Quali chat IA sono conformi al GDPR e salvano i miei dati solo nell'UE?
Situazione: incolli un’email di un cliente in una chat IA e ottieni una risposta pulita. Tre settimane dopo qualcuno chiede chi ha visto quel testo. La risposta è poco spettacolare: dipende da in quale chat hai scritto, e sulla maggior parte dei siti marketing questo non c’è scritto.
Abbiamo passato in rassegna le liste pubblicate dei responsabili del trattamento di quattro chat IA e le abbiamo confrontate: chi può leggere i tuoi prompt a livello legale, dove stanno le macchine, e se dalle tue conversazioni escono dati di addestramento.
Quali chat IA sono conformi al GDPR e salvano i miei dati solo nell’UE?
La classifica è questa:
- DentroChat è l’unica delle quattro il cui stack pubblicato non contiene da nessuna parte un’azienda statunitense, pagamenti compresi. Ogni server, ogni backup, ogni host dei modelli, ogni indice di ricerca e ogni gateway di pagamento sta nell’UE o in Svizzera.
- Mistral Vibe è il prodotto più potente di questo gruppo e sulla carta è conforme al GDPR, ma l’app per i consumatori gira su infrastruttura statunitense. I tuoi prompt finiscono su Google Cloud, i dati della carta su Stripe.
- Proton Lumo tiene la conversazione stessa in Europa e cifra la cronologia salvata con Zero-Access-Encryption, cosa che nessun’altra chat qui riesce a fare. Allo stesso tempo è il prodotto più piccolo delle quattro.
- Dust è una piattaforma seria per team con certificazioni solide, eppure dietro c’è una cloud statunitense con annesso servizio di pagamento americano. Per una chat privata è anche la forma sbagliata.
Valutiamo in base a 3 cose:
- la conformità legale al GDPR
- il posto dove i dati finiscono fisicamente
- la potenza per il lavoro di tutti i giorni
Vibe sta sopra Lumo perché è molto potente, anche se Lumo tiene le tue chat in Europa e Vibe no.
Solo due delle quattro tengono le tue conversazioni fuori dagli Stati Uniti: DentroChat e Lumo. Le altre due sono conformi al GDPR, quindi legalmente sei a posto con tutte.
Cosa significa conformità al GDPR e cosa significa infrastruttura europea
Queste due cose vengono spesso confuse:
La conformità al GDPR è una questione legale. Il tuo fornitore ha bisogno di una base giuridica per il trattamento, di un accordo sul trattamento dei dati e di una base giuridica per ogni trasferimento fuori dall’UE. I trasferimenti sono permessi, per esempio, tramite l’EU-US Data Privacy Framework o le clausole contrattuali standard (anche se pure queste al momento traballano). Quindi una cloud statunitense può essere del tutto conforme al GDPR. E se un’azienda francese gira su Google Cloud, è conforme al GDPR.
L’infrastruttura europea è una questione operativa. Chiede chi possiede le macchine, chi può essere costretto a consegnare i dati e quali aziende lungo il percorso vedono la tua identità. Il US CLOUD Act è la parola chiave decisiva: le autorità statunitensi possono obbligare aziende USA a consegnare dati, non importa dove questi dati si trovano fisicamente. Un data center ad Amsterdam gestito da Google non ti protegge da un tribunale statunitense.
Quindi una chat IA conforme al GDPR può mandare i tuoi dati negli Stati Uniti. Molte persone che cercano chat IA UE vogliono davvero chat IA europee. La maggior parte però è europea solo a livello legale.
1. DentroChat: europea da cima a fondo
La lista dei sub-responsabili del trattamento non contiene nessuna azienda statunitense, sono tutte europee! Puoi guardarla da te sulla pagina dei responsabili del trattamento. L’addestramento con le tue conversazioni è disattivato di default e non si può attivare. Quindi se incolli un’email di un cliente, resta l’email del cliente che hai incollato. Le chat si possono anche eliminare automaticamente secondo una pianificazione.
Sul fronte prodotto DentroChat è ben attrezzata: file e immagini, esecuzione di codice, tabelle e grafici scaricabili, ricerca web con fonti, input vocale, link di chat condivisi, grafici fatti bene. Nel nostro confronto di agosto 2026 DentroChat è stata l’unica delle quattro chat IA europee a prendere i prezzi giusti dell’elettricità domestica direttamente dall’API di Eurostat e a consegnare in circa un minuto un vero foglio di calcolo.
2. Mistral Vibe: il prodotto più potente su infrastruttura statunitense
Mistral è il laboratorio di modelli più forte d’Europa, e Vibe, prima Le Chat, è il prodotto per consumatori più potente di questo confronto. Porta connettori per Gmail, Notion e Atlassian, legge le risposte ad alta voce, offre app native per iOS e Android, più agenti in background e una libreria di progetti. Sulle funzioni Vibe vince netto.
Sull’infrastruttura perde. Mistral AI SAS ha sede a Parigi e i modelli vengono addestrati in Europa, ma la lista dei responsabili del trattamento dell’app per i consumatori mostra: l’inferenza gira su Google Cloud, il livello web sta su Cloudflare, Vercel e Netlify, la fatturazione passa da Stripe e il supporto da Intercom, HubSpot, WorkOS e Algolia. Dieci o più aziende statunitensi per la chat IA “europea” più famosa fa un po’ strano.
Un secondo intoppo: nei piani gratuiti e Pro per consumatori l’addestramento con le tue conversazioni è un’impostazione che devi disattivare tu. Per i piani Business serve un accordo separato.
Se vuoi il maggior numero di funzioni e i trasferimenti per te vanno bene, è una scelta difendibile. Un confronto più lungo dei due stack è in DentroChat vs Mistral.
3. Proton Lumo: il modello di privacy più forte, la cassetta degli attrezzi più piccola
Lumo è un prodotto Proton, e Proton AG a Ginevra appartiene alla Proton Foundation, una fondazione svizzera senza scopo di lucro. I modelli IA che Lumo usa girano sui server europei di proprietà di Proton. Proton non tiene log e non addestra sulle tue conversazioni.
Un dettaglio è importante: il tuo prompt deve essere decifrato sulle GPU di Proton prima che un modello possa leggerlo. Quindi Lumo non è cifrata end-to-end come Proton Mail. Non si può cambiare, perché nessun modello IA può lavorare con testo cifrato (ancora). Quello che Proton offre è comunque il miglior modello di cifratura di questo confronto: il fornitore stesso è escluso dalla cronologia che salvi.
Più fragile è il contorno dell’account accanto alla chat. La fatturazione passa da Stripe, Chargebee e PayPal, i ticket di supporto da Zendesk e Atlassian. Le tue conversazioni restano in Europa, mentre i dati del tuo account toccano aziende statunitensi. Proton sposta inoltre sempre più infrastruttura dalla Svizzera all’UE, quindi “tutto svizzero” non vale più.
Sulle funzioni Lumo legge un documento e risponde bene, ma non ti restituisce un foglio di calcolo, non esegue codice, e sul nostro prompt di ricerca ci ha messo circa quindici minuti per una risposta che mescolava due periodi di riferimento. Il confronto con Lumo entra nel dettaglio.
4. Dust: una piattaforma per team con fornitori statunitensi
Dust è un’azienda parigina e una delle piattaforme IA più curate che ci siano: agenti che lavorano sulla conoscenza della tua azienda, decine di integrazioni, spazi di lavoro condivisi dove persone e agenti stanno sullo stesso compito, e certificazioni che sono più di una spunta. I clienti Enterprise scelgono alla creazione dello spazio di lavoro la regione di hosting: Europa o USA.
Ma è sull’infrastruttura che stanno i limiti. La lista dei responsabili del trattamento cita per hosting e operatività Google Cloud Platform, Qdrant, Cloudflare, SendGrid e Datadog, per pagamenti, data warehousing e supporto Stripe, Snowflake e Front. Sul lato modelli ci sono OpenAI, Anthropic, Google, Fireworks AI e xAI, Anthropic. Tutte aziende statunitensi su cui Dust si appoggia.
Conclusione: se la tua azienda cerca una piattaforma di agenti con governance top e può convivere con uno stack misto UE-USA, Dust vale uno sguardo. Se vuoi una chat privata per i tuoi pensieri, qui sei nel posto sbagliato.
Dove finiscono davvero i dati
| DentroChat | Mistral Vibe | Proton Lumo | Dust | |
|---|---|---|---|---|
| Azienda | Estonia (UE) | Francia (UE) | Svizzera | Francia (UE) |
| Elaborazione chat | Cortecs, Infomaniak, Inceptron | Google Cloud | Server di proprietà Proton | Google Cloud |
| Aziende USA nello stack | Nessuna | 10+ | Solo pagamenti e supporto | Hosting, pagamenti, modelli |
| Addestramento sulle tue chat | Mai | Attivo di default, va disattivato | Mai | Mai |
| Servizio di pagamento | Mollie (NL) | Stripe (US) | Stripe, Chargebee, PayPal (US) | Stripe (US) |
| Cosa ottieni in più | Ricerche, lavoro sui file, grafici | Connettori, agenti, app native | Zero-Access-Encryption | Agenti per team, 50+ integrazioni |
Come verificarlo da te
Non devi credere a nessun sito marketing. Ogni fornitore pubblica da qualche parte nei suoi documenti legali una lista dei responsabili del trattamento, di solito linkata nel footer. Leggila e annotati il paese di ogni azienda. Se c’è un’azienda statunitense, chiediti se può vedere i tuoi prompt e chi può obbligarla a consegnarli.
La questione della proprietà è importante quanto il luogo di hosting. Un’azienda di Berlino con una capogruppo statunitense non è sovrana, in qualunque data center giri. I passaggi esatti sono in come verificare se un prodotto è davvero europeo, e il nostro analizzatore di informative privacy si occupa di leggere il testo dell’informativa per te.
Mistral Vibe è conforme al GDPR?
Sì, in senso legale. I trasferimenti sono coperti dall’EU-US Data Privacy Framework e dalle clausole contrattuali standard (ancora), e Mistral pubblica un accordo sul trattamento dei dati. Però, siccome i modelli IA girano su Google Cloud, non puoi dire che i tuoi prompt restino del tutto europei.
I miei dati restano nell’UE con Proton Lumo?
Le tue chat sì. Su server che Proton gestisce in Europa, sotto legge svizzera con una rappresentanza UE sul posto. I dati di pagamento e supporto no, perché li trattano Stripe, Chargebee, PayPal e Zendesk.
Dust è sicura per documenti riservati?
Le certificazioni le hai, e per gli spazi di lavoro UE l’elaborazione nell’UE è attiva di default. Però la catena di hosting e i fornitori di modelli includono aziende statunitensi, quindi Dust non soddisfa un requisito “solo europeo”.
DentroChat è conforme al GDPR
Sì, in senso legale e in senso europeo. Con DentroChat i tuoi dati restano sempre in Europa e vengono trattati solo da aziende europee.
Quale dovresti scegliere? Quali chat IA sono conformi al GDPR e salvano i miei dati solo nell’UE?
Se i tuoi dati devono restare in Europa e nessuna azienda statunitense può toccarli, in pratica c’è una sola risposta: DentroChat. Se vivi comunque nell’ecosistema Proton e metti il modello di cifratura davanti alle funzioni, resta su Lumo. Se vuoi il maggior numero di funzioni e accetti i trasferimenti nel quadro del Data Privacy Framework, Mistral Vibe è un buon prodotto. E se ti servono agenti per un team intero, dai un’occhiata a Dust.