AI e GDPR: cosa devono sapere le aziende italiane

Un chatbot che risponde a un cliente registra il suo nome, il numero di telefono e lo storico delle richieste. Un sistema che seleziona i candidati legge i loro CV. Un modello che personalizza le offerte analizza i comportamenti d'acquisto. In tutti e tre i casi, senza eccezioni, si sta trattando dati personali, e questo significa che il GDPR si applica per intero, con tutti gli obblighi che comporta.

Adottare l'intelligenza artificiale non è quindi solo una scelta tecnologica: è anche una questione di conformità. Trascurarla espone l'azienda a sanzioni importanti e, soprattutto, a danni di reputazione difficili da riparare. Ecco cosa deve sapere e fare concretamente un'azienda italiana.

Prima di tutto: qual è la base giuridica

Nessun sistema di AI può trattare dati personali senza una base giuridica ai sensi dell'articolo 6 del regolamento. Le opzioni più comuni sono l'esecuzione di un contratto, quando l'AI gestisce le richieste di un cliente nell'ambito del rapporto già in essere; l'interesse legittimo, quando l'analisi serve finalità aziendali che non prevalgono sui diritti delle persone; il consenso, quando l'interessato ha acconsentito in modo specifico a quel trattamento; e l'obbligo di legge, quando il trattamento è necessario per adempiere a una norma. Per i sistemi più complessi, come la profilazione dei clienti o l'analisi predittiva, la base più adatta è spesso l'interesse legittimo, che però richiede una valutazione di bilanciamento documentata, non solo dichiarata.

Trasparenza, finalità, dati puliti, sicurezza

Le persone devono sapere che i loro dati sono trattati da sistemi di AI: significa aggiornare l'informativa citando i sistemi e le loro finalità, spiegare la logica delle decisioni automatizzate che hanno effetti significativi, e avvisare chi interagisce con un chatbot o un voice agent che sta parlando con una macchina, un obbligo che l'AI Act rende esplicito dal 2 agosto 2026.

Accanto alla trasparenza valgono gli altri principi cardine del regolamento, applicati all'AI: la limitazione della finalità, per cui i dati raccolti per uno scopo non possono essere usati per un altro (gli ordini registrati per gestire le spedizioni non possono alimentare un modello di analisi comportamentale senza una base giuridica autonoma); la minimizzazione, per cui il sistema deve trattare solo i dati strettamente necessari, non tutto ciò che "potrebbe servire in futuro"; l'esattezza, per cui se l'AI prende decisioni sulle persone i dati devono essere corretti e aggiornati, con diritto degli interessati a rettificarli; e la sicurezza, con cifratura, controllo degli accessi, registri delle attività e gestione delle vulnerabilità.

Quando decide la macchina: l'articolo 22

È il punto più delicato di tutti. L'articolo 22 del GDPR riguarda le decisioni basate unicamente su un trattamento automatizzato che producono effetti giuridici o comunque significativi sulle persone: un sistema che nega un finanziamento, un algoritmo che scarta un candidato, un prezzo personalizzato deciso in automatico. In questi casi l'interessato ha diritto a non essere sottoposto a una decisione esclusivamente automatizzata, a ottenere l'intervento di una persona, a esprimere la propria opinione e a contestare la decisione, oltre a essere informato dell'esistenza del processo e della sua logica.

La conseguenza pratica è netta: i sistemi che incidono in modo significativo sulle persone devono prevedere una revisione umana. Tenere una persona nel processo non è solo una buona pratica, spesso è un obbligo di legge.

I fornitori di AI, e i dati che escono dall'Europa

Quando un fornitore di AI tratta dati personali per tuo conto e secondo le tue istruzioni, di norma è responsabile del trattamento, anche se la qualificazione dipende dal caso concreto: in alcune situazioni il fornitore può essere titolare autonomo o contitolare. In ogni caso serve un accordo sul trattamento dei dati (DPA). I principali fornitori, tra cui OpenAI, Microsoft con Azure OpenAI, Google Cloud e Anthropic, offrono DPA standard: prima di usare i loro servizi con dati personali verifica di averli sottoscritti, controlla dove vengono trattati i dati e chiarisci se vengono usati per addestrare i modelli, e come escluderlo.

Molti di questi fornitori sono statunitensi, e il trasferimento verso gli Stati Uniti è lecito se il fornitore aderisce all'EU-US Data Privacy Framework o se esistono garanzie adeguate come le clausole contrattuali tipo. Anche qui, verifica sempre dove vengono elaborati i dati prima di firmare.

Registro, DPIA e la checklist per ogni progetto

Il registro dei trattamenti è obbligatorio per le aziende con più di 250 dipendenti, ma anche per quelle più piccole quando il trattamento non è occasionale, presenta rischi per gli interessati o riguarda categorie particolari di dati: condizioni frequenti nei sistemi di AI. Per ciascun sistema vanno indicati finalità, categorie di dati e di interessati, destinatari (compreso il fornitore), eventuali trasferimenti extra UE, tempi di conservazione e misure di sicurezza. Per i trattamenti ad alto rischio, come la profilazione sistematica, l'uso di categorie particolari di dati o il monitoraggio su larga scala, serve invece una valutazione d'impatto (DPIA) prima di iniziare: la richiedono tipicamente il riconoscimento facciale, la profilazione dei clienti su larga scala, l'AI in sanità e il monitoraggio dei dipendenti.

Per ogni sistema che stai valutando o che hai già adottato, la checklist da spuntare è: aver individuato la base giuridica, aver aggiornato l'informativa privacy, aver firmato il DPA con il fornitore, sapere dove vengono trattati i dati (dentro o fuori dall'UE), rispettare la minimizzazione, poter gestire i diritti degli interessati (accesso, rettifica, cancellazione), aver valutato se serve una DPIA, aver inserito il trattamento nel registro, e aver adottato misure di sicurezza adeguate. Se l'azienda ha un responsabile della protezione dei dati (DPO), va coinvolto fin dall'inizio in ogni progetto di AI; se non c'è, conviene consultare un esperto privacy prima di introdurre sistemi che trattano dati personali in modo significativo.

La conformità al GDPR non frena l'innovazione: è parte di un'implementazione seria e professionale, costruisce fiducia con i clienti ed evita sanzioni che possono arrivare a 20 milioni di euro o al 4% del fatturato mondiale. Se vuoi introdurre l'AI nella tua azienda in modo sicuro e conforme, parliamone.