Categoria: Intelligenza artificiale e nuove tecnologie

Il tema intelligenza artificiale e privacy in azienda arriva quasi sempre dal basso. Nessuno ha deliberato nulla: l’ufficio marketing ha attivato un assistente per scrivere i testi, il commerciale incolla le trattative in un modello generativo per riassumerle, l’assistenza clienti ha installato un chatbot sul sito, le riunioni vengono trascritte da uno strumento automatico. Quando la direzione se ne accorge, il trattamento è già in corso da mesi, con dati di clienti, fornitori e dipendenti transitati su sistemi che nessuno ha qualificato.

Il Garante ha già sanzionato, e non in astratto

Non siamo nel campo delle ipotesi. Nel dicembre 2024 l’Autorità ha chiuso l’istruttoria su ChatGPT con una sanzione di quindici milioni di euro e con l’ordine di realizzare una campagna informativa di sei mesi. Nel luglio 2026 ha sanzionato per 158.000 euro la società statunitense che gestisce il servizio di intelligenza artificiale generativa Character.AI, contestando carenze nell’informativa privacy, ritardi nella predisposizione della valutazione d’impatto sulla protezione dei dati e ritardi nella designazione del rappresentante nell’Unione europea, oltre a criticità nelle tutele per i minori e nelle procedure di verifica dell’età.

Il punto che interessa l’impresa italiana non è l’importo applicato a un fornitore globale. È l’elenco delle contestazioni: informativa, valutazione d’impatto, ruoli e rappresentanza. Sono esattamente le stesse voci che emergono quando a usare quegli strumenti è una società con trenta dipendenti.

Intelligenza artificiale e privacy in azienda: le quattro domande

Prima di qualunque considerazione tecnica, ci sono quattro questioni che determinano la posizione dell’impresa.

• Quali dati entrano nel sistema. Un modello generativo a cui si incolla un contratto, una cartella clinica, un curriculum o una conversazione con un cliente sta trattando dati personali, e in molti casi categorie particolari di dati.
• Con quale base giuridica. L’uso di dati raccolti per una finalità diversa richiede una verifica di compatibilità che quasi nessuno documenta, e il consenso non è sempre lo strumento appropriato.
• Chi è il fornitore, e in che veste. Nella maggior parte dei casi si tratta di un responsabile del trattamento, con tutto ciò che il contratto deve contenere; se poi i dati escono dallo Spazio economico europeo, si apre il capitolo delle garanzie previste dal Capo V del Regolamento, che abbiamo trattato parlando del trasferimento dei dati extra UE.
• Se serve una valutazione d’impatto. I trattamenti che impiegano tecnologie innovative e possono presentare un rischio elevato per i diritti e le libertà delle persone rientrano fra quelli per cui il Regolamento la richiede: ne abbiamo scritto nell’articolo su quando la DPIA diventa obbligatoria.

Il doppio binario con l’AI Act

Dal 2 agosto 2026 il regolamento europeo sull’intelligenza artificiale è entrato nella sua fase di applicazione generale, con obblighi che si aggiungono — non si sostituiscono — a quelli del GDPR. L’impresa che usa sistemi di intelligenza artificiale si trova così su due piani normativi distinti, con due apparati sanzionatori distinti: le sanzioni dell’articolo 83 del GDPR da un lato, quelle previste dall’AI Act dall’altro. Il quadro degli adempimenti è ricostruito nell’articolo su AI Act e obblighi per le aziende.

C’è poi un versante che riguarda i lavoratori: gli strumenti che trascrivono riunioni, misurano la produttività o assistono la selezione del personale producono dati che possono essere usati in chiave valutativa. Valgono allora anche i limiti ricostruiti negli articoli sul controllo della posta elettronica dei dipendenti e sulla privacy nella selezione del personale.

Il rischio concreto, oggi

Nelle imprese che seguiamo la situazione più frequente non è l’uso spregiudicato dell’intelligenza artificiale: è l’uso inconsapevole. Strumenti attivati con account personali, nessuna istruzione al personale, nessuna traccia nel registro dei trattamenti, dati di clienti che escono dal perimetro aziendale senza che esista un contratto. In caso di reclamo o di violazione dei dati, ricostruire quel perimetro a posteriori è molto più costoso che averlo disegnato prima.

Il punto di partenza resta il registro dei trattamenti, che è il primo documento richiesto in verifica e che quasi mai contiene questi strumenti. Sul sito trova anche la pagina di servizio sulla consulenza e compliance privacy; i profili contrattuali e contenziosi collegati sono trattati su avvocatoelioerrichiello.it.

Fare il punto prima che lo faccia qualcun altro

Lo studio assiste aziende ed enti in tutta Italia e ha sede a Napoli, e segue sia la mappatura degli strumenti già in uso sia l’assistenza nei procedimenti davanti al Garante. Se nella sua organizzazione qualcuno usa strumenti di intelligenza artificiale e non sa dire con precisione quali dati vi transitino, ci scriva dalla pagina contatti indicando quali servizi sono attivi: ne faremo un esame preliminare, per dirle dove si trova e che cosa, in caso di controllo, verrebbe contestato per primo.

Avv. Elio Errichiello

Il 2 agosto 2026 è la data in cui il Regolamento europeo sull’intelligenza artificiale diventa applicabile in via generale. Per molte imprese italiane il tema è arrivato come un adempimento in più, e questo è il modo sbagliato di guardarlo: gli AI Act obblighi per le aziende non si sovrappongono al GDPR, ci si intrecciano, e la stessa pratica può essere contestata su due fronti con due apparati sanzionatori distinti.

Il calendario, in ordine

Il Regolamento (UE) 2024/1689 è entrato in vigore il 1° agosto 2024 e si applica per blocchi successivi.

• 2 febbraio 2025. Diventano applicabili i divieti sulle pratiche vietate (articolo 5) e l’obbligo di alfabetizzazione in materia di intelligenza artificiale (articolo 4).
• 2 agosto 2025. Entrano in applicazione le regole sui modelli per finalità generali, l’assetto di governance e il regime sanzionatorio.
• 2 agosto 2026. Applicazione generale del Regolamento, compresi gli obblighi di trasparenza dell’articolo 50.
• 2 agosto 2027. Scade il periodo di adeguamento per i modelli per finalità generali già immessi sul mercato prima del 2 agosto 2025.

In Italia la legge 132 del 2025 ha definito l’assetto istituzionale: all’Agenzia per la cybersicurezza nazionale sono attribuiti i compiti di vigilanza, con poteri ispettivi e sanzionatori; all’Agenzia per l’Italia digitale quelli di promozione e di accreditamento degli organismi di valutazione della conformità.

AI Act obblighi per le aziende: l’articolo 4 riguarda anche chi usa, non solo chi costruisce

È l’equivoco più diffuso. Molte imprese ritengono che il Regolamento riguardi i produttori di sistemi di intelligenza artificiale e non chi semplicemente li adotta. L’articolo 4 dice il contrario: l’obbligo di garantire un livello sufficiente di competenza alle persone che utilizzano i sistemi grava sia sui fornitori sia sui deployer, cioè su chi li impiega nella propria attività.

È un obbligo orizzontale: vale per le grandi aziende, per le piccole e medie imprese, per gli studi professionali e per gli enti pubblici. Lo standard richiesto è proporzionato alle dimensioni e al contesto dell’organizzazione, ma la proporzionalità attenua il contenuto, non l’esistenza del dovere. E il Regolamento non prevede alcun periodo di tolleranza: l’obbligo è operativo dal febbraio 2025.

Gli importi: fino al 7 per cento del fatturato

L’articolo 99 del Regolamento costruisce tre fasce, e si applica sempre l’importo più elevato tra la cifra fissa e la percentuale sul fatturato mondiale annuo.

• 35 milioni di euro o il 7 per cento per la violazione dei divieti sulle pratiche vietate dell’articolo 5.
• 15 milioni di euro o il 3 per cento per la violazione degli altri obblighi del Regolamento.
• 7,5 milioni di euro o l’1 per cento per la comunicazione di informazioni false o fuorvianti alle autorità.

Per piccole e medie imprese e start-up il riferimento è il minore tra l’importo fisso e la percentuale. Resta il fatto che il massimale del 7 per cento è superiore a quello del GDPR, che si ferma al 4 per cento.

Dove l’AI Act incrocia il GDPR

Qui si gioca la parte che interessa più direttamente chi si occupa di protezione dei dati. Quasi ogni sistema di intelligenza artificiale usato in azienda tratta dati personali: nei dati di addestramento, negli input forniti dagli utenti, negli output che producono decisioni.

Ne derivano questioni che il Regolamento sull’IA non risolve e che restano interamente nel perimetro del GDPR: su quale base giuridica si trattano i dati immessi nel sistema; che cosa dice l’informativa sull’uso di strumenti automatizzati; se la decisione prodotta rientri nell’ambito dell’articolo 22 sulle decisioni automatizzate; se il trattamento richieda una valutazione d’impatto, come ricostruito nell’articolo su quando la DPIA è obbligatoria; dove si trovino i server del fornitore, con tutto ciò che ne segue in tema di trasferimento dei dati extra UE.

Sul fronte europeo il Comitato europeo per la protezione dei dati ha posto in consultazione pubblica, fino al 30 ottobre 2026, linee guida sul web scraping nel contesto dell’intelligenza artificiale generativa, dedicate alla base giuridica e alle condizioni per il trattamento delle categorie particolari di dati. Chi utilizza strumenti generativi addestrati su dati raccolti dalla rete ha un interesse diretto a seguirne l’esito.

Il rischio che le aziende non vedono: lo shadow AI

Nella maggior parte delle organizzazioni l’intelligenza artificiale è già entrata senza che nessuno l’abbia deliberata. Un collaboratore incolla un documento in uno strumento generativo per farsi aiutare a riassumerlo; un altro usa un servizio di trascrizione per una riunione; un terzo chiede a un assistente di redigere una comunicazione a un cliente.

Ogni volta che quei testi contengono dati personali — nomi di clienti, dati di dipendenti, informazioni contrattuali — si è realizzato un trasferimento verso un fornitore che il titolare non ha valutato, non ha nominato come responsabile e non ha inserito nel registro dei trattamenti. È una violazione che non produce rumore e che emerge soltanto quando qualcuno va a cercarla: tipicamente in sede di verifica, come accade per il registro dei trattamenti, che è il primo documento richiesto.

Cosa serve sapere prima del 2 agosto

La verifica preliminare è meno complicata di quanto sembri, ma va fatta: quali strumenti di intelligenza artificiale sono effettivamente in uso in azienda, chi li usa e per quali attività, quali dati vi transitano, in quale ruolo si colloca l’impresa rispetto a ciascuno di essi e quale classificazione di rischio il Regolamento assegna a quegli impieghi. Da queste risposte dipende l’intero impianto documentale successivo; senza di esse, qualunque adempimento è costruito su un inventario che non esiste.

Lo studio, con sede a Napoli e attività su tutto il territorio nazionale, assiste aziende ed enti nell’adeguamento all’AI Act in raccordo con la disciplina sulla protezione dei dati e svolge la formazione richiesta dall’articolo 4: il perimetro è descritto nel servizio di consulenza privacy e nella pagina dedicata alla formazione. Per una valutazione preliminare degli strumenti in uso e degli obblighi applicabili si può scrivere dalla pagina dei contatti. Per i profili amministrativi e di contenzioso il riferimento è lo studio legale dell’avv. Elio Errichiello.

Avv. Elio Errichiello

L’evoluzione tecnologica sta cambiando le nostre vite in maniera radicale e a un ritmo esponenziale e per alcuni versi gli effetti risultano anche irreversibili. Questa evoluzione sta riguardando cambiamenti in tutti gli ambiti, come l’energia, i trasporti,  le comunicazioni, i media, la salute, l’ alimentazione. E’ un momento importante e potremmo definirlo di vasta importanza storica, ma tali cambiamenti vanno gestiti all’interno di regole e limiti per salvaguardare l’umanità, il pensiero, la libertà, la privacy e la dignità di ogni singola persona. Uno degli avvenimenti tecnologici che ha preso piede maggiormente in quest’ultimo periodo è il rilevamento dei dati biometrici, in particolar modo di quelli relativi al riconoscimento facciale. L’utilizzo di questa tecnologia  impone la necessaria riflessione su due punti fondamentali, da un lato la sicurezza e la prevenzione dei reati, dall’altro il trattamento su larga scala dei dati particolari con rischi per la privacy di ogni singolo individuo. Si auspica quindi che tutti i gestori, sia pubblici  che privati, possano attuare comportamenti pertinenti e proporzionati al trattamento effettuato auspicando un pronto intervento normativo, rispettando al contempo le norme presenti nel GDPR Regolamento 2016/679, regolamento europeo in tema di trattamento di dati personali.

Leggi tutto “Dati biometrici, riconoscimento facciale, tutela della privacy”