Nessun training non significa archiviazione o trattamento in UE
Per gli estratti conto dei clienti bisogna verificare contratto, DPA, luogo di archiviazione, elaborazione, conservazione, subprocessori e accessi, non solo il training.
Un trasferimento fuori UE non è automaticamente vietato dal GDPR, ma richiede una base adeguata. Per i professionisti regolamentati si aggiungono gli obblighi deontologici di riservatezza.
Informazioni generali, non consulenza legale. Piano, contratto e caso concreto determinano la valutazione.
Tre domande separate
1. I dati vengono usati per training?
Riguarda il miglioramento futuro del modello, non la localizzazione.
2. Dove vengono archiviati?
La data residency può coprire file, prompt e risposte, ma non necessariamente log e metadati.
3. Dove vengono elaborati?
Inferenza, estrazione PDF, routing e sicurezza possono seguire regole diverse.
Confronto attuale sulla localizzazione
Informazioni ufficiali disponibili a ottobre 2026. Piano e configurazione effettivi sono determinanti.
| Servizio | Training | Archiviazione | Trattamento | Valutazione |
|---|---|---|---|---|
| ChatGPT Business | I dati aziendali non vengono usati di default per addestrare i modelli. | La residenza regionale è in distribuzione progressiva. Con una regione fuori dagli USA, OpenAI mantiene dati di abuse monitoring negli USA e una copia temporanea di ogni prompt e risposta. | La regione di storage Business non è inference residency e non determina dove viene generata la risposta. | Business non equivale a storage e trattamento esclusivamente europei. |
| ChatGPT Enterprise / Edu | I dati aziendali non vengono usati di default per training. | I workspace idonei possono scegliere l'Europa per il contenuto cliente a riposo. | La GPU inference europea è disponibile per workspace idonei, ma alcuni processi CPU, come estrazione testo PDF e routing, possono restare globali. | Controlli regionali più forti, senza garanzia che ogni passaggio tecnico resti in Europa. |
| Claude for Work / Enterprise | I prodotti commerciali Anthropic non usano i dati per training di default. | Anthropic dichiara esplicitamente che i dati dei prodotti commerciali sono archiviati negli Stati Uniti. | Il traffico può essere instradato di default verso USA, Europa, Asia o Australia salvo accordi o configurazioni diverse. | Nessun training non equivale a residenza dati UE. |
| Gemini / Google Workspace | Le offerte Workspace idonee hanno protezioni enterprise e non usano contenuti Workspace per training esterno senza autorizzazione. | Business Standard e Business Plus supportano una regione per i dati a riposo. Prompt e risposte Gemini rientrano tra i dati coperti. | I controlli sulla regione di trattamento dipendono dall'edizione, con funzioni più avanzate soprattutto su Enterprise Plus. | Va verificata l'edizione reale, perché storage e processing regionali sono funzioni separate. |
| Langdock | Langdock dichiara che i dati cliente non vengono usati per training. | Langdock indica archiviazione generalmente in UE e cita Francoforte e Azure EU Data Boundary. | La maggior parte dei modelli configurabili può operare in UE. Modelli globali selezionati esplicitamente possono inferire fuori UE. | Forte orientamento europeo, con attenzione al modello realmente selezionato. |
| KontoCSV | KontoCSV è un convertitore a finalità limitata, non un workspace chat generalista. | Infrastruttura europea con server a Francoforte. File e cronologia visibile vengono cancellati automaticamente dopo sette giorni. | Il trattamento è limitato alla conversione e comprende controlli bancari e logica contabile specializzata. | Finalità stretta, retention limitata e output pensato per la contabilità. |
Privacy professionale e GDPR sono livelli distinti
Il Codice Deontologico dei Dottori Commercialisti ed Esperti Contabili impone obblighi di riservatezza che si aggiungono alla disciplina privacy.
Segreto e riservatezza
Le informazioni del cliente restano riservate anche quando si usa un fornitore tecnologico.
GDPR e responsabili
Ruoli, misure di sicurezza, subprocessori e trasferimenti internazionali devono essere analizzati.
Due diligence tecnologica
La qualità del modello non sostituisce la verifica contrattuale e organizzativa.
Integrità contabile
La privacy non garantisce che le operazioni estratte siano complete e riconciliate.
Checklist prima di caricare un estratto cliente
- Workspace aziendale approvato o account personale?
- DPA e subprocessori verificati?
- Training escluso o controllato?
- Dove sono archiviati file, prompt e output?
- Dove avvengono inferenza, estrazione PDF e routing?
- Trasferimenti internazionali coperti?
- Retention nota?
- Accesso necessario e autorizzato?
- Riconciliazione contabile prevista?
Perché un estratto conto è particolarmente sensibile
Può rivelare stipendi, salute, donazioni, affitti, clienti, fornitori e relazioni economiche.
Una CSV generata può sembrare corretta pur omettendo movimenti, invertendo segni o interpretando male un saldo riportato.
Cosa significa realmente residenza UE
Archiviazione, inferenza e processi ausiliari sono garanzie diverse.
ChatGPT Business: la regione di storage non è inference residency; OpenAI descrive dati di sicurezza e copie temporanee negli USA.
ChatGPT Enterprise/Edu: storage e GPU inference europei disponibili per workspace idonei, con alcuni processi CPU globali.
Claude commerciale: dati archiviati negli USA secondo Anthropic e routing possibile su più regioni.
Google Workspace: prompt e risposte Gemini possono rientrare nelle Data Regions; il controllo della regione di trattamento dipende dall'edizione.
Langdock: applicazione e maggior parte dei modelli configurabili in UE, salvo modelli globali selezionati.
Come KontoCSV limita lo scopo
KontoCSV è dedicato ai documenti bancari e di pagamento e cancella automaticamente i file dopo sette giorni.
La pipeline aggiunge riconciliazione saldi, somma firmata, scope di pagina, multi-conto e controlli MT940/CAMT.053.
Non sostituisce la valutazione legale, ma separa il processo bancario da un workspace chat persistente.
Fonti ufficiali
Verificare sempre documentazione e contratti aggiornati.
Domande frequenti
Un commercialista può caricare estratti clienti in ChatGPT?
Serve valutare piano, contratto, DPA, training, retention, regioni, subprocessori e obblighi professionali di riservatezza.
È sufficiente che non ci sia training?
No. Archiviazione e trattamento sono domande separate.
Un trasferimento fuori UE viola sempre il GDPR?
No. Il GDPR permette determinati trasferimenti internazionali se sono presenti i meccanismi richiesti.
Perché controllare il risultato?
Perché buone garanzie privacy non assicurano completezza e correttezza contabile.
Usare un workflow bancario specializzato
KontoCSV limita il processo ai documenti bancari, cancella i file dopo sette giorni e aggiunge riconciliazione e controlli contabili.