AI Act e GDPR: come si parlano le due normative

Chi ha già fatto il lavoro sul GDPR ha metà del percorso verso la conformità all'AI Act già alle spalle, e soprattutto ha già in casa la persona che se ne occupa. È una buona notizia per un'azienda italiana, perché il GDPR resta la normativa europea più strettamente collegata al nuovo regolamento sull'intelligenza artificiale: il primo protegge i dati personali, il secondo la sicurezza dei sistemi di AI e i diritti fondamentali. Si applicano insieme, non in alternativa, e un sistema di AI che tratta dati personali deve rispettare entrambi.

Cosa regola ciascuno

Il GDPR guarda al dato personale: quando può essere trattato, con quale base giuridica, per quanto tempo, con quali diritti per l'interessato. Non gli interessa la tecnologia, gli interessa il dato. L'AI Act guarda al sistema: quanto rischio produce, quali garanzie servono, chi risponde di cosa. Non gli interessa se ci sono dati personali dentro, gli interessa l'effetto sulle persone. Un sistema di AI che non tratta dati personali resta soggetto all'AI Act e fuori dal GDPR; un archivio di dati personali senza AI è il caso contrario. La maggior parte dei casi reali, però, cade nell'intersezione, e lì valgono entrambi i regolamenti insieme.

Perché conviene partire dal GDPR

Per chi deve decidere da dove cominciare, tre ragioni concrete spiegano perché convenga appoggiarsi a quanto già fatto per la protezione dei dati. L'inventario esiste già: il registro dei trattamenti censisce dove stanno i dati personali, e aggiungere una colonna su quali di questi trattamenti coinvolgono sistemi di AI costa poco e produce il novanta per cento dell'inventario che serve anche all'AI Act. La persona esiste già: chi si occupa di protezione dati conosce il metodo delle valutazioni d'impatto, ha rapporti con le funzioni aziendali e sa dove sono i documenti, ed è l'interlocutore naturale anche per il nuovo regolamento. E il budget esiste già: la conformità al GDPR ha una voce di spesa riconosciuta, e presentare l'AI Act come estensione di un presidio esistente incontra molte meno resistenze che presentarlo come un progetto del tutto nuovo.

I tre punti di sovrapposizione

Addestrare un modello su dati personali è un trattamento, e come tale richiede una base giuridica ai sensi dell'articolo 6 del GDPR: nella versione originale del regolamento, l'AI Act non forniva una base giuridica propria per il trattamento dei dati. Il Digital Omnibus ha cambiato questo punto con il nuovo articolo 4a, che introduce una base giuridica per il trattamento di categorie particolari di dati personali ai fini del rilevamento e della correzione dei bias, estesa a tutti i sistemi di AI e non solo a quelli ad alto rischio, a condizioni stringenti; per tutti gli altri trattamenti, resta fermo che l'AI Act non autorizza nulla che il GDPR vieti. È il punto più delicato per chi personalizza modelli su dati aziendali che contengono informazioni su clienti o dipendenti.

Sulle decisioni automatizzate, l'articolo 22 del GDPR dà alla persona il diritto di non essere sottoposta a una decisione basata unicamente su un trattamento automatizzato che produca effetti giuridici o significativi, e l'AI Act arriva dallo stesso problema per un'altra strada, imponendo la sorveglianza umana sui sistemi ad alto rischio: le due norme convergono, entrambe pretendono che una persona possa intervenire, e che l'intervento sia reale e non una firma di comodo. E sulle valutazioni d'impatto, il GDPR prevede la DPIA all'articolo 35, mentre l'AI Act prevede la FRIA per alcuni sistemi ad alto rischio: condividono l'impianto ma cambiano il perimetro.

DPIA e FRIA: dove si toccano

La DPIA nasce dal GDPR e guarda ai rischi per i dati personali nei trattamenti ad alto rischio. La FRIA nasce dall'AI Act e guarda ai rischi per tutti i diritti fondamentali, in alcuni sistemi ad alto rischio: non discriminazione, dignità, accesso ai servizi, tutela dei minori. Il regolamento risolve la sovrapposizione in modo esplicito: la FRIA va effettuata solo per gli aspetti non già coperti da altri obblighi, DPIA compresa, e dove i due documenti chiedono la stessa cosa la si scrive una volta sola. Nella pratica conviene costruire un documento unico con due sezioni, invece di due documenti che si ripetono: riduce il lavoro e, soprattutto, evita che i due dicano cose diverse sullo stesso sistema. Il Digital Omnibus ha rafforzato questa impostazione: il nuovo articolo 27, paragrafo 4, consente di fare riferimento diretto alle sezioni pertinenti della DPIA all'interno della FRIA, così chi ha già una DPIA strutturata può usarla come base senza riscrivere le parti comuni.

Le differenze da non dimenticare

Il parallelismo tra le due normative è utile fino a un certo punto, e conviene sapere dove finisce. Il consenso non risolve tutto: nel GDPR è una delle basi giuridiche possibili, ma nell'AI Act i divieti dell'articolo 5 sono assoluti, e nessun consenso rende lecito, per esempio, il riconoscimento delle emozioni sul posto di lavoro. Gli obblighi seguono il ruolo, non il dato: nel GDPR si è titolari o responsabili del trattamento, nell'AI Act si è fornitori o utilizzatori, e le due coppie non coincidono, tanto che si può essere titolari del trattamento e insieme semplici utilizzatori del sistema. E le sanzioni si sommano, perché sono due impianti sanzionatori distinti, con autorità potenzialmente diverse: la stessa vicenda può produrre due procedimenti separati.

Cosa fare in pratica

Il percorso concreto parte dal registro dei trattamenti, segnando dove c'è AI. Per ogni voce, ci si chiede se il sistema ricade nell'alto rischio dell'allegato III. Dove servono entrambe le valutazioni, si scrivono insieme, con la struttura a documento unico descritta sopra. E si coinvolge fin dall'inizio chi si occupa di protezione dati, perché conosce già metà delle risposte.

Il riferimento normativo di fondo è il Regolamento (UE) 2024/1689, articoli 5, 14, 26 e 27, insieme al GDPR (Regolamento UE 2016/679), articoli 6, 22 e 35. Se vuoi impostare insieme le valutazioni d'impatto per i tuoi sistemi di AI, parliamone.