercialista sono nella nostra guida all’iperammortamento 2026.