Formazione AI e sviluppo su misura · Bergamo, Italia
ITEN
3 garanzie da verificare prima di affidarsi a uno strumento AI con dati sensibili, GDPR, AI Act, training policy.
Il 14 luglio 2026 Anthropic ha aperto Claude alle scuole americane con un impegno preciso: zero dati degli studenti entrano nel training del modello. Privacy FERPA by default. Accesso solo per insegnanti K-12 verificati.
Non è marketing. È una scelta di architettura.
Per le PMI italiane che devono rispettare GDPR e AI Act, è esattamente il modello da replicare nel rapporto con il proprio provider AI. Con 18 giorni al 2 agosto 2026, non è un esercizio teorico.
La risposta corretta è no.
Con Claude, la risposta per gli utenti business e API è no: i dati delle tue sessioni non entrano nel training. Anthropic lo ha reso esplicito anche per Claude for Teachers, con FERPA compliance documentata e accesso limitato a insegnanti K-12 verificati.
Cosa chiedere al tuo provider:
Se non trovi una risposta scritta nelle condizioni d'uso, non fidarti di quella verbale. GDPR Art. 13 richiede che il titolare del trattamento informi l'interessato delle finalità del trattamento. Se il provider non è trasparente sui propri obiettivi, non puoi essere trasparente con i tuoi utenti.
Per GDPR e AI Act non basta che il provider supporti la conformità. Deve averla integrata nell'architettura e documentata in modo verificabile.
Cosa controllare concretamente:
Con Claude API, Anthropic mette a disposizione il DPA. Ma devi formalizzarlo prima di mandare dati sensibili in produzione, non come adempimento retroattivo.
Claude for Teachers ha un sistema di verifica esplicito: solo insegnanti K-12 USA verificati ottengono l'accesso. Non chiunque si registri con un indirizzo email.
Per le PMI italiane questo si traduce in tre domande operative:
Se il tuo provider AI non ha controllo accessi granulare, stai lavorando senza rete di sicurezza.
L'Art. 4 AI Act (in vigore dal 2 febbraio 2025) richiede che chi usa AI nel lavoro abbia competenza adeguata sul funzionamento del sistema che usa. Questo include la governance dei dati.
L'Art. 10 AI Act, per i sistemi ad alto rischio, richiede pratiche di data governance documentate: qualità dei dati, minimizzazione, pertinenza rispetto alla finalità dichiarata.
Scegliere un provider AI che non garantisce queste tre cose non è una scelta tecnica. È un'esposizione al rischio regolatorio con sanzioni previste dall'AI Act.
Prima di mettere in produzione un sistema AI con dati sensibili:
Non è un processo lungo. È un pomeriggio di lavoro, una volta sola. Vale molto di più rispettarlo adesso che gestire una notifica di violazione dopo il 2 agosto.