GDPR e regolamento sull'IA: obblighi per le imprese

Il vostro ufficio legale ha probabilmente già un registro dei trattamenti aggiornato, forse anche una valutazione d'impatto (DPIA) archivata per il chatbot che usate nel servizio clienti. Poi qualcuno ha letto che il regolamento sull'IA si applica anche a voi, e la prima reazione è stata chiedersi se bisogna rifare tutto da capo per ogni strumento di intelligenza artificiale già in uso in azienda. Non è così: buona parte del lavoro già fatto per il GDPR resta valida e serve da base. Ma i due testi non pongono esattamente la stessa domanda, e trattarli come un'unica pratica lascia dei vuoti che un'ispezione, del Garante o di un'altra autorità, può far emergere.

Due testi, una sola domanda? No, due domande diverse

Il GDPR pone una domanda circoscritta: i dati personali sono trattati in modo lecito, corretto e per una finalità determinata. Il regolamento sull'IA ne pone una più ampia: questo sistema comporta un rischio per la salute, la sicurezza o i diritti fondamentali delle persone, indipendentemente dal fatto che tratti dati personali. Uno strumento di selezione dei curriculum, un chatbot rivolto ai clienti o un sistema di scoring creditizio rientrano quasi sempre in entrambe le domande insieme. Il GDPR si applica in Italia dal 2018 e non è cambiato con l'arrivo del regolamento sull'IA: quest'ultimo si aggiunge, non sostituisce.

Il Garante Privacy: un ruolo doppio, non uno nuovo

Il Garante per la protezione dei dati personali è l'autorità italiana di riferimento per il GDPR dal 2018, ma non è arrivato impreparato sul terreno dell'intelligenza artificiale. Nel marzo 2023 ha disposto la limitazione temporanea del trattamento operato da ChatGPT sul territorio italiano, contestando a OpenAI carenze nell'informativa agli utenti e nella base giuridica usata per l'addestramento del modello: uno dei primi provvedimenti di questo tipo al mondo, mesi prima che il regolamento sull'IA fosse anche solo approvato in via definitiva. Il servizio è stato riattivato dopo che OpenAI ha introdotto le correzioni richieste. Con la legge 23 settembre 2025, n. 132, la legge nazionale italiana sull'IA descritta nel nostro articolo dedicato al regolamento IA per le PMI italiane, il Garante mantiene la propria competenza su tutti i sistemi di IA che trattano dati personali, affiancato da AgID e ACN per gli aspetti tecnici e di sicurezza che esulano dalla protezione dei dati.

Articolo 22 del GDPR e allegato III del regolamento IA: due test distinti

L'articolo 22 del GDPR riconosce a ogni persona il diritto di non essere sottoposta a una decisione basata unicamente su un trattamento automatizzato, incluso il profiling, che produca effetti giuridici o incida in modo analogamente significativo sulla sua sfera personale: un rifiuto di fido deciso senza alcuna revisione umana, ad esempio. L'allegato III del regolamento sull'IA classifica invece come "ad alto rischio" alcuni sistemi in base all'ambito di utilizzo, come la selezione del personale, la valutazione dei dipendenti, lo scoring creditizio o l'accesso a servizi essenziali, indipendentemente dal grado di automazione della decisione finale.

Un sistema di preselezione dei candidati che un responsabile HR convalida sempre manualmente sfugge, in genere, all'articolo 22 del GDPR, perché la decisione non è interamente automatizzata. Resta però, nella maggior parte dei casi, un sistema ad alto rischio ai sensi dell'allegato III, perché è l'ambito, il recruitment, a determinare la classificazione, non il livello di supervisione umana. Rispondere "c'è sempre una persona che verifica" chiude la questione dell'articolo 22, ma lascia aperti gli obblighi propri del regolamento sull'IA: gestione del rischio, documentazione tecnica, sorveglianza umana formalizzata.

DPIA e valutazione d'impatto sui diritti fondamentali: completare, non rifare

La valutazione d'impatto sulla protezione dei dati (DPIA), prevista dall'articolo 35 del GDPR, è obbligatoria quando un trattamento di dati personali rischia di comportare un rischio elevato per i diritti delle persone, condizione che la maggior parte dei sistemi di IA che trattano dati personali soddisfa. L'articolo 27 del regolamento sull'IA introduce una valutazione d'impatto sui diritti fondamentali (FRIA), riservata però a una platea più ristretta di deployer: soprattutto enti pubblici e alcuni operatori privati che forniscono servizi essenziali, come banche e assicuratori, quando utilizzano un sistema ad alto rischio. Il regolamento prevede esplicitamente, all'articolo 27 paragrafo 4, che quando una DPIA copre già i requisiti della FRIA, quest'ultima la completi invece di duplicarla: conviene quindi costruire un solo processo di valutazione del rischio fin dall'inizio, arricchito delle domande specifiche sui diritti fondamentali, piuttosto che condurre due progetti separati che interrogano due volte lo stesso team di prodotto.

Cosa verificare, sistema per sistema

• Per ogni strumento di IA che tratta dati personali: la decisione finale è presa senza alcun intervento umano (articolo 22 GDPR), e/o l'ambito di utilizzo rientra nell'allegato III del regolamento sull'IA? Le due risposte sono indipendenti tra loro.
• È stata formalizzata una DPIA e, se la vostra azienda rientra nel campo di applicazione dell'articolo 27 del regolamento sull'IA, è stata costruita in modo da poter essere completata con una FRIA anziché rifatta da zero?
• La base giuridica del trattamento dei dati usati per addestrare, perfezionare o personalizzare un modello è documentata, incluso quando si fonda sul legittimo interesse?
• Un fornitore di IA extra-UE è stato interrogato sul trasferimento dei dati fuori dallo Spazio economico europeo, indipendentemente dalla sua conformità dichiarata al regolamento sull'IA?
• Le informative privacy già in uso menzionano esplicitamente l'utilizzo di sistemi di IA, o sono rimaste ferme a prima che questi strumenti fossero introdotti in azienda?

Informazione generale, non una consulenza legale

Quanto sopra è un'informazione generale per orientarvi, non una consulenza legale sulla vostra situazione specifica. L'interazione tra GDPR e regolamento sull'IA dipende dai trattamenti esatti di ciascuna azienda, dal settore e dai fornitori coinvolti, elementi che un articolo non può coprire integralmente, così come restano da chiarire alcuni aspetti applicativi della legge 132/2025. Quando Komplya pubblica questo tipo di contenuto, distinguiamo ciò che è stato revisionato a livello giuridico da ciò che resta un documento di lavoro, in modo che possiate usarlo con consapevolezza.

Il modo più rapido per capire dove si trova realmente la vostra azienda è ripercorrere, caso per caso, i trattamenti di dati collegati ai vostri strumenti di IA. Rispondete a un breve questionario sul vostro utilizzo dell'IA e ottenete una lettura in linguaggio semplice dei vostri obblighi GDPR e regolamento sull'IA.