Si può – alle condizioni del GDPR, che non hanno nulla di speciale perché c'è di mezzo l'AI: serve una base giuridica, l'informativa aggiornata, e il fornitore diventa un responsabile del trattamento con tanto di DPA firmato. Il Garante italiano l'ha reso memorabile bloccando ChatGPT nel 2023 e sanzionando OpenAI poi: trasparenza e basi giuridiche non erano a posto.
La distinzione che decide tutto: i piani consumer (il ChatGPT gratuito del browser) non offrono garanzie da trattamento aziendale – e incollare lì dati di clienti è il caso Samsung in miniatura, da vietare in policy. I piani business/API con DPA, no-training e residenza dei dati sono un'altra storia: lì si ragiona da GDPR normale – minimizzazione (serve davvero il nome, o basta lo pseudonimo?), tempi di conservazione, trasferimenti extra-UE.
E per i dati che non devono uscire affatto: l'inferenza in casa chiude la questione alla radice.