ItalianoERP e dati personali (GDPR, Garante privacy)

GDPR, Garante, IA

GDPR e IA sui dati ERP: cosa considerare con il Garante privacy

In breve

Usare l'IA sui dati dell'ERP è compatibile con il GDPR se si definiscono finalità, base giuridica, minimizzazione e misure di sicurezza, e se si valuta la necessità di una DPIA. Un modello ospitato in azienda riduce i trasferimenti di dati, ma non sostituisce l'analisi giuridica, che spetta al titolare e al DPO.

Prenota la valutazione gratuita

L'ERP contiene molti dati personali, anche dove non ce lo aspettiamo: anagrafiche di clienti e fornitori persone fisiche, contatti, indirizzi, dati di dipendenti nelle paghe e nelle presenze, nomi degli operatori nei registri di produzione e qualità. Quando si aggiunge un livello di IA, questi dati diventano interrogabili in modo nuovo.

In Italia il Garante per la protezione dei dati personali ha mostrato un'attenzione elevata verso l'IA generativa, e il contesto normativo comprende il GDPR, il Codice privacy, lo Statuto dei lavoratori, il regolamento europeo sull'IA (AI Act) e la normativa nazionale in materia di IA. Questa guida non è una consulenza legale: indica gli aspetti da discutere con il vostro DPO e il vostro legale.

Il punto di partenza pratico è semplice: sapere quali dati personali entrano nel sistema, perché, chi li vede e dove vengono elaborati.

Quali dati personali ci sono davvero nell'ERP

Oltre alle anagrafiche evidenti, ci sono dati meno ovvi: note libere negli ordini, allegati con documenti di identità, indirizzi di consegna di persone fisiche, nomi di operatori nei movimenti di magazzino, timbrature, assenze, performance. Alcuni di questi possono rientrare in categorie particolari, per esempio le assenze per malattia.

Un livello di IA che indicizza testi liberi e allegati può portare in superficie dati che nessuno guardava. Per questo la prima attività è una mappatura: quali tabelle, quali campi, quali allegati, e quali di questi serve davvero interrogare.

Anagrafiche di persone fisiche (clienti, agenti, ditte individuali)
Dati dei dipendenti: paghe, presenze, assenze
Operatori citati in registri di produzione e qualità
Testi liberi e allegati con dati non previsti

Base giuridica, finalità e minimizzazione

Per ogni uso occorre una finalità determinata e una base giuridica adeguata, in genere il legittimo interesse o l'esecuzione del contratto per i dati commerciali, e un'analisi diversa per i dati dei lavoratori. La minimizzazione si traduce in scelte tecniche: esporre al modello solo le viste necessarie, mascherare o pseudonimizzare i campi non utili, escludere i testi liberi se non servono.

L'informativa a clienti, fornitori e dipendenti va aggiornata quando cambiano le finalità o i soggetti coinvolti. Se i dati restano nel vostro perimetro e non sono trasferiti a un fornitore terzo di IA, il quadro dei destinatari e dei trasferimenti è più semplice, ma non scompare l'obbligo di trasparenza.

Viste in sola lettura limitate ai campi necessari
Pseudonimizzazione dei nominativi dove non servono
Esclusione di testi liberi e allegati non pertinenti
Informative aggiornate

DPIA, decisioni automatizzate e dati dei lavoratori

Una valutazione d'impatto (DPIA, articolo 35 GDPR) è richiesta quando il trattamento può presentare un rischio elevato, per esempio con l'uso di nuove tecnologie su dati dei dipendenti o con profilazione. Anche quando non è obbligatoria, farla in forma snella è una buona pratica che documenta le scelte.

L'articolo 22 del GDPR limita le decisioni basate unicamente su trattamenti automatizzati con effetti significativi sulle persone. Per questo la regola di progetto è che il sistema non decide su assunzioni, valutazioni o sanzioni: fornisce informazioni, e una persona decide. Sui dati dei lavoratori occorre inoltre considerare l'articolo 4 dello Statuto dei lavoratori sul controllo a distanza, che può richiedere un accordo sindacale o l'autorizzazione dell'Ispettorato.

Come l'architettura on-premise aiuta, e dove non basta

Con modelli open-weight serviti in azienda o in un cloud privato europeo non si inviano dati a servizi pubblici di IA, si mantiene il controllo su accessi e registri, e si riduce la superficie di rischio. Le interrogazioni sono tracciate, i ruoli dell'ERP sono rispettati e ogni scrittura richiede approvazione umana.

Non basta però ospitare il modello in sede: restano da definire conservazione dei log (che a loro volta contengono dati personali), diritti degli interessati, gestione delle violazioni, ruoli di responsabile e contitolare con eventuali partner e fornitori. Netray descrive come l'architettura consente al cliente di rispettare i propri obblighi; non fornisce certificazioni di conformità al posto del cliente.

Modelli e dati nel vostro perimetro
Registro delle interrogazioni con periodo di conservazione definito
Contratti con i partner che accedono ai sistemi
Procedure per diritti degli interessati e violazioni

AI Act e normativa nazionale: cosa tenere d'occhio

Il regolamento europeo sull'IA distingue le applicazioni per livello di rischio. Un assistente che risponde a domande sui dati di produzione ha un profilo diverso da un sistema usato per selezionare o valutare i lavoratori, che rientra tra i casi ad alto rischio. L'Italia si è dotata anche di una propria legge quadro in materia di IA, che richiama tra l'altro l'informazione ai lavoratori sull'uso di sistemi di IA.

I termini di applicazione sono graduali e le norme possono essere aggiornate: conviene verificarle con il vostro legale. La regola prudente è tenere il sistema fuori dalle valutazioni sulle persone e documentare fin dall'inizio finalità, dati e misure.

Come procedere in pratica

Una sequenza ragionevole: mappatura dei dati, scelta del perimetro (iniziando dai dati non personali o dai soli dati commerciali), coinvolgimento del DPO, DPIA se necessaria, pilota con viste ristrette, revisione dei log e delle risposte, estensione graduale.

Nella valutazione iniziale Netray mappa i flussi e propone un'architettura coerente con queste scelte. Le decisioni giuridiche restano al titolare del trattamento, con il parere del DPO e dei consulenti.

Domande frequenti

Serve sempre una DPIA per usare l'IA sull'ERP?

Non sempre. È probabile quando si trattano dati dei lavoratori o su larga scala con nuove tecnologie. Il DPO valuta caso per caso, e una DPIA snella è comunque una buona pratica.

Un modello installato in azienda basta per essere conformi?

No. Riduce i trasferimenti e dà più controllo, ma restano finalità, base giuridica, informative, conservazione dei log, diritti degli interessati e misure di sicurezza.

Posso interrogare con l'IA i dati di presenze e paghe?

Solo dopo un'analisi specifica: base giuridica, DPIA, articolo 4 dello Statuto dei lavoratori e parere del DPO. Consigliamo di cominciare dai dati operativi.

L'IA può prendere decisioni su persone?

Sconsigliamo di usarla in questo modo. Il sistema fornisce informazioni e una persona decide, anche per i limiti dell'articolo 22 del GDPR e per l'AI Act.

Netray garantisce la conformità al GDPR?

No, la conformità è responsabilità del titolare. Progettiamo l'architettura in modo che l'azienda possa rispettare i propri obblighi e documentiamo i flussi di dati.

Cosa fate dei log delle domande?

Restano nel vostro ambiente, con un periodo di conservazione che definite voi insieme al DPO, perché i log possono contenere dati personali.

Guide correlate

SAP S/4HANA e SAP Business One

Porta l'IA nel tuo ERP

Prenota una valutazione gratuita dell'IA per ERP. Mappiamo il flusso dei dati, il modello e dove gira, e ti diciamo con franchezza se l'IA non è lo strumento giusto.

Prenota la valutazione gratuita

Tutte le guide in italiano