Contenuto realizzato con il supporto di strumenti di intelligenza artificiale e revisionato dall'autore.
Quando un'azienda adotta uno strumento di intelligenza artificiale per analizzare i candidati a un'assunzione, profilare i clienti, valutare il merito creditizio o monitorare le prestazioni dei dipendenti, di solito il focus è tutto sulla tecnologia: quanto è potente il modello, quanto è veloce, quanto costa. La domanda che resta senza risposta è un'altra: chi ha verificato che quel sistema tratti i dati personali in modo lecito?
La risposta, il più delle volte, è nessuno. E i provvedimenti del Garante per la Protezione dei Dati Personali n. 386 e 387 del 28 maggio 2026 — entrambi aventi a oggetto sistemi di scoring automatizzato per l'affidabilità creditizia — lo confermano con nitidezza. Le violazioni accertate non erano sofisticate: mancava l'informativa all'interessato sull'esistenza di una decisione automatizzata, mancava la base giuridica per il trattamento, mancava qualunque meccanismo di controllo umano. Errori elementari, eppure frequenti. La ragione è che molte imprese ancora separano concettualmente l'«uso dell'IA» dalla «gestione dei dati personali», come se fossero due filoni distinti. Non lo sono.
Il doppio regime che nessuno ha spiegato bene: AI Act e GDPR insieme
Dal 2 agosto 2026 l'articolo 50 del Regolamento UE 2024/1689 — il cosiddetto AI Act — è operativo e impone obblighi di trasparenza per i sistemi di IA che interagiscono con persone fisiche o generano contenuti. Ma la vera complessità non sta nell'AI Act da solo: sta nel fatto che questo si sovrappone all'articolo 22 del GDPR, che da anni disciplina le decisioni automatizzate e la profilazione. Le linee guida della Commissione europea di luglio 2026 sull'interazione tra i due regimi hanno chiarito che i due plessi normativi non si escludono: si applicano cumulativamente. Questo significa che un sistema di IA che produce una decisione con effetti giuridici o analoghi — un rifiuto di credito, una selezione automatica di curriculum, un punteggio assicurativo — deve rispettare sia i requisiti di trasparenza dell'AI Act sia i diritti dell'interessato previsti dal GDPR: informazione, opposizione, revisione umana.
L'errore più grave che si commette in azienda è affidare la conformità all'AI Act all'ufficio IT e la conformità al GDPR al DPO, senza che i due parlino tra loro. Il risultato è una governance frammentata che non coglie i punti di contatto — e sono proprio quei punti di contatto che il Garante verifica.
Come scrisse Rudolf von Jhering, «il diritto non è un concetto ma una forza». Vale anche per la compliance: non basta avere i documenti, occorre che la struttura funzioni davvero.
Vigilantibus iura subveniunt: il diritto soccorre chi è vigile. Chi adotta strumenti di IA senza presidiare la governance dei dati non può invocare buona fede.
Gli errori concreti che espongono le aziende alle sanzioni
Il primo errore — e il più diffuso — riguarda i contratti con i fornitori di IA. Quando un'azienda integra nei propri processi uno strumento esterno che tratta dati personali dei propri clienti o dipendenti, quel fornitore è un responsabile del trattamento ai sensi dell'articolo 28 GDPR. Occorre un Data Processing Agreement (DPA) che definisca istruzioni, misure di sicurezza, sub-responsabili autorizzati e obblighi in caso di violazione. Il problema è che molti fornitori di IA — specie quelli di origine extraeuropea — propongono termini contrattuali standardizzati che non soddisfano i requisiti dell'articolo 28. Accettarli senza negoziazione configura già una violazione del GDPR, indipendentemente da come poi il sistema viene usato.
Il secondo errore riguarda la DPIA, la valutazione d'impatto sulla protezione dei dati prevista dall'articolo 35 GDPR. L'obbligo scatta ogni volta che un trattamento presenta un rischio elevato per i diritti e le libertà delle persone fisiche; la profilazione automatizzata e le decisioni automatizzate rientrano quasi sempre in questa categoria, come indicato nelle linee guida WP248 del Comitato europeo per la protezione dei dati. Eppure molte aziende non la eseguono, o la eseguono in modo formale — un documento prodotto a posteriori per «coprirsi» — senza che abbia influenzato realmente la scelta del sistema e la sua configurazione.
Il terzo errore, quello che emerge con più forza dai provvedimenti del Garante del 28 maggio 2026, è l'assenza di informativa adeguata agli interessati. L'articolo 13 GDPR richiede di comunicare l'esistenza di processi decisionali automatizzati, la logica sottostante e le conseguenze previste. Quando un sistema di IA assegna un punteggio di affidabilità creditizia o seleziona automaticamente una candidatura, l'interessato deve saperlo. Nei casi esaminati dal Garante nei provvedimenti n. 386 e 387, questa comunicazione era del tutto assente o generica al punto da risultare inefficace.
Tre domande frequenti che meritano una risposta precisa
Serve una DPIA quando si usa un sistema di IA che tratta dati personali? La risposta è: quasi sempre sì. Il criterio non è la tecnologia in sé, ma la natura del trattamento. Se il sistema di IA effettua profilazione sistematica, elabora categorie particolari di dati, oppure produce decisioni automatizzate con effetti significativi sulle persone, la DPIA è obbligatoria. Il Garante italiano ha pubblicato un elenco delle tipologie di trattamento che la richiedono, e i sistemi di IA vi rientrano per definizione in molti casi d'uso aziendali.
L'uso di ChatGPT o strumenti analoghi in azienda viola il GDPR? Dipende da come viene usato. Se un dipendente inserisce dati personali di clienti, pazienti o colleghi in una piattaforma di IA generativa esterna senza che sia stato stipulato un DPA con il fornitore, e senza che l'interessato sia stato informato, la risposta è sì: si configura una violazione. Il problema non è lo strumento in sé, ma l'assenza di una policy AI interna che definisca cosa può essere condiviso, con quali strumenti e a quali condizioni.
Cosa devono fare le aziende per adeguare i contratti con i fornitori di IA al GDPR? Il punto di partenza è verificare che ogni contratto con un fornitore che tratta dati personali per conto dell'azienda contenga le clausole richieste dall'articolo 28 GDPR: finalità e durata del trattamento, natura dei dati, obblighi del responsabile, autorizzazione a nominare sub-responsabili (con elenco), misure di sicurezza adeguate e obbligo di assistere il titolare in caso di esercizio dei diritti da parte degli interessati. Se il fornitore è extraeuropeo e i dati vengono trasferiti fuori dallo Spazio Economico Europeo, occorre anche verificare il meccanismo di trasferimento: clausole contrattuali tipo, decisione di adeguatezza o altro strumento riconosciuto.
Il nodo sottovalutato: la policy AI interna
Uno degli aspetti che gli articoli di settore trattano meno è la necessità di una policy AI interna che coordini i due regimi normativi e governi il comportamento dei dipendenti. Non basta aggiornare il registro dei trattamenti o rivedere le informative: occorre un documento che stabilisca quali strumenti di IA sono autorizzati, per quali finalità, con quali limitazioni sull'inserimento di dati personali, chi approva l'adozione di nuovi strumenti e chi verifica la conformità nel tempo. Senza questa policy, ogni dipendente che usa autonomamente uno strumento di IA — anche solo per redigere un'email con dati di un cliente — agisce in un vuoto di governance che espone il titolare del trattamento.
La policy deve anche rispondere a una domanda specifica: quando il sistema di IA produce una decisione che riguarda una persona fisica, chi è il responsabile umano che la rivede? L'articolo 22 GDPR riconosce all'interessato il diritto di ottenere l'intervento umano, esprimere la propria opinione e contestare la decisione. Questo diritto è esercitabile solo se, internamente, esiste un processo che lo rende possibile. Molte aziende adottano sistemi di IA per la selezione del personale o la valutazione delle prestazioni senza che nessuno abbia mai pensato a come si gestisce un'opposizione da parte del dipendente.
Il quadro che emerge dai provvedimenti del Garante e dal nuovo regime normativo è quello di un'area di rischio concreta, non teorica. Gli errori nella governance dei dati legati all'uso di strumenti di intelligenza artificiale non sono questioni tecniche che si risolvono aggiornando il software: sono scelte organizzative e giuridiche che richiedono presidio, competenza e continuità. Il fatto che l'AI Act sia diventato operativo il 2 agosto 2026 non aggiunge un onere nuovo a chi già rispettava il GDPR: aggiunge però un livello di visibilità, perché rende più evidente — e più sanzionabile — la distanza tra chi ha una governance reale e chi ha solo della documentazione.
Redazione - Staff Studio Legale MP
