Chatbot AI e GDPR: cosa dice la legge per le PMI

Un chatbot sul sito raccoglie dati: capire come farlo in modo conforme non è complicato, se si parte dalle domande giuste.

Sempre più PMI installano un chatbot AI sul proprio sito senza chiedersi davvero cosa cambia dal punto di vista della privacy. La buona notizia è che, con qualche accortezza, un chatbot può essere perfettamente conforme al GDPR senza dover rinunciare alle sue funzionalità. Questo articolo non sostituisce una consulenza legale specifica, ma spiega in modo pratico i punti da tenere presenti — anche perché sono gli stessi che abbiamo affrontato in prima persona per il nostro sito.

Il cookie di sessione del chatbot

Quasi tutti i chatbot, per mantenere il filo della conversazione, impostano un cookie di sessione tecnico. Se questo cookie serve solo a far funzionare la chat mentre la usi (e scade con la sessione), rientra generalmente nella categoria dei cookie "strettamente necessari": non richiede consenso preventivo, ma va comunque dichiarato con chiarezza nella cookie policy del sito, specificando se è di prima o di terza parte (se il chatbot è ospitato su un dominio diverso dal tuo).

Cosa succede se il chatbot fa anche analisi o profilazione

Diverso è il discorso se il chatbot (o gli strumenti collegati, come Google Analytics) raccolgono dati per analisi statistiche o marketing. In quel caso serve consenso esplicito e preventivo: lo script non deve partire finché l'utente non ha scelto attivamente di accettare. È lo stesso principio che vale per Google Analytics 4, che dal 2024 richiede l'implementazione del cosiddetto Consent Mode: di default tutto negato, e solo dopo il consenso i dati iniziano a essere raccolti.

Un banner fatto bene, non solo un banner

Il Garante Privacy italiano ha sanzionato diversi siti per banner cookie scorretti: pulsante "accetta" ben visibile e "rifiuta" nascosto o difficile da trovare, oppure nessun modo per cambiare idea dopo la prima scelta. Un banner conforme deve offrire le due opzioni con pari evidenza e un link sempre raggiungibile per gestire le preferenze in qualsiasi momento.

Cosa dichiarare nella cookie policy

• Il cookie che memorizza la scelta di consenso dell'utente stesso.
• Il cookie di sessione del chatbot, specificando se di prima o terza parte.
• Eventuali cookie statistici (Google Analytics o simili), indicando chiaramente che richiedono consenso.

Sul nostro sito abbiamo affrontato esattamente questo percorso: un chatbot con cookie di sessione dichiarato correttamente, un sistema di Consent Mode per Google Analytics con consenso negato di default, e un banner con scelte alla pari e un link sempre attivo per cambiare idea. Puoi vedere il risultato nella nostra cookie policy.