Il GDPR o il regolamento sull'IA si applicano alla mia azienda americana?

Un'azienda americana di SaaS che vende licenze a un cliente di Berlino, un negozio Shopify che spedisce in Francia, un fornitore di HR-tech il cui modello di scoring viene usato da un datore di lavoro olandese: nessuna delle tre ha una sede nell'UE, un conto bancario europeo o un'entità registrata nell'UE. Tutte e tre possono comunque rientrare pienamente nel GDPR, nel regolamento sull'IA, o in entrambi. Ciò che fa scattare l'applicazione non è dove è costituita l'azienda. È dove si trovano i suoi clienti, dove punta il suo marketing, e dove finisce per essere usato il risultato prodotto dal suo sistema di IA. È una domanda diversa da quella che si pone davvero la maggior parte delle aziende americane, di solito una variante di "siamo un'azienda americana, perché dovrebbe applicarsi il diritto dell'UE".

Il test del GDPR: l'azienda si rivolge a persone nell'UE, o ne monitora il comportamento

L'ambito di applicazione territoriale del GDPR, articolo 3(2) del Regolamento (UE) 2016/679, non guarda alla sede legale. Si applica a un'azienda extra-UE ogni volta che offre beni o servizi a persone nell'UE — anche gratuitamente — o ne monitora il comportamento. Le autorità guardano l'intenzione di rivolgersi a quel mercato, non la semplice accessibilità: il sito applica prezzi in euro, offre versioni linguistiche per i mercati dell'UE, pubblica annunci geolocalizzati verso pubblici europei, cita clienti o testimonianze europee, spedisce fisicamente a indirizzi dell'UE, oppure usa un dominio nazionale come .it o .fr? Un'azienda americana il cui sito è semplicemente raggiungibile da Bruxelles perché internet è globale non rientra automaticamente nell'ambito di applicazione. Un'azienda americana con carrello in euro, pagine in francese e in tedesco e annunci geolocalizzati su Parigi e Berlino è un caso diverso, indipendentemente da dove si trovino i suoi server o la sua sede. Il "monitoraggio del comportamento" copre un gruppo completamente diverso: cookie, strumenti di analisi e pixel pubblicitari che tracciano i visitatori dell'UE, anche su un sito che non ha mai puntato esplicitamente alle vendite europee.

Il test del regolamento sull'IA: non conta dove si trova l'azienda, ma dove arriva il risultato

Il regolamento sull'IA, Regolamento (UE) 2024/1689, tende una rete ancora più ampia per i fornitori americani di IA. L'articolo 2(1)(c) si applica ai fornitori e ai deployer situati in un paese terzo ogni volta che il risultato prodotto dal loro sistema di IA viene utilizzato nell'UE. È un test basato sul risultato, non sulla sede, e non richiede alcuna vendita nell'UE. Un'azienda americana di HR-tech il cui strumento di scoring dei candidati viene usato da un solo datore di lavoro olandese rientra nell'ambito di applicazione, anche se l'azienda americana stessa non ha alcun cliente, contratto o marketing nell'UE. Il 2 agosto 2026 sono entrati in vigore gli obblighi per i sistemi ad alto rischio dell'allegato III e gli obblighi di trasparenza dell'articolo 50 per ogni fornitore e deployer il cui risultato raggiunga l'UE, inclusi i fornitori di paesi terzi — una scadenza ormai concreta, non più teorica.

L'obbligo che quasi tutte le aziende americane saltano: nominare un rappresentante nell'UE

Se il GDPR si applica in base all'articolo 3(2), l'articolo 27 richiede di designare un rappresentante stabilito in uno Stato membro dell'UE — un punto di contatto formale per le autorità di controllo e gli interessati, distinto da qualsiasi avvocato già incaricato. Saltare questo passaggio non è una svista burocratica che le autorità ignorano: l'articolo 83 fissa la sanzione per la mancata designazione del rappresentante fino a 10 milioni di euro o il 2% del fatturato mondiale, in aggiunta a qualsiasi sanzione applicabile al trattamento sottostante. Il regolamento sull'IA impone un obbligo parallelo ai fornitori extra-UE di sistemi ad alto rischio, che devono designare un proprio rappresentante autorizzato stabilito nell'UE prima di immettere quel sistema sul mercato europeo. Entrambi gli obblighi esistono proprio perché l'UE si aspetta di avere a che fare con aziende di paesi terzi senza una sede nell'UE, ed entrambi sono di solito la prima cosa che una revisione di conformità di un'azienda americana si dimentica — "ci serve un avvocato americano" e "ci serve un rappresentante nell'UE" non sembrano la stessa domanda finché qualcuno non fa notare che non sono alternative intercambiabili.

Chi può davvero far rispettare tutto questo verso un'azienda senza beni nell'UE

È qui che tutto diventa molto più incerto una volta che si lascia il testo di legge e si guarda cosa succede davvero. Il caso più chiaro è Clearview AI: le autorità di protezione dei dati olandese, francese, italiana e greca hanno complessivamente sanzionato l'azienda americana di riconoscimento facciale per circa 100 milioni di euro per violazioni del GDPR. Clearview non ha una sede nell'UE, non ha un rappresentante nell'UE, non ha beni nell'UE, e ha dichiarato di non fare affari nell'UE. Non esiste alcun meccanismo di trattato che obblighi i tribunali statunitensi a far eseguire la sanzione di un regolatore europeo, e secondo la maggior parte delle informazioni pubbliche disponibili le autorità ne hanno riscosso quasi nulla.

Questo non significa che l'esposizione sia teorica per un'azienda americana che non è Clearview. Tre cose mordono anche senza una sanzione riscuotibile. Primo, i clienti aziendali europei conducono sempre più spesso una due diligence d'acquisto che richiede un accordo sul trattamento dei dati firmato, clausole contrattuali standard, o la prova di una valutazione del rischio completata prima di firmare un contratto — per un'azienda americana di SaaS che punta a ricavi enterprise europei, perdere l'affare costa più velocemente e di più che perdere una battaglia che un regolatore non può riscuotere. Secondo, le autorità di vigilanza del mercato del regolamento sull'IA hanno il potere di ordinare il ritiro immediato di un prodotto dal mercato europeo, il che non richiede di riscuotere nulla, semplicemente pone fine alle vendite nell'UE. Terzo, essere pubblicamente noti come l'azienda che ha ignorato i regolatori europei, come è ormai il caso di Clearview, è una referenza che una pipeline di vendita seria verso l'UE non sopravvive.

La complicazione che si aggiunge a tutto questo proprio in questo momento: il quadro UE-USA per la protezione dei dati

Se la vostra azienda trasferisce i dati personali di clienti europei verso server statunitensi, quel trasferimento richiede una propria base giuridica, indipendente dal fatto che il GDPR si applichi o meno al vostro trattamento. La maggior parte delle aziende americane si basa sul Data Privacy Framework UE-USA, la decisione di adeguatezza adottata dalla Commissione europea nel luglio 2023. Quella base è sotto una pressione reale al momento in cui scriviamo: la sentenza della Corte Suprema statunitense del giugno 2026 nel caso Trump contro Slaughter ha rimosso l'indipendenza statutaria dei commissari della FTC, e il Comitato europeo per la protezione dei dati ha chiesto formalmente alla Commissione di verificare se la decisione di adeguatezza del DPF sia ancora valida, dato che quella decisione citava l'indipendenza della FTC come uno dei suoi pilastri. Un ricorso distinto è già pendente davanti alla Corte di giustizia dell'UE. Nessuno sa ancora come si risolverà nessuno dei due procedimenti, ma lo schema risulterà familiare a chiunque abbia seguito la caduta del Privacy Shield nel 2020: un'azienda americana che non ha preparato clausole contrattuali standard come alternativa sta portando un secondo rischio, indipendente, oltre alla sua esposizione GDPR già esistente.

Cosa verificare nella propria azienda

• Il vostro marketing, i vostri prezzi o il vostro checkout puntano specificamente a clienti dell'UE — prezzi in euro, pagine in lingue dell'UE, annunci geolocalizzati — oppure siete semplicemente raggiungibili dall'UE?
• Qualche funzione di IA che sviluppate o utilizzate produce un punteggio, una decisione o una raccomandazione usata da qualcuno stabilito nell'UE, indipendentemente dal fatto che abbiate un solo cliente europeo?
• Avete designato un rappresentante nell'UE ai sensi dell'articolo 27 del GDPR, o dell'obbligo equivalente del regolamento sull'IA per i fornitori ad alto rischio, oppure state semplicemente assumendo che una privacy policy americana copra già questo aspetto?
• Se trasferite dati personali europei verso server statunitensi, dipendete esclusivamente dal Data Privacy Framework, e avete clausole contrattuali standard pronte nel caso quella decisione di adeguatezza non sopravviva alle sue attuali contestazioni legali?
• Potreste presentare oggi stesso una valutazione del rischio GDPR o una classificazione del rischio del regolamento sull'IA se l'ufficio acquisti di un cliente enterprise europeo ve la chiedesse domani?
• Avete verificato se il vostro prodotto rientra in una categoria ad alto rischio dell'allegato III del regolamento sull'IA per un utente europeo del suo risultato, separatamente da come viene classificato per i vostri clienti statunitensi?

Informazione generale, non consulenza legale: se il GDPR o il regolamento sull'IA riguardino la vostra specifica azienda dipende da fatti sul vostro marketing, i vostri clienti e i vostri sistemi di IA che questo articolo non può risolvere per voi. Dove Komplya pubblica contenuti come questo, chiariamo quali livelli sono già stati revisionati legalmente e quali restano materiale in bozza, così potete valutarli di conseguenza.

Uno strumento di conformità pensato per le PMI europee può davvero aiutare un'azienda americana? La logica di applicabilità è lo stesso test in entrambi i casi: i criteri di targeting e monitoraggio dell'articolo 3(2) del GDPR, e l'ambito basato sul risultato dell'articolo 2(1)(c) del regolamento sull'IA, non cambiano in base a dove è costituita la vostra azienda. Rispondete a un breve questionario sul vostro marketing, i vostri clienti e le vostre funzioni di IA rivolti all'UE, e Komplya indica esattamente quali obblighi si applicano e genera una Privacy Policy, una Policy d'uso dell'IA o una DPIA redatte con l'IA e fondate su quegli obblighi specifici — documentazione che è anche esattamente ciò che probabilmente chiederà l'ufficio acquisti di un cliente enterprise europeo. Ciò che Komplya non fa è agire come vostro rappresentante ai sensi dell'articolo 27; quella nomina giuridica distinta resta da organizzare separatamente.

Piuttosto che indovinare, a migliaia di chilometri di distanza, se il diritto dell'UE riguardi la vostra azienda, la via più rapida è verificare direttamente i vostri clienti, il vostro marketing e i vostri sistemi di IA rivolti all'UE rispetto a entrambi i test.