L'informativa privacy quando risponde un'AI: cosa devi dire al chiamante nel 2026
Lettura 8 min · AstraLoop Studio
Il telefono squilla mentre hai le mani occupate. Risponde l'assistente, il chiamante dice nome e cognome, lascia un numero, spiega che ha un dolore al ginocchio o una perdita sotto il lavandino, e in venti secondi l'appuntamento è sul calendario. Comodo. Ma in quei venti secondi hai raccolto dati personali, e qualcuno dovrebbe aver detto a chi stava dall'altra parte cosa ne sarebbe stato.
Con un centralino AI gli obblighi di informazione sono due, e si confondono con facilità. Se li tieni separati, la soluzione è molto meno complicata di quello che sembra. Se li mescoli, o ne ignori uno, il problema c'è già adesso, non tra qualche mese.
Due obblighi diversi, due fonti diverse
Il primo obbligo riguarda chi risponde. L'articolo 50 del Regolamento UE 2024/1689, l'AI Act, prevede la trasparenza per i sistemi di AI che interagiscono direttamente con le persone: chi chiama deve poter capire che sta parlando con un sistema artificiale. Questo obbligo è applicabile dal 2 agosto 2026, quindi è in vigore da due mesi. Un assistente vocale che si presenta con un nome da persona e non dice altro, oggi, non è in regola. Ne parliamo in questo articolo sull'obbligo di dichiarare l'AI al telefono. La Legge 132/2025, in vigore dal 10 ottobre 2025, è la prima legge italiana organica sull'AI e cala questi principi di trasparenza nel nostro ordinamento, ma l'obbligo di far capire che parla una macchina nasce a livello europeo.
Il secondo obbligo riguarda cosa succede ai dati, e viene dal GDPR, non dall'AI Act. Quando raccogli dati personali direttamente dalla persona, devi darle un'informativa al momento della raccolta (è il senso degli articoli 13 e 14 del Regolamento). Che a raccogliere sia una segretaria, un modulo web o un assistente vocale non cambia la regola. Cambia solo il modo pratico di rispettarla.
Dire "sono un assistente virtuale" non vale quindi come informativa privacy. E un'informativa pubblicata sul sito, se nessuno al telefono sa che esiste, difficilmente basta da sola. Sono due messaggi distinti e il chiamante deve ricevere entrambi.
Cosa deve contenere l'informativa
Non devi inventare nulla: i contenuti sono quelli di qualsiasi informativa, applicati al caso del telefono. In sostanza il chiamante deve poter sapere:
- chi è il titolare del trattamento, cioè la tua azienda o il tuo studio, e come contattarlo;
- per quali finalità usi i dati (fissare l'appuntamento, richiamarlo, mandare la conferma) e su quale base giuridica;
- chi altro li vede, cioè i fornitori che trattano i dati per tuo conto;
- per quanto tempo li conservi;
- quali diritti ha (accesso, rettifica, cancellazione e gli altri) e a chi rivolgersi;
- se i dati vengono trasferiti fuori dallo Spazio economico europeo.
Per i dettagli sulla base giuridica più adatta al tuo caso serve un professionista. Per prenotare un appuntamento richiesto dalla persona stessa, spesso la base è l'esecuzione di una misura precontrattuale o del contratto. Per registrare la conversazione o per usarla a fini diversi, il ragionamento cambia. Questo è il tipo di scelta che non si copia da un articolo, nemmeno da questo.
Come si dà un'informativa a voce senza far attaccare il cliente
Nessuno resta al telefono a sentire due minuti di testo legale. L'approccio che regge, ed è quello comunemente usato per i canali dove non c'è spazio, è l'informativa a strati: un primo livello breve, subito, e un secondo livello completo, raggiungibile in un clic.
Il primo strato, detto dall'assistente nei primi secondi, deve fare tre cose: dire che chi risponde è un assistente automatico, dire che i dati servono a gestire la richiesta (e, se è il caso, che la chiamata viene registrata), e indicare dove trovare il resto. Una formula del genere, adattata al tuo tono:
"Buongiorno, sono l'assistente virtuale dello studio. Ti aiuto a fissare un appuntamento: userò i dati che mi darai solo per questo. Se vuoi leggere l'informativa completa ti mando il link per messaggio, oppure posso passarti una persona."
Il secondo strato è la pagina completa sul tuo sito, mandata via SMS o WhatsApp durante o subito dopo la chiamata, e richiamata nel messaggio di conferma dell'appuntamento. Quel messaggio parte comunque: se ti interessa come costruirlo, la conferma automatica dell'appuntamento è il posto naturale dove mettere il link.
Una cosa vale più di tutte le altre: l'assistente deve saper passare la chiamata a una persona quando il chiamante non vuole parlare con una macchina o non vuole lasciare i dati. Non è una gentilezza, è la prova che la scelta è reale. Sulle parole giuste per dichiarare l'AI c'è una guida pratica con esempi.
Vuoi capire come inserire l'informativa dentro il flusso del tuo centralino AI? Raccontaci come lavori e ti diciamo cosa serve davvero.
Chi tratta davvero i dati: i fornitori nella catena
Qui molti titolari scoprono un pezzo che non avevano considerato. Quando risponde un'AI, la voce del chiamante non resta nel tuo telefono. Passa per un operatore telefonico, per un servizio che la trasforma in testo, per un modello che la interpreta, per un sistema che scrive sul calendario e magari per un gestionale o un CRM. Ognuno di questi è un fornitore che tocca dati personali.
Dal punto di vista GDPR, i fornitori che trattano dati per tuo conto sono in genere responsabili del trattamento, e serve un accordo scritto che lo regoli (l'articolo 28). Il titolare sei tu, e la responsabilità verso il chiamante resta tua anche se il lavoro lo fa qualcun altro. Per questo conviene saper rispondere a poche domande prima di accendere qualsiasi cosa:
- Quali fornitori compongono la catena, uno per uno?
- Dove vengono trattati e conservati i dati, dentro o fuori dall'Unione europea?
- I dati delle tue chiamate vengono usati dal fornitore per addestrare i suoi modelli?
- Cosa succede quando chiudi il servizio: i dati si cancellano, e chi lo certifica?
È qui che si vede la differenza tra una soluzione pronta e un sistema costruito sul tuo processo. Le soluzioni pronte all'uso offrono di solito un'informativa e un accordo standard uguali per tutti, e la catena di fornitori è quella scelta dal fornitore, non da te. Un sistema su misura ti permette di decidere cosa si registra, cosa si trascrive, cosa si butta a fine chiamata e dove vive ogni dato. Non è sempre necessario: per uno studio con pochi appuntamenti e nessun dato delicato, una soluzione standard ben letta può bastare. Ma devi averla letta davvero.
Registrazione, trascrizioni e tempi di conservazione
Un assistente vocale produce di norma tre cose: l'audio, la trascrizione e i dati strutturati (nome, motivo, data scelta). Sono tre oggetti diversi, con rischi diversi, e non devi per forza conservarli tutti. Spesso l'unica cosa che serve per lavorare è il dato strutturato sul calendario. L'audio è la parte più ingombrante dal punto di vista privacy, e registrarlo "perché può servire" non è un motivo sufficiente.
Se decidi di registrare, devi dirlo nell'informativa a voce e per iscritto, e stabilire un tempo di conservazione che sia coerente con lo scopo. Il tema ha le sue regole e le sue sfumature, e lo trovi sviluppato in registrazione delle chiamate e GDPR con l'AI. Se invece non ti serve, la scelta più semplice è non registrare e cancellare la trascrizione dopo che l'appuntamento è confermato.
Quando serve più attenzione
Ci sono contesti in cui la cautela deve salire. Se chi chiama parla di sintomi, terapie o patologie, stai trattando dati relativi alla salute, una categoria con tutele rafforzate. Uno studio medico, un fisioterapista o un dentista non possono trattare quel passaggio come una normale prenotazione: ne parliamo in dati sanitari al telefono con l'AI. Una buona scelta di progetto è far raccogliere all'assistente solo il necessario per fissare la visita, e lasciare il resto al professionista.
Lo stesso vale se tra i chiamanti ci possono essere minori, o se l'assistente raccoglie informazioni che non servono allo scopo. Il principio è sempre lo stesso: raccogli il minimo che ti serve per fare il lavoro, e dillo.
Cosa puoi fare questa settimana
- Ascolta la tua stessa presentazione: se l'assistente non dice che è un'AI, correggila oggi.
- Scrivi la versione breve a voce e la versione completa sul sito, con gli stessi contenuti.
- Fai l'elenco dei fornitori che toccano la chiamata e controlla che esista un accordo scritto con ciascuno.
- Decidi cosa conservi (audio, testo, dati) e per quanto, e scrivilo.
- Verifica che il passaggio a una persona funzioni davvero, anche fuori orario, con un messaggio di richiamata.
- Fai rivedere il tutto dal tuo consulente privacy o dal tuo DPO, se ne hai uno.
Dove l'AI non basta
Un assistente può leggere l'informativa e raccogliere il consenso quando serve, ma non sa valutare se il tuo trattamento è proporzionato, se la base giuridica è quella giusta o se ti serve una valutazione d'impatto. Quelle sono decisioni tue, aiutate da un professionista. Anche la responsabilità finale verso il Garante o verso il cliente non si delega a un software. E se sul tuo territorio o nel tuo settore ci sono regole specifiche, un professionista ti dirà cosa vale nel tuo caso, perché questo articolo non può farlo.
Quello che possiamo fare noi è costruire un centralino in cui l'informativa è parte del flusso e non un'aggiunta: l'assistente si dichiara, dà il primo strato a voce, manda il secondo per messaggio, registra solo ciò che hai deciso di registrare e passa la chiamata a una persona quando serve. Se vuoi vedere come funziona il servizio nel suo insieme, parti da la pagina sul centralino AI su misura e scrivici: guardiamo il tuo processo, i tuoi fornitori e i dati che passano davvero dalle tue chiamate, e ti diciamo cosa serve e cosa no.
Domande frequenti
Basta dire al chiamante che parla con un'AI per essere in regola con la privacy?
No. Dichiarare che risponde un'AI risponde all'obbligo di trasparenza dell'AI Act (articolo 50, applicabile dal 2 agosto 2026). L'informativa privacy è un obbligo diverso, che viene dal GDPR, e riguarda cosa fai con i dati raccolti. Servono entrambi.
Come si dà l'informativa privacy a voce senza allungare la chiamata?
Con un'informativa a strati: pochi secondi iniziali che dicono chi risponde, a cosa servono i dati e dove trovare il testo completo, poi il link all'informativa per SMS o WhatsApp e nel messaggio di conferma. Il chiamante deve poter chiedere una persona in qualsiasi momento.
Devo registrare le chiamate gestite dall'assistente?
Non è obbligatorio e spesso non serve: per fissare appuntamenti basta il dato strutturato. Se decidi di registrare, devi dirlo nell'informativa, avere uno scopo chiaro e stabilire un tempo di conservazione coerente. Per il tuo caso specifico confrontati con un professionista.
Il fornitore del centralino AI è responsabile al posto mio?
In genere il fornitore tratta i dati per tuo conto come responsabile del trattamento, con un accordo scritto. Ma il titolare resta tu, e la responsabilità verso il chiamante non passa al fornitore. Prima di partire chiedi dove stanno i dati e se vengono usati per addestrare modelli.
Cosa cambia se chiamano per questioni di salute?
I dati sulla salute hanno tutele rafforzate nel GDPR. Conviene far raccogliere all'assistente solo ciò che serve a fissare la visita e lasciare i dettagli clinici al professionista. Per studi medici, dentisti e fisioterapisti è utile farsi seguire da un consulente privacy.
Parla con AstraLoop: guardiamo il tuo processo, i tuoi fornitori e i dati che passano dalle tue chiamate, e costruiamo un centralino AI su misura con l'informativa già al suo posto.