Chatbot sul sito e GDPR: guida pratica per UE, Germania e Svizzera

Questa guida offre informazioni generali alle aziende che aggiungono un chatbot AI al proprio sito e si basa sui testi ufficiali elencati nelle Fonti, verificati a ottobre 2026. Non è una consulenza legale. Le regole dipendono dal settore, dal paese e da ciò che fa il chatbot, quindi verifica la configurazione con il tuo responsabile della protezione dei dati o con un avvocato prima di andare online.

Il GDPR (Regolamento (UE) 2016/679) si applica alle aziende stabilite nell'UE e, in base all'articolo 3, paragrafo 2, alle aziende di altri paesi che offrono beni o servizi a persone nell'UE. Un chatbot sul tuo sito fa parte di questa offerta, quindi le sue conversazioni con i visitatori nell'UE sono coperte.

Salvare o leggere informazioni sul dispositivo del visitatore è una questione a parte. L'articolo 5, paragrafo 3, della direttiva ePrivacy richiede il consenso, salvo che l'archiviazione sia strettamente necessaria per un servizio richiesto esplicitamente dal visitatore. In Germania la regola è applicata dal § 25 TDDDG, prima TTDSG.

La Svizzera ha una legge propria: la nuova legge federale sulla protezione dei dati (nLPD), in vigore dal 1° settembre 2023, mentre i cookie sono regolati dall'articolo 45c della legge sulle telecomunicazioni (LTC). Le aziende svizzere con visitatori dall'UE spesso devono considerare anche il GDPR.

Sull'AI, l'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) afferma che la nLPD si applica direttamente ai trattamenti basati sull'AI e che le persone hanno diritto di sapere se parlano con una macchina. Nell'UE, l'articolo 50 del regolamento sull'intelligenza artificiale (Regolamento (UE) 2024/1689) richiede che i sistemi di AI che interagiscono con le persone lo dichiarino, salvo che sia evidente.

Elenca cosa tratta davvero il chatbot. Per la maggior parte dei chatbot sui siti si tratta di:

In base all'articolo 6, paragrafo 1, del GDPR ogni finalità richiede una base giuridica: consenso, contratto o misure precontrattuali su richiesta dell'interessato, obbligo legale, interessi vitali, compito di interesse pubblico o legittimo interesse. Scegli la base per ciascuna finalità e mettila per iscritto.

Il legittimo interesse è una base frequente per rispondere alle domande che i visitatori scelgono di fare. Le linee guida 1/2024 del Comitato europeo per la protezione dei dati (EDPB) fissano tre condizioni cumulative: un interesse legittimo, la necessità del trattamento e l'assenza di interessi o diritti prevalenti del visitatore, tenendo conto delle sue ragionevoli aspettative. Chi scrive una domanda si aspetta una risposta, non una proposta commerciale.

I dati sulla salute e le altre categorie particolari dell'articolo 9 richiedono un'eccezione come il consenso esplicito. La soluzione più semplice è non raccoglierli: chiedi nel messaggio di benvenuto di non condividere informazioni sensibili e istruisci il chatbot a non richiederle mai.

Il diritto svizzero parte da un'altra impostazione. La nLPD non richiede a un'azienda privata una base giuridica per ogni trattamento, ma il trattamento deve rispettarne i principi, come buona fede, proporzionalità, limitazione della finalità e riconoscibilità. Serve un motivo giustificativo come il consenso dove il trattamento violerebbe altrimenti la personalità.

L'articolo 13 elenca cosa comunicare ai visitatori, e l'articolo 12 chiede un linguaggio chiaro e semplice. Per un chatbot indica almeno:

Il dovere d'informare della nLPD (articolo 19) è simile ma più severo sui trasferimenti: secondo l'IFPDT devi indicare gli Stati di destinazione, che offrano o meno una protezione adeguata, e le garanzie usate.

Nella chat stessa, un breve messaggio di benvenuto può dire che il visitatore parla con un assistente AI, che le risposte possono essere sbagliate e che non deve condividere informazioni sensibili.

L'articolo 5, paragrafo 1, lettera c limita i dati al necessario, e l'articolo 25 del GDPR e l'articolo 7 della nLPD richiedono la protezione dei dati fin dalla progettazione e per impostazione predefinita. Per un chatbot si tratta soprattutto di configurazione:

Il fornitore del chatbot tratta i dati dei visitatori per tuo conto, quindi di solito è un responsabile del trattamento. L'articolo 28 richiede un contratto che copra oggetto, durata, natura e finalità del trattamento, tipi di dati e di interessati, e che vincoli il responsabile alle tue istruzioni documentate. Altri responsabili richiedono la tua autorizzazione scritta. Il diritto svizzero consente lo stesso per contratto (articolo 9 nLPD), purché il responsabile tratti i dati solo come potresti fare tu e ne garantisca la sicurezza.

I chatbot AI si appoggiano ad altri fornitori. intoCHAT, per esempio, usa un modello di OpenAI per creare gli embedding dei tuoi contenuti e generare le risposte, quindi i messaggi dei visitatori e i passaggi pertinenti dei tuoi contenuti vengono inviati a OpenAI. Indica ogni fornitore della catena nel registro e nell'informativa.

I trasferimenti fuori dall'UE richiedono una decisione di adeguatezza o garanzie come le clausole contrattuali tipo della Commissione europea (articoli 44 e 46). La Svizzera usa un elenco del Consiglio federale di Stati con protezione adeguata, e l'IFPDT riconosce le clausole dell'UE per gli altri Stati. Chiedi al fornitore:

L'articolo 5, paragrafo 3, della direttiva ePrivacy non riguarda solo i cookie. Le linee guida 2/2023 dell'EDPB confermano che copre anche il local storage e tecnologie simili, che le informazioni siano o meno dati personali.

Come la maggior parte dei widget di chat, anche quello di intoCHAT conserva un identificativo di sessione casuale in un cookie e nel local storage, così la conversazione continua da una pagina all'altra. Se sia strettamente necessario per un servizio richiesto dal visitatore dipende da come e quando viene impostato, quindi parlane con il tuo consulente. Se serve il consenso, la maggior parte degli strumenti di gestione del consenso può bloccare uno script finché il visitatore non accetta.

Un consenso valido è libero, specifico, informato e inequivocabile. Scorrere la pagina non è consenso, e revocarlo deve essere facile quanto darlo (linee guida EDPB 05/2020).

In Svizzera l'articolo 45c LTC impone di informare gli utenti sul trattamento sui loro dispositivi e di dire loro che possono rifiutarlo. La scheda informativa dell'IFPDT sui cookie (marzo 2026) aggiunge che serve un consenso esplicito preventivo quando il trattamento è inatteso, ad alto rischio o riguarda dati degni di particolare protezione.

L'articolo 5, paragrafo 1, lettera e consente di conservare i dati personali solo finché lo richiede la finalità, e anche la nLPD impone di distruggere o anonimizzare i dati non più necessari. Fissa un periodo per le trascrizioni e uno per i lead, indicali nell'informativa e applicali con regolarità.

In intoCHAT puoi eliminare singole conversazioni dai log delle chat e singoli lead dalla tabella dei lead, quindi basta una revisione periodica.

I visitatori possono chiedere accesso, rettifica, cancellazione, limitazione e portabilità, e opporsi ai trattamenti basati sul legittimo interesse (articoli da 15 a 21). Devi rispondere entro un mese, prorogabile di due mesi per richieste complesse o numerose (articolo 12, paragrafo 3). In Svizzera, secondo l'IFPDT, le informazioni vanno fornite di norma gratuitamente entro 30 giorni. Prepara i passaggi fin da ora:

Nessun software rende un chatbot conforme da solo, e intoCHAT non ha certificazioni sulla protezione dei dati. Ti dà però il controllo sulle parti che contano:

Testi ufficiali e linee guida, verificati a ottobre 2026: