Il tema intelligenza artificiale e privacy in azienda arriva quasi sempre dal basso. Nessuno ha deliberato nulla: l’ufficio marketing ha attivato un assistente per scrivere i testi, il commerciale incolla le trattative in un modello generativo per riassumerle, l’assistenza clienti ha installato un chatbot sul sito, le riunioni vengono trascritte da uno strumento automatico. Quando la direzione se ne accorge, il trattamento è già in corso da mesi, con dati di clienti, fornitori e dipendenti transitati su sistemi che nessuno ha qualificato.
Il Garante ha già sanzionato, e non in astratto
Non siamo nel campo delle ipotesi. Nel dicembre 2024 l’Autorità ha chiuso l’istruttoria su ChatGPT con una sanzione di quindici milioni di euro e con l’ordine di realizzare una campagna informativa di sei mesi. Nel luglio 2026 ha sanzionato per 158.000 euro la società statunitense che gestisce il servizio di intelligenza artificiale generativa Character.AI, contestando carenze nell’informativa privacy, ritardi nella predisposizione della valutazione d’impatto sulla protezione dei dati e ritardi nella designazione del rappresentante nell’Unione europea, oltre a criticità nelle tutele per i minori e nelle procedure di verifica dell’età.
Il punto che interessa l’impresa italiana non è l’importo applicato a un fornitore globale. È l’elenco delle contestazioni: informativa, valutazione d’impatto, ruoli e rappresentanza. Sono esattamente le stesse voci che emergono quando a usare quegli strumenti è una società con trenta dipendenti.
Intelligenza artificiale e privacy in azienda: le quattro domande
Prima di qualunque considerazione tecnica, ci sono quattro questioni che determinano la posizione dell’impresa.
- Quali dati entrano nel sistema. Un modello generativo a cui si incolla un contratto, una cartella clinica, un curriculum o una conversazione con un cliente sta trattando dati personali, e in molti casi categorie particolari di dati.
- Con quale base giuridica. L’uso di dati raccolti per una finalità diversa richiede una verifica di compatibilità che quasi nessuno documenta, e il consenso non è sempre lo strumento appropriato.
- Chi è il fornitore, e in che veste. Nella maggior parte dei casi si tratta di un responsabile del trattamento, con tutto ciò che il contratto deve contenere; se poi i dati escono dallo Spazio economico europeo, si apre il capitolo delle garanzie previste dal Capo V del Regolamento, che abbiamo trattato parlando del trasferimento dei dati extra UE.
- Se serve una valutazione d’impatto. I trattamenti che impiegano tecnologie innovative e possono presentare un rischio elevato per i diritti e le libertà delle persone rientrano fra quelli per cui il Regolamento la richiede: ne abbiamo scritto nell’articolo su quando la DPIA diventa obbligatoria.
Il doppio binario con l’AI Act
Dal 2 agosto 2026 il regolamento europeo sull’intelligenza artificiale è entrato nella sua fase di applicazione generale, con obblighi che si aggiungono — non si sostituiscono — a quelli del GDPR. L’impresa che usa sistemi di intelligenza artificiale si trova così su due piani normativi distinti, con due apparati sanzionatori distinti: le sanzioni dell’articolo 83 del GDPR da un lato, quelle previste dall’AI Act dall’altro. Il quadro degli adempimenti è ricostruito nell’articolo su AI Act e obblighi per le aziende.
C’è poi un versante che riguarda i lavoratori: gli strumenti che trascrivono riunioni, misurano la produttività o assistono la selezione del personale producono dati che possono essere usati in chiave valutativa. Valgono allora anche i limiti ricostruiti negli articoli sul controllo della posta elettronica dei dipendenti e sulla privacy nella selezione del personale.
Il rischio concreto, oggi
Nelle imprese che seguiamo la situazione più frequente non è l’uso spregiudicato dell’intelligenza artificiale: è l’uso inconsapevole. Strumenti attivati con account personali, nessuna istruzione al personale, nessuna traccia nel registro dei trattamenti, dati di clienti che escono dal perimetro aziendale senza che esista un contratto. In caso di reclamo o di violazione dei dati, ricostruire quel perimetro a posteriori è molto più costoso che averlo disegnato prima.
Il punto di partenza resta il registro dei trattamenti, che è il primo documento richiesto in verifica e che quasi mai contiene questi strumenti. Sul sito trova anche la pagina di servizio sulla consulenza e compliance privacy; i profili contrattuali e contenziosi collegati sono trattati su avvocatoelioerrichiello.it.
Fare il punto prima che lo faccia qualcun altro
Lo studio assiste aziende ed enti in tutta Italia e ha sede a Napoli, e segue sia la mappatura degli strumenti già in uso sia l’assistenza nei procedimenti davanti al Garante. Se nella sua organizzazione qualcuno usa strumenti di intelligenza artificiale e non sa dire con precisione quali dati vi transitino, ci scriva dalla pagina contatti indicando quali servizi sono attivi: ne faremo un esame preliminare, per dirle dove si trova e che cosa, in caso di controllo, verrebbe contestato per primo.
Avv. Elio Errichiello
