Una richiesta sui tuoi dati, cioè una «richiesta di accesso» ai sensi del GDPR, è il controllo sulla privacy più diretto che esista. Invece di leggere una policy su ciò che un’azienda potrebbe fare, ricevi una copia di ciò che ha davvero.
Chi ha questi diritti
Dove vivi decide quale legge puoi usare, non dove ha sede l’azienda.
- Italia, UE e SEE: il GDPR ti dà il diritto di accedere ai tuoi dati (art. 15), correggerli, cancellarli (art. 17), portarli altrove (art. 20) e opporti a certi usi. L’autorità di controllo italiana è il Garante per la protezione dei dati personali.
- Regno Unito: l’UK GDPR, con gli stessi diritti.
- California: il CCPA, come modificato, dà diritto di sapere, cancellare, correggere e rifiutare la vendita o la condivisione dei dati.
- Altri Stati USA: un elenco in crescita, tra cui Virginia, Colorado, Connecticut, Texas e altri, ha leggi generali sulla privacy con diritti in gran parte simili. Alcune si applicano solo sopra certe dimensioni aziendali.
Se nessuna di queste ti riguarda, chiedi comunque. Molte aziende trattano tutte le richieste allo stesso modo perché è più semplice.
Cosa chiedere
| Diritto | Cosa ottieni | Quando usarlo |
|---|---|---|
| Accesso | Una copia dei tuoi dati e come vengono usati | Parti sempre da qui |
| Portabilità | I tuoi dati in un formato riutilizzabile | Quando passi a un’altra app |
| Cancellazione | La rimozione dei tuoi dati | Quando te ne vai, o dopo una violazione |
| Opposizione / opt-out | Fermare certi usi, come l’addestramento o la condivisione per pubblicità | Quando resti, ma alle tue condizioni |
| Rettifica | Correggere dati inesatti | Età sbagliata, email sbagliata, account fusi |
Una richiesta da copiare
Inviala dall’indirizzo email del tuo account, all’indirizzo privacy indicato nella privacy policy dell’azienda (spesso privacy@ o dpo@), oppure tramite il suo modulo per la privacy.
Oggetto: Richiesta di accesso ai dati personali (art. 15 GDPR)
Con la presente chiedo l’accesso ai dati personali che mi riguardano, ai sensi dell’art. 15 del GDPR (o del California Consumer Privacy Act, se sei in California: cancella ciò che non serve). L’email del mio account è [indirizzo] e il mio nome utente è [nome utente].
Vi chiedo di fornirmi: una copia di tutti i dati personali che conservate su di me, compresi la cronologia delle conversazioni, le immagini generate o caricate, le registrazioni vocali, i dati di memoria o di profilo ricavati dalle mie chat, i dati di pagamento e quelli del dispositivo; le finalità del trattamento; i destinatari a cui li avete comunicati, compresi i fornitori di pubblicità e di modelli di IA; per quanto tempo li conserverete; e se i miei dati sono stati usati per addestrare o migliorare modelli di IA.
Vi chiedo di rispondere entro il termine previsto dalla legge.Per la cancellazione, sostituisci il primo paragrafo con la richiesta di cancellare tutti i dati personali e di confermarlo a operazione conclusa, comprese le copie di backup e quelle detenute dai responsabili del trattamento. Se l’azienda risponde solo in inglese, puoi inviare la stessa richiesta anche in inglese.
Che aspetto ha una buona risposta
Un’azienda scrupolosa ti manda un archivio scaricabile: le tue chat, l’elenco dei «ricordi» memorizzati su di te, le immagini, la cronologia dei pagamenti e degli accessi, e una spiegazione scritta di chi ha ricevuto cosa. Presta attenzione soprattutto a due sezioni:
- I dati derivati. Riassunti, note sulla personalità e «fatti su di te» che l’app ha dedotto. Spesso sono la parte più rivelatrice e spiegano come funziona la memoria di un compagno AI nel tuo caso specifico.
- I destinatari. Fornitori di modelli, società di analisi e partner pubblicitari. Confrontali con quanto diceva la policy: vedi le app di fidanzata AI vendono i tuoi dati?
Quando ti ignorano
- Manda un sollecito dopo la scadenza, citando la data della tua richiesta originale.
- Presenta reclamo al Garante per la protezione dei dati personali. Il Garante mette a disposizione sul suo sito un modello di reclamo; lo puoi inviare per PEC, raccomandata o consegna a mano. Se sei in un altro paese, rivolgiti all’autorità nazionale: nel Regno Unito l’ICO, in California la California Privacy Protection Agency o il Procuratore generale.
- Conserva le prove di ogni messaggio e di ogni data. Le autorità le chiedono.
Le autorità intervengono davvero in questo settore. Nel 2025 il Garante ha multato di 5 milioni di euro la società dietro Replika, in parte per una privacy policy che non spiegava con chiarezza i trattamenti e all’epoca era disponibile solo in inglese.
Prima di cancellare: esporta
Se un giorno potresti volere il tuo personaggio o la tua cronologia, chiedi l’accesso o usa lo strumento di esportazione dell’app prima di chiedere la cancellazione. La cancellazione è definitiva e alcune app tolgono i backup dalla rotazione solo dopo settimane: la sequenza completa è in come cancellare l’account di un compagno AI.
Perché vale la pena farlo anche se resti
Una richiesta sui dati è un piccolo test silenzioso per un’azienda. Una che risponde in modo chiaro e in tempo ti dice qualcosa su come tratta il resto dei tuoi dati. Una che ti ignora ti dice qualcosa anche lei, e lo avrai scoperto prima di una violazione, non dopo.