Registrare un comitato di pilotaggio: quali regole GDPR?

Più entità in una riunione, con due basi legali che coesistono.

Collaboratori e partecipanti esterni hanno basi legali diverse. Informazioni, contratto, chiusura e cancellazione dati.

Registrate i vostri comitati di progetto per ottenere un verbale condiviso? È possibile, ma un comitato di pilotaggio riunisce persone di diverse entità: il vostro team, il cliente, a volte fornitori esterni.

È questa mescolanza che complica la regolamentazione, più del tema trattato.

È possibile registrare un comitato di pilotaggio?

Sì, ma non senza regolare il trattamento.

Un comitato di pilotaggio nomina responsabili, assegna scadenze e discute il lavoro di persone identificate. Costituisce quindi un trattamento di dati personali ai sensi del GDPR.

Dovete in particolare:

informare tutti i partecipanti prima della registrazione;
distinguere i vostri collaboratori dagli esterni;
definire una base legale per ciascuno;
stabilire la finalità della registrazione;
limitare la durata della conservazione;
prevedere il caso di persone che si uniscono al progetto in corso.

Registrare a insaputa delle persone presenti è inoltre punito dal Codice penale con «un anno di reclusione e 45.000 euro di multa per chi, con qualsiasi mezzo, viola volontariamente la privacy altrui: 1° catturando, registrando o trasmettendo senza consenso parole pronunciate in privato o confidenzialmente» (articolo 226-1).

Una registrazione di comitato è un dato personale?

Sì.

Il GDPR definisce dato personale come «qualsiasi informazione relativa a una persona fisica identificata o identificabile» (articolo 4, punto 1).

Un verbale nominativo condiviso tra più organizzazioni è un trattamento a sé.

Anche trascrizione e resoconto sono coinvolti.

Perché questo tipo di riunione richiede attenzione particolare?

Perché i partecipanti non appartengono tutti allo stesso datore di lavoro.

Ciò che vale per un vostro collaboratore non vale per il project manager del cliente o il consulente del fornitore. Il quadro comune è dettagliato nella pagina registrare una riunione professionale.

Effettuate inoltre più trattamenti successivi:

registrare → trascrivere → redigere → inviare ai due team → conservare → cancellare.

Quali dati vengono registrati?

A seconda dello strumento, potete conservare:

audio della sessione;
trascrizione;
nomi e organizzazioni dei partecipanti;
data e durata;
verbale;
punti critici;
azioni e responsabili.

È necessario avvertire i partecipanti prima della registrazione?

Sì.

L'informazione deve essere fornita prima o al momento della raccolta dei dati. Il testo richiede che sia data «al momento dell'ottenimento dei dati» (GDPR, articolo 13, paragrafo 1).

In un comitato ricorrente, l'annuncio avviene all'avvio del progetto e si ricorda all'apertura di ogni seduta.

Cosa dire ai partecipanti?

La CNIL indica che devono essere informati «dell'esistenza del sistema; dell'identità del responsabile del trattamento; delle finalità perseguite».

Dovete quindi spiegare chiaramente:

chi registra → perché → chi riceverà il verbale → durata della conservazione.

I partecipanti esterni vanno trattati diversamente?

Sì.

Non sono coperti né dall'interesse legittimo del loro datore né dal vostro. Il loro consenso va richiesto esplicitamente.

Va specificato che un'IA redige il verbale?

Sì.

Registrazione audio e trattamento successivo da parte dell'IA sono due operazioni da distinguere.

Il regolamento europeo sull'intelligenza artificiale prevede che «i fornitori garantiscano che i sistemi IA che interagiscono direttamente con persone fisiche siano progettati per informare gli utenti che interagiscono con un sistema IA» (articolo 50, paragrafo 1). Questi obblighi valgono dal 2 agosto 2026 e riguardano il fornitore; il vostro obbligo di informare deriva dal GDPR e dalla CNIL.

Potete ad esempio dire:

«La sessione è registrata e un assistente IA redige automaticamente il verbale, che circola tra i nostri due team.»

Cosa fare se cambia la composizione del comitato?

Informate ogni nuovo arrivato alla sua prima seduta.

Un comitato cambia nel tempo e l'informazione segue gli ingressi.

Quale base legale usare per registrare un comitato di pilotaggio?

Due basi legali possono coesistere nella stessa riunione.

Non è obbligatorio adottare un'unica base per tutti i presenti.

Si può usare l'interesse legittimo?

Sì, per i vostri collaboratori.

L'articolo 6 del GDPR autorizza un trattamento «necessario per gli interessi legittimi del titolare o di terzi, salvo prevalenza di diritti e libertà fondamentali della persona» (paragrafo 1, punto f).

Dovete effettuare un bilanciamento degli interessi e informare i partecipanti.

Si può usare il consenso?

Sì, ed è la via per gli esterni.

Il consenso è «qualsiasi manifestazione libera, specifica, informata e inequivocabile con cui la persona accetta» (GDPR, articolo 4, punto 11). Il titolare deve «dimostrare che il consenso è stato dato» (articolo 7, paragrafo 1). È la stessa procedura di un appuntamento commerciale e una visita in cantiere.

Va menzionata la registrazione nel contratto di servizio?

È il modo più semplice per risolvere la questione una volta per tutte.

Si affronta all'inizio del progetto, non a ogni seduta.

Un partecipante può opporsi?

Sì, nei termini del GDPR.

La persona «ha diritto di opporsi in qualsiasi momento, per motivi legati alla sua situazione, al trattamento basato sull'articolo 6, paragrafo 1, lettere e) o f)» (GDPR, articolo 21, paragrafo 1).

Per chi è coperto dall'interesse legittimo vale il diritto di opposizione; per gli altri, il consenso si ritira facilmente.

Quanto tempo conservare la registrazione di un comitato?

Solo per il tempo necessario alla finalità, e non oltre.

Il GDPR impone dati «conservati in forma identificabile per un periodo non superiore al necessario» (articolo 5, paragrafo 1, punto e).

Per un progetto, è utile legare la durata a un evento specifico.

Quanto conservare l'audio?

Per ascolto e registrazione di chiamate lavorative, la CNIL indica «fino a sei mesi al massimo».

Dopo la validazione del verbale, l'audio generalmente non serve più.

Quanto conservare il verbale?

La CNIL indica «fino a un anno» per i documenti di analisi.

Un verbale di progetto può essere conservato per la durata del progetto, se scritto.

Cosa succede alla fine del progetto?

Spesso è la domanda più trascurata.

Un progetto finisce, i comitati restano nella libreria. Una politica efficace prevede:

seduta → verbale → chiusura progetto → cancellazione.

Chi può accedere alla registrazione di un comitato di pilotaggio?

Solo chi ne ha bisogno per il monitoraggio.

Partecipanti e chi riprende il dossier. Non l'intero team, salvo decisione esplicita.

Chi può consultare audio, trascrizione e verbale?

I tre file rispondono a esigenze diverse.

Potete per esempio:

condividere il verbale con entrambi i team;
limitare l'accesso alla trascrizione;
conservare l'audio solo se giustificato.

Il verbale viene inviato al cliente?

Spesso, ed è legittimo.

Una copia esce dalla vostra organizzazione e entra in un'altra con regole proprie. La vostra durata di conservazione non si impone alla sua.

Va criptato il dato?

La sicurezza deve essere proporzionata al rischio.

Il GDPR richiede «misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato, inclusi pseudonimizzazione e cifratura» (articolo 32, paragrafo 1).

Quali diritti hanno i partecipanti?

I registrati godono dei diritti previsti dal GDPR.

Possono chiedere accesso ai loro dati?

Sì.

La persona «ha diritto di ottenere conferma dal titolare se i dati personali la riguardano sono trattati» (GDPR, articolo 15, paragrafo 1). Riguarda audio, trascrizione e verbale.

Possono chiedere rettifica?

Sì.

La persona «ha diritto di ottenere la rettifica dei dati inesatti» (GDPR, articolo 16).

In un comitato, un'azione attribuita erroneamente si corregge così.

L'IA può trascrivere male:

un nome proprio;
una scadenza;
un punto critico;
un impegno;
l'identità del parlante.

Possono chiedere cancellazione?

Sì, nei termini del GDPR.

La persona «ha diritto all'eliminazione dei dati personali» (GDPR, articolo 17, paragrafo 1).

Chi gestisce la richiesta se più organizzazioni sono coinvolte?

Chi ha registrato.

È il titolare del trattamento, anche se il verbale è circolato altrove.

Entro quando rispondere?

Di norma entro un mese. Il titolare risponde «senza ritardo e comunque entro un mese dalla richiesta» (GDPR, articolo 12, paragrafo 3).

Quali obblighi quando l'IA prende appunti?

L'IA aggiunge un trattamento alla semplice registrazione.

Il processo è:

audio → trascrizione → analisi → verbale azioni → diffusione ai due team.

Cosa fa concretamente l'IA?

Può:

trascrivere la seduta;
identificare i partecipanti;
estrarre decisioni;
evidenziare punti critici;
produrre un verbale;
assegnare azioni ai responsabili.

Dove sono conservati i dati?

È una delle prime domande da fare al fornitore e che il cliente porrà prima di accettare la registrazione.

Con Leexi, registrazioni, trascrizioni e verbali restano in regione Parigi, su AWS. Oltre un certo volume di licenze, si può scegliere hosting Scaleway.

Chi tratta i dati?

Il fornitore è sub-responsabile secondo il GDPR.

Per Leexi, OpenAI fornisce il modello linguistico ed è eseguito da Leexi via Azure Francia in circuito chiuso.

Serve un DPA con il fornitore?

Sì, se il fornitore è sub-responsabile.

L'articolo 28 del GDPR prevede un contratto che definisce oggetto, durata, natura, finalità, tipo di dati, categorie di interessati e obblighi (paragrafo 3).

Il cliente chiederà questo documento per verificare la catena di trattamento prima di accettare. Il dossier di conformità Leexi raccoglie i documenti.

L'IA usa le vostre sedute per addestrare i modelli?

Dipende dal fornitore.

Con Leexi, le conversazioni non addestrano modelli su nessun account.

Come annunciare la registrazione di un comitato di pilotaggio?

Potete usare una formula semplice e chiara.

All'avvio del progetto

«Per il monitoraggio, registriamo i comitati e il verbale è redatto automaticamente: decisioni, punti critici, azioni. Vi viene inviato dopo ogni seduta. Va bene per voi?»

All'apertura della seduta

«Ricordo: la seduta è registrata e il verbale inviato a tutti. Se un punto deve restare fuori, dite e interrompo.»

Per un nuovo partecipante

«Vi informo che i comitati sono registrati e il verbale circola tra i nostri due team. Segnalate se ci sono problemi.»

Quali errori evitare?

1. Applicare interesse legittimo a tutti

Non copre esterni alla vostra organizzazione.

2. Chiedere consenso solo al primo comitato

La composizione cambia e l'informazione deve seguire.

3. Lasciare comitati di progetto chiuso in libreria

Senza regola di chiusura, restano lì.

4. Usare modello verbale per uso sbagliato

Un modello mal associato produce report non corrispondenti.

5. Dimenticare che il verbale vive altrove

Una volta inviato al cliente, segue le sue regole. La vostra cancellazione non lo elimina lì.

6. Non verificare che la seduta sia stata registrata

Una seduta registrata ma non trovata coinvolge persone inutilmente.

Come registrare un comitato con Leexi?

Definito il quadro GDPR, l'uso è in pochi passi.

1. Partecipare alla seduta

Leexi può unirsi dalla vostra agenda. In sala, la registrazione si avvia dall'app mobile, applicando regole per presenza.

2. Generare il verbale

Il verbale riporta decisioni, punti critici, azioni e responsabili.

3. Ritrovare una seduta passata

Le sedute sono in una libreria consultabile, per ritrovare impegni presi mesi prima.

4. Gestire accessi

Definite chi può consultare i verbali.

5. Controllare i dati

Leexi indica hosting in regione Parigi, opzione Scaleway, esecuzione modello via Azure Francia in circuito chiuso, cifratura dati in transito e a riposo, e nessun addestramento con le vostre conversazioni.

Quali difficoltà incontrano gli utenti?

Le questioni legali non sono le uniche difficoltà.

Su 1.141 ticket supporto da gennaio a giugno 2026, 2 riguardano un comitato di pilotaggio: recupero seduta passata e modello verbale errato. Un terzo segnala seduta raggiunta dall'assistente senza verbale disponibile.

Nessuno chiede se è permesso registrare.

Ciò offre un'altra lettura:

non è solo «posso registrare?»

Serve sapere:

chi può ritrovare la seduta → con quale modello è prodotto il verbale → fino a quando è accessibile.