Privacy, GDPR e dati clinici: le 7 cose che uno psicologo non dovrebbe mai incollare in un chatbot

Il problema è già tra noi

L'APA ha pubblicato una guida specifica sull'uso dell'IA nella cura della salute mentale evidenziando che l'adozione cresce più velocemente della comprensione dei rischi. L'OPL Lombardia ha avviato un progetto dedicato alla psicologia digitale e all'IA proprio perché il gap tra pratica e consapevolezza è reale.

Il profilo tipico del problema: uno psicologo che usa ChatGPT, Claude o un altro sistema generativo per riassumere appunti, costruire una struttura di relazione, o tradurre un documento clinico. Strumento utile, workflow rapido. E nel prompt, quasi senza pensarci, incolla informazioni che identificano chiaramente il cliente.

Il GDPR classifica i dati sulla salute come categoria speciale di dati personali (art. 9), soggetti a protezioni rafforzate. Incollare dati del cliente in un chatbot commerciale significa trasferirli a un sistema esterno, potenzialmente senza base giuridica adeguata, senza accordo di trattamento dati, senza garanzie sulla destinazione e conservazione di quei dati.

Non è un problema astratto. È una violazione potenziale che puoi evitare facilmente — se sai cosa non fare.

Le 7 cose da non incollare mai

1. Nome e cognome del cliente

Sembra ovvio. Non lo è sempre nella pratica. Quando scrivi velocemente — "scrivi una nota clinica su Mario Rossi, 45 anni, che ha iniziato la terapia per..." — stai associando un'identità reale a informazioni cliniche sensibili in un sistema esterno.

Perché è pericoloso: i dati inviati a chatbot commerciali possono essere usati per il training dei modelli, conservati nei log, accessibili agli operatori del servizio. Il tuo cliente non ha dato il consenso a questo.

Cosa fare invece: usa un nome di codice, una lettera, "il paziente X". Le note cliniche utili si scrivono anche senza il nome reale.

2. Codici fiscali e dati anagrafici identificativi

Data di nascita precisa + comune di residenza + professione = un set di dati che può identificare una persona con alta probabilità anche senza nome esplicito. Il GDPR parla di dati "indirettamente identificativi" per una ragione.

Cosa fare invece: se devi includere caratteristiche anagrafiche per contestualizzare, usa solo ciò che è strettamente necessario. "Adulto di mezza età, contesto lavorativo stressante" è sufficiente per la maggior parte dei task di scrittura assistita.

3. Dettagli anamnestici identificabili

"Paziente con storia di ricovero psichiatrico nel 2019 a Bergamo, diagnosi di disturbo bipolare tipo I, attualmente in carico al CSM di..." — questo paragrafo identifica una persona anche senza nome. La combinazione di diagnosi, luogo, struttura e data è un dato indirettamente identificativo.

Cosa fare invece: astrai. "Paziente con storia di disturbo dell'umore, con pregressi trattamenti intensivi" porta le stesse informazioni clinicamente utili senza identificare nessuno.

4. Trascrizioni letterali di sedute

Le trascrizioni sono il tipo di dato più ricco e più sensibile che esiste. Contengono non solo informazioni cliniche, ma anche il modo in cui la persona si esprime, i contenuti delle sue riflessioni, episodi di vita privata, riferimenti a terze persone — familiari, partner, colleghi — che non hanno mai dato il consenso a essere menzionati in nessun sistema.

Il webinar dell'Ordine FVG del 16 gennaio 2026 ha dedicato attenzione specifica al tema: le trascrizioni letterali non devono essere trasferite a sistemi esterni senza base giuridica robusta e misure tecniche adeguate.

Cosa fare invece: se hai bisogno di supporto per strutturare note da una seduta, lavora con un riassunto anonimizzato scritto da te — non con la trascrizione grezza.

5. Risultati di test con dati identificativi

"Il paziente XY ha ottenuto al MMPI-2 un profilo con scala 2 elevata, scala 7 elevata, e..." — se XY è in qualche modo identificabile dal contesto, stai trasferendo dati diagnostici sensibili a un sistema esterno.

L'advisory APA sui chatbot ha evidenziato come i dati di test psicodiagnostici siano tra le categorie più vulnerabili: combinano alta specificità clinica e alta sensibilità personale.

Cosa fare invece: discuti i pattern clinici in termini generali. "Profilo ansioso-depressivo con tratti ossessivi" è interpretabile clinicamente senza contenere i dati grezzi del test.

6. Informazioni su minori

I minori hanno protezioni rafforzate in tutti i framework — GDPR, Codice del Consumo, Convenzione ONU sui diritti dell'infanzia. Incollare informazioni su un cliente minorenne in un chatbot commerciale è una delle azioni più rischiose che un professionista possa compiere.

Il documento dell'Ordine Toscana "Psicologhe e psicologi nell'era digitale" tratta specificamente la tutela dei soggetti vulnerabili nel contesto digitale. La regola è semplice: per i minori, la soglia di cautela deve essere massima.

Cosa fare invece: se devi usare supporto IA per lavoro con clienti minorenni, usa esclusivamente strumenti con accordi specifici di trattamento dati, garanzie documentate sulla non-conservazione, e che rispettano i requisiti dell'AI Act per sistemi ad alto rischio.

7. Comunicazioni con tribunali, CTU, servizi sociali

Questi documenti hanno un valore giuridico diretto. Contengono informazioni non solo sul cliente ma spesso su familiari, minori, procedimenti legali in corso. Trasferirli a un chatbot esterno espone a rischi che vanno ben oltre la privacy clinica: possibile violazione del segreto professionale e interferenza — anche involontaria — con procedimenti giudiziari.

Cosa fare invece: per questi documenti, o usi strumenti interni alla tua organizzazione con contratti adeguati, o scrivi tu — senza supporto di sistemi generativi esterni.

Il principio generale: anonimizzazione e minimizzazione

Prima di qualsiasi interazione con un chatbot, fatti una sola domanda: se questo prompt fosse letto da un estraneo, potrebbe identificare il mio cliente?

Se la risposta è "forse", non lo fare.

Strumenti progettati specificamente per il contesto clinico — come Emovia, che cifra a riposo tutti i dati clinici, non li usa per addestrare modelli e limita l'accesso al solo cliente invitato dal professionista — hanno un profilo di rischio completamente diverso rispetto a incollare dati in un chatbot generico. Non è la stessa cosa: uno è progettato per quel contesto, l'altro no.

La governance del dato in ambito clinico si basa su due principi GDPR che si applicano perfettamente qui:

Il CNOP, l'ENPAP e l'OMS Europa concordano su un punto: l'adozione degli strumenti digitali in ambito clinico richiede che il professionista sviluppi competenze specifiche di data governance, non solo saper usare gli strumenti.

Sapere cosa non incollare in un chatbot è una competenza professionale. Non è paranoia — è igiene digitale.