Posso incollare i dati degli ospiti in ChatGPT o in un'altra IA? Cosa dicono il GDPR e le autorità per la protezione dei dati (2026)

Aggiornata: 10 novembre 2026

Copiare l'email di un ospite in ChatGPT perché scriva la risposta, o incollare la lista degli arrivi perché l'IA la ordini, fa risparmiare tempo. Ma quell'email e quella lista sono dati personali di cui la tua struttura è titolare. Questa guida riassume cosa dicono il Regolamento generale sulla protezione dei dati (GDPR), le autorità di Spagna, Italia, Portogallo e Grecia, il Comitato europeo per la protezione dei dati (CEPD) e le condizioni ufficiali di OpenAI, Google e Microsoft, verificate il 10 novembre 2026. Ciò che non abbiamo potuto confermare è indicato come «non confermato». Non è una consulenza legale: per un dubbio concreto, rivolgiti al tuo consulente o al tuo responsabile della protezione dei dati.

La risposta breve

L'essenziale:

Non c'è un divieto generale di usare l'IA, ma il GDPR si applica lo stesso: solo i dati necessari, sicurezza adeguata e un fornitore che agisca come responsabile del trattamento con contratto.
Con le versioni personali o gratuite degli assistenti quel contratto non lo firmi e, secondo le loro stesse condizioni, ciò che scrivi può essere usato per l'addestramento o letto da un revisore umano.
Le versioni aziendali (ChatGPT Business o Enterprise, Copilot con account di lavoro, l'API) non si addestrano sui tuoi dati per impostazione predefinita e offrono un accordo sul trattamento dei dati (DPA).
Regola pratica: senza versione aziendale e DPA, non incollare nulla che identifichi un ospite. Mai carta d'identità, passaporto o carte di pagamento.
Se usi l'IA con i dati degli ospiti, indicalo nel registro delle attività di trattamento e nell'informativa privacy.

Cosa dice il GDPR

Gli articoli che contano quando un dipendente incolla i dati di un ospite in un'IA:

Art. 5.1.c, minimizzazione: i dati devono essere «adeguati, pertinenti e limitati a quanto necessario». Per migliorare il tono di un'email l'IA non ha bisogno del nome né del numero di prenotazione.
Art. 5.1.f e art. 32: sicurezza adeguata con misure tecniche e organizzative; l'art. 32 cita espressamente la pseudonimizzazione e la cifratura.
Art. 6.1: ogni trattamento richiede una delle sei basi giuridiche (per esempio l'esecuzione del contratto di prenotazione). La comodità non è una base giuridica.
Art. 28: puoi ricorrere solo a responsabili che presentino «garanzie sufficienti», con un contratto che preveda il trattamento su tue istruzioni documentate, la riservatezza e la cancellazione o restituzione dei dati alla fine.
Art. 30: il registro delle attività deve indicare le categorie di destinatari e i trasferimenti verso paesi terzi.
Artt. 44-46: se i dati escono dallo Spazio economico europeo (molti fornitori di IA sono statunitensi) serve una decisione di adeguatezza della Commissione o garanzie come le clausole tipo. Verifica quale meccanismo indica il DPA del fornitore.

Versione gratuita o personale e versione aziendale

Cosa dicono le condizioni ufficiali di ciascun fornitore:

OpenAI (ChatGPT): nei servizi individuali «possiamo usare i tuoi contenuti per addestrare i nostri modelli», salvo che tu lo disattivi nei controlli dei dati o nel suo portale privacy; le chat temporanee non vengono usate per l'addestramento. Nei prodotti aziendali (Team o Business, Enterprise e API) non addestra per impostazione predefinita, offre un Data Processing Addendum e, per i clienti idonei di Enterprise, Edu e API, la conservazione dei dati in Europa.
Google (Gemini): nell'app personale una parte delle chat viene letta da revisori umani e Google chiede di non inserire dati riservati o che non vorresti far vedere a un revisore. Se disattivi «Attività» (Keep Activity), le chat future non addestrano i suoi modelli, ma vengono conservate per 72 ore. Con un account di lavoro possono valere altre condizioni; quali esattamente in Google Workspace: non confermato.
Microsoft (Copilot e Copilot Chat): se usato da un'organizzazione, è coperto dal Data Protection Addendum e dai Product Terms, con Microsoft come responsabile del trattamento, e prompt e risposte non addestrano i modelli di base. Attenzione: per le ricerche web che Copilot esegue (Bing), Microsoft agisce come titolare autonomo. Condizioni di Copilot con account personale: non confermato.
Disattivare l'addestramento in un account personale riduce i rischi, ma non trasforma il fornitore nel tuo responsabile con contratto ai sensi dell'art. 28.

Cosa hanno detto le autorità

Nessuna autorità ha pubblicato indicazioni specifiche per gli hotel; questo è quanto di più vicino:

Garante (Italia): il 2 novembre 2024 (provvedimento n. 755) ha sanzionato OpenAI con 15 milioni di euro, tra l'altro per aver addestrato ChatGPT con i dati degli utenti senza un'adeguata base giuridica e per non aver notificato una violazione di marzo 2023. Il Tribunale di Roma ha annullato il provvedimento il 18 marzo 2026 perché, da febbraio 2024, la competenza era dell'autorità irlandese; non è entrato nel merito. Eventuale impugnazione: non confermato.
AEPD (Spagna): nelle raccomandazioni per chi usa i chatbot chiede di non fornire dati personali di terzi «se ci sono dubbi che il trattamento vada oltre l'ambito domestico», di dare il minimo dei dati e di verificare se il chatbot continua a imparare dalle conversazioni. Un hotel non è ambito domestico. Ad aprile 2023 ha avviato un'indagine d'ufficio su OpenAI.
CEPD: la sua task force su ChatGPT (relazione di maggio 2024) ha ricordato che ciò che scrivono gli utenti viene usato per l'addestramento e che la responsabilità del GDPR non può essere scaricata sugli utenti. Il suo Parere 28/2024 (18 dicembre 2024) riguarda i dati personali nei modelli di IA e si rivolge soprattutto a chi li sviluppa.
CNPD (Portogallo): ad aprile 2025 ha diffuso la guida del CEPD sui rischi dei grandi modelli linguistici, che secondo la CNPD «introducono rischi significativi per la privacy»; tra gli esempi c'è un chatbot di assistenza clienti.
ΑΠΔΠΧ (Grecia): ad aprile 2025 ha pubblicato materiale formativo su IA e GDPR. Una guida greca specifica sull'incollare dati nei chatbot: non trovata.

Cosa puoi incollare e cosa no

Consigli pratici che derivano dalle norme e dalle condizioni dei fornitori:

Anonimizza prima di incollare: togli nome, email, telefono, numero di prenotazione e date esatte; scrivi «ospite A, arriva il giorno X». Per migliorare il tono di una risposta basta il testo senza dati.
Non incollare né caricare mai foto di carte d'identità o passaporti, numeri di carta o elenchi inviati ad Alloggiati Web. Nessun compito dell'IA ne ha bisogno.
Attenzione particolare ai dati sanitari (allergie, mobilità ridotta, gravidanza) e ai dati dei minori.
Non caricare esportazioni complete del PMS (liste arrivi, database clienti) su un account personale.
Usa account aziendali, non l'account personale di ogni dipendente, e disattiva l'addestramento dove possibile.

Se userai l'IA con i dati degli ospiti

Passi ragionevoli prima di iniziare:

Scegli una versione aziendale e firma o accetta il suo DPA; archivialo con gli altri contratti con i responsabili del trattamento.
Verifica nel DPA dove sono conservati i dati, per quanto tempo e con quale meccanismo di trasferimento (artt. 44-46).
Aggiorna il registro delle attività: il fornitore di IA come destinatario e, se del caso, il trasferimento fuori dal SEE.
Aggiorna l'informativa privacy (destinatari e trasferimenti) e scrivi una breve regola interna: quale strumento, per cosa e quali dati mai.
Forma reception e ufficio prenotazioni: la maggior parte dei rischi nasce da un copia e incolla fatto di fretta.

Come aiuta iQuota

iQuota pubblica i dati della tua struttura, non quelli dei tuoi ospiti, perché gli assistenti di IA che i viaggiatori già usano li leggano correttamente:

La pagina di prenotazione creata da iQuota non chiede documenti d'identità né dati della carta: il pagamento avviene in struttura.
Nessuno può garantire che una determinata IA ti mostri o ti consigli.

Da leggere dopo

Guide collegate:

L'informativa privacy del tuo hotel e le copie dei documenti degli ospiti: /informativa-privacy-hotel-copia-documenti-ospiti-2026.
Il chatbot IA del tuo hotel e l'AI Act europeo: /chatbot-ia-sito-hotel-ai-act-obbligo-avviso-2026.

Vuoi che le IA diano i tuoi dati e le tue condizioni reali, con prenotazione diretta e senza commissioni? I primi 30 hotel entrano gratis fino al 30 giugno 2027.

Scopri il programma Founding Hotels (in inglese)

Domande frequenti

Posso usare ChatGPT gratuito per rispondere alle email degli ospiti?

Sì, se non incolli dati che identificano l'ospite: togli nome, email, telefono e numero di prenotazione. Con dati personali, la scelta prudente è una versione aziendale con contratto di responsabile del trattamento (DPA).

Basta disattivare l'addestramento nel mio account personale?

Aiuta, ma non sostituisce il contratto con il responsabile previsto dall'art. 28 del GDPR. In Gemini, inoltre, le chat vengono conservate 72 ore anche con l'attività disattivata.

Che fine ha fatto la sanzione del Garante a OpenAI?

Il Garante ha inflitto 15 milioni di euro nel 2024 (provvedimento n. 755). Il Tribunale di Roma l'ha annullata il 18 marzo 2026 per incompetenza, senza pronunciarsi sul merito.

Devo indicarlo nell'informativa privacy?

Se un fornitore di IA tratta i dati dei tuoi ospiti, è un destinatario e può esserci un trasferimento fuori dal SEE: va indicato nel registro delle attività e nell'informativa.

E se un dipendente ha già incollato dati in un'IA personale?

Valutalo con il tuo consulente: può essere una violazione di sicurezza da documentare e, secondo il rischio, da notificare al Garante. Cancella la conversazione e rivedi la regola interna.

Fonti

Altre guide per hotel

Altre guide per hotel →

Español · English · Português · Ελληνικά