Come scegliere un provider AI privacy-compliant: la checklist per le PMI italiane

Come scegliere un provider AI privacy-compliant

Il 14 luglio 2026 Anthropic ha aperto Claude alle scuole americane con un impegno preciso: zero dati degli studenti entrano nel training del modello. Privacy FERPA by default. Accesso solo per insegnanti K-12 verificati.

Non è marketing. È una scelta di architettura.

Per le PMI italiane che devono rispettare GDPR e AI Act, è esattamente il modello da replicare nel rapporto con il proprio provider AI. Con 18 giorni al 2 agosto 2026, non è un esercizio teorico.

1) I miei dati vengono usati per il training del modello?

La risposta corretta è no.

Con Claude, la risposta per gli utenti business e API è no: i dati delle tue sessioni non entrano nel training. Anthropic lo ha reso esplicito anche per Claude for Teachers, con FERPA compliance documentata e accesso limitato a insegnanti K-12 verificati.

Cosa chiedere al tuo provider:

• "I dati che invio alle API vengono usati per addestrare o migliorare i modelli?"
• "Dove è scritto nel contratto di servizio?"

Se non trovi una risposta scritta nelle condizioni d'uso, non fidarti di quella verbale. GDPR Art. 13 richiede che il titolare del trattamento informi l'interessato delle finalità del trattamento. Se il provider non è trasparente sui propri obiettivi, non puoi essere trasparente con i tuoi utenti.

2) Il provider è GDPR-compliant by default?

Per GDPR e AI Act non basta che il provider supporti la conformità. Deve averla integrata nell'architettura e documentata in modo verificabile.

Cosa controllare concretamente:

1. Data Processing Agreement (DPA): esiste, è firmato, copre il tuo caso d'uso?
2. Sede del trattamento dati: UE o paese con decisione di adeguatezza?
3. Elenco subprocessori: chi ha accesso ai dati che invii?
4. Politica di data retention: per quanto tempo vengono conservati i dati di sessione?

Con Claude API, Anthropic mette a disposizione il DPA. Ma devi formalizzarlo prima di mandare dati sensibili in produzione, non come adempimento retroattivo.

3) Il sistema verifica chi può accedere ai dati sensibili?

Claude for Teachers ha un sistema di verifica esplicito: solo insegnanti K-12 USA verificati ottengono l'accesso. Non chiunque si registri con un indirizzo email.

Per le PMI italiane questo si traduce in tre domande operative:

1. Chi può interrogare il sistema AI con dati clienti o dati dipendenti?
2. Ogni accesso è tracciato e loggato?
3. I ruoli hanno permessi differenziati per tipo di dato?

Se il tuo provider AI non ha controllo accessi granulare, stai lavorando senza rete di sicurezza.

Cosa dice l'AI Act

L'Art. 4 AI Act (in vigore dal 2 febbraio 2025) richiede che chi usa AI nel lavoro abbia competenza adeguata sul funzionamento del sistema che usa. Questo include la governance dei dati.

L'Art. 10 AI Act, per i sistemi ad alto rischio, richiede pratiche di data governance documentate: qualità dei dati, minimizzazione, pertinenza rispetto alla finalità dichiarata.

Scegliere un provider AI che non garantisce queste tre cose non è una scelta tecnica. È un'esposizione al rischio regolatorio con sanzioni previste dall'AI Act.

La checklist operativa

Prima di mettere in produzione un sistema AI con dati sensibili:

1. Leggi le condizioni d'uso del provider: cerca i termini "training", "fine-tuning", "model improvement", se i tuoi dati rientrano in queste finalità, hai un problema da risolvere prima del deploy
2. Firma il DPA con il provider prima del go-live, non come formalità a posteriori
3. Documenta i subprocessori nel registro trattamenti (GDPR Art. 30)
4. Verifica il controllo accessi: chi ha i permessi per lavorare con dati sensibili nel sistema AI?
5. Testa la procedura di cancellazione dati: quanto tempo ci vuole e chi la gestisce?

Non è un processo lungo. È un pomeriggio di lavoro, una volta sola. Vale molto di più rispettarlo adesso che gestire una notifica di violazione dopo il 2 agosto.