Intelligenza artificiale e privacy: cosa devono sapere gli enti del Terzo settore

ChatGPT, Copilot, Gemini e altri strumenti di intelligenza artificiale sono ormai entrati nel lavoro quotidiano di molte organizzazioni. Anche nel Terzo settore. Il punto, oggi, non è più chiedersi se utilizzare l'IA, ma capire come farlo senza perdere il controllo dei dati e delle informazioni che riguardano le persone.

L'intelligenza artificiale è già entrata negli ETS

Fino a poco tempo fa, parlando di intelligenza artificiale, era facile pensare a qualcosa di lontano dalle attività di un'associazione.

Oggi basta guardarsi intorno. Un dipendente utilizza ChatGPT per preparare una comunicazione. Un volontario chiede a un sistema di IA di tradurre un testo. Qualcuno lo usa per riassumere un documento o preparare una presentazione. Un altro utilizza uno strumento per trascrivere una riunione.

Sono attività semplici e, in molti casi, assolutamente utili.

Il problema nasce quando, insieme alla richiesta, vengono inserite anche informazioni che riguardano delle persone.

Un curriculum. I dati di un socio. Una relazione su un beneficiario. Una comunicazione ricevuta da un utente. Informazioni sulla situazione familiare o sociale di una persona. E, nei casi più delicati, informazioni sulla salute o altri dati particolari.

In questi casi la questione non riguarda più soltanto l'utilizzo di uno strumento informatico.

Entra in gioco anche la protezione dei dati personali.

Intelligenza artificiale e privacy: che fine fanno i dati inseriti? È una domanda molto semplice, ma non sempre è semplice trovare la risposta.

Quando utilizziamo un servizio di intelligenza artificiale, dovremmo sapere almeno quali dati vengono trattati, per quali finalità, chi li tratta, per quanto tempo vengono conservati e quali possibilità ha il fornitore di utilizzarli.

Non tutti i servizi funzionano allo stesso modo e non tutte le versioni dello stesso strumento hanno necessariamente le medesime caratteristiche.

Per questo, ad esempio, non è sufficiente dire:

“Utilizziamo ChatGPT, quindi sappiamo come funziona.”

Bisogna capire quale servizio è stato scelto, come è configurato e soprattutto quali dati vengono effettivamente inseriti dagli utenti dell'organizzazione.

Ed è qui che può nascere una criticità.

Spesso non è l'ente a decidere formalmente di introdurre un nuovo trattamento. È semplicemente una persona che, per lavorare più velocemente, comincia a usare uno strumento che trova online.

Un esempio concreto: quando si utilizza l'IA per elaborare i dati di un beneficiario

Immaginiamo un operatore di un'associazione che riceve una relazione su una persona che si è rivolta allo sportello sociale.

La relazione è lunga e l'operatore deve preparare una sintesi.

Decide quindi di copiare il testo in un sistema di IA e chiede:

“Puoi riassumere questo documento evidenziando i problemi principali?”

Dal punto di vista del lavoro quotidiano, la scelta è comprensibile.

Ma dal punto di vista della privacy ci sono alcune domande da porsi.

Il documento contiene dati personali? Ci sono informazioni particolarmente delicate? Era davvero necessario inserire il documento completo? Il servizio utilizzato come tratta quelle informazioni? I dati vengono conservati? Chi può accedervi? L'ente aveva previsto questo tipo di utilizzo?

Forse l'operatore avrebbe potuto ottenere lo stesso risultato eliminando prima i nomi e le altre informazioni identificative.

Oppure potrebbe trattarsi di uno strumento che, per caratteristiche e configurazione, offre garanzie adeguate.

Senza conoscere come è stato impostato il trattamento, però, non possiamo saperlo. Il Garante privacy richiama l'attenzione sui rischi dell'intelligenza artificiale Non si tratta di una preoccupazione teorica.

Il 3 luglio 2026, il Garante per la protezione dei dati personali ha sanzionato per 158.000 euro Character Technologies Inc., la società che gestisce Character.AI, un servizio di intelligenza artificiale generativa utilizzato anche da minorenni.

Il provvedimento non riguarda semplicemente il fatto che la società utilizzasse l'intelligenza artificiale. Il Garante ha contestato diverse violazioni della normativa sulla protezione dei dati, tra cui carenze nelle informazioni fornite agli utenti, la predisposizione tardiva della valutazione d'impatto sulla protezione dei dati (DPIA) e la tardiva designazione del rappresentante della società nell'Unione europea. Sono state inoltre rilevate criticità nella tutela dei minori e nei sistemi di verifica dell'età.

Il caso è interessante anche per un altro motivo.

Il Garante ha considerato rilevanti, nella valutazione dei rischi, proprio alcuni elementi che possono caratterizzare i sistemi di IA: l'utilizzo di una tecnologia innovativa, la quantità e la natura dei dati trattati e il coinvolgimento di persone particolarmente vulnerabili.

Questo non significa, naturalmente, che ogni utilizzo dell'intelligenza artificiale richieda una DPIA.

La DPIA va valutata in relazione al trattamento concreto e ai rischi che presenta.

Il punto è piuttosto un altro: quando un'organizzazione introduce una nuova tecnologia che tratta dati personali, non dovrebbe limitarsi a considerarla uno strumento “come gli altri”. Quali opportunità e rischi per gli enti del Terzo settore? Per gli ETS il tema può essere particolarmente interessante.

Molti enti lavorano infatti con informazioni relative a persone che possono trovarsi in situazioni di particolare vulnerabilità: minori, persone con disabilità, persone che chiedono assistenza, persone in difficoltà economica o sociale.

Questo non significa che un ETS debba rinunciare all'intelligenza artificiale.

Anzi.

L'IA può essere utile proprio perché molti enti hanno poco personale e molte attività da gestire.

Può aiutare nella scrittura dei progetti, nella preparazione di comunicazioni, nella traduzione di materiali, nell'organizzazione di informazioni, nella creazione di contenuti o nella gestione di attività ripetitive.

Il problema è come viene utilizzata.

Utilizzare un sistema di IA per migliorare una frase non è la stessa cosa che utilizzarlo per elaborare una relazione su un beneficiario.

Preparare una bozza generica di una newsletter non è la stessa cosa che caricare un database di sostenitori per chiedere all'IA di individuare quelli “più interessati” a una determinata campagna.

Tradurre un testo pubblico non è la stessa cosa che tradurre una relazione contenente dati sulla salute di una persona.

La differenza sta nei dati e nel modo in cui lo strumento viene utilizzato. Chi decide come utilizzare l'IA all'interno dell'organizzazione? Questa, probabilmente, è la domanda più importante.

In molte organizzazioni l'utilizzo dell'IA è ancora lasciato alla libera iniziativa delle singole persone.

Un dipendente utilizza uno strumento. Un altro ne preferisce un altro.

Un volontario scopre un'applicazione utile e comincia a utilizzarla.

Nessuno necessariamente lo fa in modo scorretto. Anzi, spesso lo si fa cercando semplicemente di lavorare meglio.

Ma l'organizzazione dovrebbe almeno sapere che questi strumenti vengono utilizzati.

E dovrebbe poter dare alcune indicazioni di base.

Per esempio:

• Quali strumenti sono autorizzati?

• Per quali attività possono essere utilizzati?

• Quali dati possono essere inseriti?

• Quali dati non devono essere inseriti?

• Chi può utilizzare questi strumenti?

• Cosa bisogna fare quando l'IA produce un risultato?

L'ultima domanda è importante quanto le altre.

Un sistema di IA può infatti produrre un testo convincente ma sbagliato, oppure fornire una risposta che sembra corretta senza esserlo.

Per questo il risultato prodotto dall'IA non dovrebbe essere considerato automaticamente corretto solo perché è scritto bene.

AI Act: perché la formazione è importante anche per gli ETS

Nel frattempo è entrato in una fase molto concreta anche il Regolamento europeo sull'intelligenza artificiale, l'AI Act.

Tra le disposizioni già applicabili c'è quella sull'alfabetizzazione in materia di IA.

L'articolo 4 prevede che fornitori e utilizzatori di sistemi di IA adottino misure per favorire lo sviluppo delle competenze e della consapevolezza delle persone che utilizzano questi strumenti per conto dell'organizzazione, tenendo conto della loro esperienza, formazione e del contesto in cui l'IA viene utilizzata. L'obbligo è applicabile dal 2 febbraio 2025; a seguito delle modifiche introdotte nel luglio 2026, le attività di vigilanza e applicazione dell'articolo 4 si applicano dal 3 agosto 2026.

In parole semplici, non basta mettere a disposizione uno strumento e lasciare che ciascuno impari a usarlo da solo.

Chi utilizza l'IA per conto dell'organizzazione deve avere almeno le conoscenze necessarie per farlo in modo consapevole.

Per un ETS questo può significare, molto semplicemente, spiegare a dipendenti e volontari quali strumenti utilizzare, quali informazioni non inserire e quali controlli fare prima di utilizzare un risultato prodotto dall'IA.

Non serve necessariamente organizzare corsi complessi o creare una struttura separata.

Serve però che l'organizzazione si ponga il problema. Il quadro normativo è in evoluzione Anche in Italia il quadro si sta definendo.

Il 14 luglio 2026 il Garante ha espresso il proprio parere su alcuni schemi di decreto legislativo predisposti per adeguare la normativa italiana alle disposizioni dell'AI Act, intervenendo tra l'altro sui poteri delle autorità nazionali e su alcuni aspetti relativi all'utilizzo dell'intelligenza artificiale.

È un segnale importante: la gestione dell'intelligenza artificiale sta entrando sempre più stabilmente nelle regole che riguardano le organizzazioni.

Per gli ETS questo non significa aggiungere l'ennesimo adempimento.

Significa piuttosto iniziare a mettere un po' di ordine in qualcosa che, in molti casi, è già presente. Da dove partire? I primi passi per utilizzare l'IA in modo consapevole A nostro avviso, il primo passo non dovrebbe essere scrivere una policy di venti pagine. Prima bisogna capire cosa succede realmente.

• Quali strumenti di IA vengono utilizzati oggi nell'ente?

• Chi li usa?

• Per fare cosa?

• Vengono inseriti dati personali? Se sì, quali?

• Ci sono strumenti utilizzati senza che la direzione o il responsabile privacy ne siano a conoscenza?

Una volta raccolte queste informazioni, diventa molto più semplice capire cosa serve davvero.

Per qualcuno potrebbe essere sufficiente una breve regola interna.

Per altri sarà utile fare formazione.

In altri casi ancora sarà necessario verificare il rapporto con il fornitore, le impostazioni dello strumento, le informative, le autorizzazioni interne o gli eventuali trattamenti che presentano un rischio più elevato.

L'importante è partire dall'utilizzo reale e non dalla carta.

Tersa al fianco degli ETS per un utilizzo consapevole dell'intelligenza artificiale

L'intelligenza artificiale è destinata a entrare sempre di più nel lavoro quotidiano anche degli enti del Terzo settore.

Per questo pensiamo sia utile affrontare il tema adesso, mentre gli strumenti stanno ancora entrando nelle organizzazioni, e non quando sarà necessario intervenire su situazioni già consolidate.

In Tersa possiamo supportare l'ente nella ricognizione degli strumenti di IA utilizzati, nella valutazione dei principali rischi privacy e nella definizione di regole semplici e concrete per il loro utilizzo.

Possiamo inoltre affiancare l'organizzazione nella formazione delle persone che utilizzano questi strumenti e, quando necessario, negli ulteriori adempimenti previsti dalla normativa sulla protezione dei dati.

L'obiettivo non è complicare il lavoro né vietare l'utilizzo dell'IA.

È aiutare l'ente a capire dove può essere utile, quali attenzioni servono e come utilizzarla senza perdere il controllo dei dati.

Se nel vostro ente qualcuno utilizza già ChatGPT, Copilot, Gemini o altri strumenti di intelligenza artificiale, potrebbe essere il momento giusto per fermarsi un attimo e fare il punto.

Tersa è a disposizione per aiutarvi a verificare come viene utilizzata l'IA nel vostro ente e se sono necessarie regole o interventi di adeguamento.