Negli ultimi 2 anni l'AI generativa è diventata uno strumento di lavoro quotidiano per milioni di italiani. La maggior parte delle volte, usiamo ChatGPT, Gemini, Claude — tutti servizi con server USA e base giuridica americana.
Per uso personale occasionale, non è un problema. Ma se sei un professionista che gestisce dati di clienti, o un'azienda con obblighi GDPR, o semplicemente qualcuno che non ama che i suoi testi finiscano in training di modelli controllati da Big Tech americana — la questione cambia.
In questo articolo: cosa chiedere a un servizio AI dal punto di vista privacy, quali alternative europee esistono oggi (2026), e cosa Insieme.AI fa diversamente by design.
Full disclosure: Insieme.AI è un servizio italiano che discuto in questo articolo. Ho cercato di essere onesto sui limiti delle alternative europee — che ancora non hanno la maturità di prodotto dei servizi americani maturi.
Perché la privacy AI conta (e non è solo paranoia)
Tre motivi concreti per cui vale la pena guardarsi intorno.
1. Training sui tuoi dati
La maggior parte dei servizi AI consumer (ChatGPT Free, Gemini, Meta AI) utilizzano i tuoi messaggi per addestrare i prossimi modelli. Non come "te specificamente" — aggregati, anonimizzati — ma comunque come contenuto che entra nel training set.
Se nella chat hai incollato un contratto di un cliente, quel contratto è stato visto da un sistema di elaborazione che lo ha processato per generare una risposta. Su alcuni servizi, i pezzi di testo possono finire nelle iterazioni successive del modello.
Cosa guardare: la privacy policy deve dichiarare esplicitamente che i tuoi input non vengono usati per training, O deve offrirti un opt-out completo e immediato.
2. Server USA e SCC
I servizi USA operano sotto legge americana, con trasferimento dati da UE basato sulle Standard Contractual Clauses (SCC). Adeguato legalmente ma:
- Le richieste di autorità americane (FBI, subpoena) possono arrivare a chi gestisce i tuoi dati.
- Nel registro dei trattamenti GDPR devi giustificare il trasferimento extra-UE.
- Per alcuni settori (sanità, giustizia, PA) le SCC non bastano — serve un'architettura europea vera.
Cosa guardare: server location esplicita (EU preferibile), base giuridica del trasferimento, eventuale DPA disponibile.
3. AI Act europeo
Il Regolamento UE 2024/1689 (AI Act) è in vigore da agosto 2024, con implementazione progressiva. Introduce obblighi specifici per chi sviluppa e distribuisce sistemi AI in Europa, inclusi obblighi di trasparenza, documentazione, gestione del rischio.
I servizi AI che operano in Europa dovranno progressivamente conformarsi. I servizi progettati by design per il contesto europeo partono con un vantaggio di compliance.
I 5 criteri da guardare nella privacy di un servizio AI
Prima di affidare dati sensibili a un servizio AI, controlla:
Criterio 1: dove sono i server fisicamente
- Server in Europa: ideale, specialmente Germania/Francia/Italia/Paesi Bassi (data protection rigorosa).
- Server USA con SCC: legale ma meno pulito.
- Server non dichiarati: segnale di allerta.
Criterio 2: training su tuoi dati
- No training by default, no opt-in: ideale.
- No training con opt-out esplicito disponibile: accettabile, verifica che l'opt-out sia effettivo.
- Training abilitato di default con opt-out complicato: problematico per uso professionale.
Criterio 3: data retention
- Quanto tempo i tuoi messaggi/documenti restano sui loro server?
- Puoi cancellarli da interfaccia utente? Con quale latenza?
- Right to erasure (GDPR Art. 17) implementato concretamente?
Criterio 4: base giuridica + DPA disponibile
- Chi usa il servizio come titolare del trattamento (aziende, studi) ha bisogno di firmare un Data Processing Agreement (DPA) con il provider.
- Servizi consumer US spesso non offrono DPA accessibili, solo Enterprise tier custom.
Criterio 5: trasparenza sulla catena fornitori
- Il provider AI usa modelli di terze parti (OpenAI, Anthropic, Google)? Dichiara la catena?
- Che garanzie ha negoziato contrattualmente con questi fornitori riguardo ai tuoi dati?
Le opzioni "europee" (o comunque GDPR-compliant by design) oggi
Il mercato europeo dell'AI è ancora in formazione. Eccone alcune, con i rispettivi tradeoff:
1. Mistral AI (Francia)
- HQ: Parigi, Francia
- Modelli: Mistral Large, Medium, Small (modelli "flagship" europei)
- Platform: Le Chat è il loro ChatGPT-equivalent
- Privacy: server in Europa, privacy policy francese, più rigorosa del default USA
- Pro: modelli solidi, italiano decente, base giuridica UE
- Contro: prodotto meno maturo di ChatGPT/Claude, ecosistema integrazioni ancora piccolo
- Pricing: Le Chat Pro ~€14,99/mese
2. Aleph Alpha (Germania)
- HQ: Heidelberg, Germania
- Focus: prevalentemente B2B/Enterprise, compliance europea avanzata
- Pro: forte focus compliance, on-premise options, usato da PA tedesca
- Contro: non ha un prodotto consumer-friendly tipo ChatGPT. Non disponibile a individui/freelance.
- Pricing: enterprise custom
3. Insieme.AI (Italia)
- HQ: Potenza, Italia
- Focus: assistenti AI italiani, integrati in WhatsApp/Telegram, per professionisti e individui
- Modelli sottostanti: modelli selezionati con garanzie contrattuali no-training
- Privacy: server in Europa (Frankfurt/Milano), no training sui dati utente, GDPR e AI Act by design, DPA firmabile (Business), right to erasure da dashboard
- Pro: italiano-first, integrazioni email/calendario native, piano Free permanente, modalità WhatsApp/Telegram
- Contro: azienda giovane ed ecosistema meno maturo
- Pricing: Free / Premium € 4,99/mese / Roleplay € 6,99/mese / Business custom
4. Self-hosted (Llama, Mistral open-weight, Qwen, ecc.)
- Focus: controllo totale
- Requisiti: hardware potente (GPU consumer gaming o Apple Silicon), competenze tecniche
- Pro: dati mai lasciano la tua infrastruttura, costi ricorrenti zero dopo hardware
- Contro: maintenance tecnica, italiano del modello variabile, no app mobile friendly
- Non pertinente per utenti non tecnici
5. ChatGPT Enterprise
- Tecnicamente è un servizio USA (OpenAI), ma il tier Enterprise offre:
- Server dedicati (possibile opzione EU)
- No training sui dati cliente (garantito contrattualmente)
- DPA firmabile
- Pro: il ChatGPT che conosci con garanzie enterprise
- Contro: costo alto (per organizzazioni medio-grandi), richiede commitment annuale
Cosa fa Insieme.AI concretamente per la privacy
In ordine di importanza pratica:
1. Server in Europa, senza deroghe
Tutto il traffico applicativo, le conversazioni, i metadati delle caselle email collegate, i documenti caricati vivono su server nell'Unione Europea (Frankfurt/Milano). Nessun trasferimento extra-UE per le funzioni standard del prodotto.
2. No training sui tuoi dati (contrattuale, non solo promessa)
Abbiamo vincoli contrattuali espliciti con i fornitori di modelli AI che vietano l'uso dei contenuti elaborati per training dei loro modelli. Questo è un livello superiore alla semplice policy "no-training by default" — è uno dei requisiti nel contratto con i vendor.
3. Crittografia end-to-end e a riposo
- Traffico: TLS/HTTPS (HTTP/2, HSTS preload)
- Credenziali email IMAP e CalDAV: cifratura AES-256-GCM application-level, chiave non esposta al database
- Database: encryption at rest
4. GDPR + AI Act by design
- Right to access: export dashboard sempre disponibile
- Right to erasure: cancellazione effettiva entro 30 giorni
- Portability: export in formato JSON
- Base giuridica dichiarata per ogni finalità di trattamento
- DPIA disponibile su richiesta per Business
5. Trasparenza sulla catena fornitori
La pagina /security dichiara esplicitamente:
- Che garanzie contrattuali abbiamo ottenuto
- Come gestiamo gli incident
- Dove girano i dati
- Come cancelli tutto
Non è sempre piacevole mostrare il sotto il cofano — ma per chi tratta dati sensibili, è necessario.
Quando vale la pena preferire un'alternativa europea
Onestamente, non sempre. Vediamo i casi concreti.
Fai bene a scegliere europeo se...
- Sei un professionista che tratta dati di clienti (consulente, avvocato, commercialista, architetto, medico)
- Hai un'azienda con obblighi GDPR/DPIA formalizzati
- Operi in settori regolati (sanità, giustizia, PA, finanza)
- I clienti ti chiedono esplicitamente garanzie sui tool che usi
- Vuoi allinearti proattivamente al AI Act europeo
Va bene ChatGPT/Gemini/Claude se...
- Uso personale occasionale non professionale
- Task non sensibili (scrittura creativa, curiosità, studio)
- Sei studente senza obblighi formali sul trattamento dati
- Ti importa di più la funzionalità specifica del provider USA (immagini, plugin, ecosistema Workspace)
Non è un giudizio morale su chi sceglie US — è pragmatismo per profili con obblighi concreti diversi.
Come scegliere un'AI italiana GDPR-compliant in 5 mosse
Se hai deciso di non usare servizi americani per ragioni di privacy, ecco i passi pratici:
- Verifica la sede legale dell'azienda. Prima dei modelli, prima dei prezzi, controlla dove è registrata. Se è in USA, UK, Israele, server e leggi sono non-UE. Per veri "europei", cerca aziende con sede in EU/EEA o Svizzera con accordo di adeguatezza.
- Controlla dove sono fisicamente i server. Anche un'azienda italiana può avere server su AWS US. Nei termini di servizio cerca "ubicazione dei server" o "data residency". Per il GDPR strict, server UE è il minimo.
- Cerca menzione esplicita di "no training on user data". Le clausole vaghe sul training non bastano. Vuoi una frase tipo "I tuoi dati non vengono usati per addestrare modelli, né da noi né dai vendor". Se non c'è, passa oltre.
- Verifica il modello AI dietro le quinte. Anche un'AI italiana spesso usa modelli americani via API. Non è automaticamente un problema (i dati passano in transito ma con DPA), ma vuoi sapere quale modello e con quali termini.
- Contatta il supporto via mail con una domanda secca. "Dove sono i miei dati? Quali sub-processor usate? Avete DPA firmabile?". Se non rispondono entro 48h o danno risposta evasiva, non è il servizio per te.
Insieme.AI risponde a tutti e 5 i punti: sede Inloop Srl Italia, server UE, no training, modelli con DPA firmati, supporto risponde in italiano in 24h.
FAQ
DPA firmabile anche da utenti Premium?
No. Il DPA (Data Processing Agreement) richiede negoziazione per il contesto specifico del cliente ed è quindi riservato al piano Business. Per i piani Free/Premium/Roleplay le condizioni generali di servizio + la pagina /your-data coprono la maggior parte degli obblighi informativi tipici di un utente individuale/freelance.
Come posso verificare che rispettiate davvero il GDPR?
Tutti gli strumenti per esercitare i diritti GDPR sono direttamente in dashboard: export dei dati, cancellazione account, revoca consensi. Non servono mail formali. Per audit più approfonditi, studi/aziende Business ricevono la DPIA completa e possono richiedere audit di conformità.
Se sono in Italia ma il mio cliente è un'azienda USA, quale AI usare?
Dipende da chi è il titolare del trattamento dei dati coinvolti. Se il cliente USA è titolare di dati che passano sul tuo sistema, eventualmente potresti essere un responsabile del trattamento e i vincoli di compliance saranno quelli concordati col cliente. In caso dubbio, consulta un DPO.
L'AI Act cambia cosa per me utente individuale?
L'AI Act regola soprattutto sviluppatori e distributori di sistemi AI, non gli utenti finali. Per te significa maggior trasparenza da parte dei provider: ti devono dire chiaramente come funziona il sistema, quali dati usa, quali limiti ha. Insieme.AI è progettato per questa trasparenza by design.
Per iniziare con un'AI europea
Se hai finito l'articolo e vuoi provare:
- Crea un account gratuito Insieme.AI (30 secondi, niente carta)
- Leggi la nostra pagina security e your-data per il dettaglio completo
- Se hai uno studio o azienda con obblighi formali: scrivi a support@insieme.ai per valutare il piano Business con DPA
Oppure, se vuoi confrontare prima:
- Mistral AI — Le Chat — alternativa francese
- Aleph Alpha — alternativa tedesca, B2B
Per approfondire
- Pagina security di Insieme.AI — dettaglio tecnico della nostra architettura privacy
- Your Data — cosa salviamo, per quanto tempo, come cancellare
- 7 cose che Insieme.AI fa meglio di ChatGPT — include sezione dedicata a server EU e compliance
- Replika in Italia: cosa è successo — caso studio su cosa succede quando la compliance europea non è rispettata
