GDPR e AI Act: cosa verificare prima di usare l'IA generativa

Un'addetta alla selezione del personale incolla un CV in un assistente online per ricavarne una sintesi: in pochi secondi, la sua azienda ha trasmesso dati personali a un terzo, forse fuori dall'Unione, e utilizzato un sistema di IA in un ambito che il diritto europeo sorveglia da vicino. Ecco, testo per testo, cosa occorre verificare prima di arrivarci, nello stato del diritto al 1° ottobre 2026.

Due testi, due logiche

Due regolamenti europei si applicano contemporaneamente all'uso dell'IA generativa in azienda. Il regolamento generale sulla protezione dei dati, o GDPR, disciplina qualsiasi trattamento di dati personali, cioè qualsiasi informazione riferita a una persona identificabile. Si applica non appena un nome, un indirizzo e-mail o una scheda cliente entra in una richiesta. Il regolamento sull'intelligenza artificiale, detto AI Act, disciplina i sistemi di IA stessi in base al livello di rischio del loro uso, che trattino o meno dati personali.

L'AI Act distingue il fornitore, che sviluppa il sistema o lo immette sul mercato, e il deployer, che lo utilizza sotto la propria autorità in un contesto professionale. Un'azienda i cui dipendenti usano un assistente conversazionale per il proprio lavoro è un deployer, quale che sia la sua dimensione. Non ha gli obblighi di un editore di modelli, ma ne ha.

Il GDPR ragiona in termini di trattamenti e finalità. L'AI Act ragiona in termini di sistemi e usi. Una stessa azione, riassumere un CV, rientra in entrambi: nel GDPR perché il CV contiene dati personali, nell'AI Act perché la selezione del personale figura tra gli ambiti ad alto rischio elencati nell'allegato III del regolamento.

Il calendario dell'AI Act, modificato a luglio 2026

Il regolamento (UE) 2024/1689 è entrato in vigore il 1° agosto 2024, con un'applicazione scaglionata. Le pratiche vietate, come il punteggio sociale o certe forme di manipolazione, e l'obbligo di alfabetizzazione in materia di IA, sono applicabili dal 2 febbraio 2025. Le norme relative ai modelli di IA per finalità generali e all'organizzazione della governance si applicano dal 2 agosto 2025. La Commissione europea indica che il regolamento è diventato applicabile il 2 agosto 2026, con alcune eccezioni, e che le norme di trasparenza entrano in vigore a quella data.

Queste eccezioni derivano dall'omnibus digitale sull'IA, un testo di semplificazione proposto dalla Commissione il 19 novembre 2025. Dopo un accordo politico il 7 maggio 2026, il Parlamento europeo lo ha adottato il 16 giugno 2026 e il Consiglio il 29 giugno. Pubblicato come regolamento (UE) 2026/1744, è entrato in vigore il 27 luglio 2026. Rinvia gli obblighi dei sistemi ad alto rischio dell'allegato III, tra cui quelli utilizzati per la selezione del personale, l'istruzione o l'accesso a determinati servizi, al 2 dicembre 2027. I sistemi ad alto rischio integrati in prodotti già soggetti a una normativa settoriale, come macchine o dispositivi medici, hanno tempo fino al 2 agosto 2028.

L'omnibus aggiunge un divieto, applicabile a partire dal 2 dicembre 2026: quello dei sistemi che generano immagini intime non consensuali o contenuti pedopornografici. Concede inoltre ai fornitori di sistemi già sul mercato un termine fino al 2 dicembre 2026 per marcare in modo rilevabile i contenuti sintetici che producono.

Riscrive infine l'articolo 4 sull'alfabetizzazione in materia di IA. La vecchia formulazione chiedeva ai fornitori e ai deployer di garantire un livello sufficiente di alfabetizzazione nel proprio personale. La nuova chiede loro di adottare misure per favorire tale alfabetizzazione, tenendo conto delle conoscenze delle persone e del contesto d'uso, senza esigere un livello determinato. L'obbligo non è stato rinviato: si applica a qualsiasi azienda che utilizzi un sistema di IA nella propria attività.

Le sanzioni restano quelle dell'articolo 99: fino a 35 milioni di euro o il 7% del fatturato mondiale per le pratiche vietate, fino a 15 milioni o il 3% per la maggior parte degli altri obblighi, tra cui quelli dei deployer e di trasparenza. Per le PMI, il massimale è il più basso dei due importi.

Cosa chiede l'AI Act a un'azienda utilizzatrice

La maggior parte degli usi d'ufficio, scrivere un'e-mail, riassumere una riunione, tradurre un manuale, non rientra nell'alto rischio. Per essi, gli obblighi del deployer si riducono a due punti: formare e informare il personale ai sensi dell'articolo 4, e rispettare le norme di trasparenza dell'articolo 50.

L'articolo 50 riguarda soprattutto i contenuti diffusi. Un deployer che pubblica un'immagine, un audio o un video manipolati in modo realistico deve segnalare che sono stati generati o manipolati. Anche un testo prodotto dall'IA e pubblicato per informare il pubblico su questioni di interesse generale deve esserlo, salvo che sia stato oggetto di una revisione umana sotto la responsabilità editoriale di una persona identificata. L'informazione deve essere fornita in modo chiaro, al più tardi al primo contatto con il contenuto.

Gli obblighi si appesantiscono se l'uso rientra nell'allegato III, per esempio la selezione di candidature o la valutazione dei dipendenti. L'articolo 26 impone allora al deployer di affidare la sorveglianza del sistema a persone competenti e dotate dell'autorità necessaria, di conservare i registri generati automaticamente per almeno sei mesi, di informare i rappresentanti dei lavoratori e i dipendenti interessati prima della messa in servizio sul luogo di lavoro, e di utilizzare la documentazione del fornitore per condurre la valutazione d'impatto prevista dal GDPR. Questi obblighi si applicheranno a partire dal 2 dicembre 2027, ma un progetto avviato oggi sarà in servizio a quella data.

In Francia, il governo ha presentato il 9 settembre 2025 uno schema di controllo che affida il coordinamento alla DGCCRF e ripartisce la sorveglianza tra diverse autorità, tra cui la CNIL per i sistemi ad alto rischio legati all'occupazione e all'istruzione e l'Arcom per i contenuti sintetici. Questo schema doveva essere convalidato da una legge; occorre verificarne lo stato di avanzamento nel momento in cui si avvia un progetto.

GDPR: le domande da porsi prima della prima richiesta

Il GDPR non vieta di utilizzare l'IA generativa. Impone di rispondere, per ogni uso che riguarda dati personali, alle consuete domande: quale finalità, su quale base giuridica tra quelle dell'articolo 6, con quali dati strettamente necessari, per quanto tempo, con quale informazione alle persone e come esercitano i propri diritti. Il trattamento deve figurare nel registro delle attività di trattamento.

L'IA generativa aggiunge una difficoltà: ciò che entra in una richiesta può riemergere altrove. Il Comitato europeo per la protezione dei dati, che riunisce le autorità nazionali, ha reso il 17 dicembre 2024 un parere sui modelli di IA. Vi ritiene che un modello addestrato su dati personali non possa essere considerato anonimo in tutti i casi: occorre verificare caso per caso che la probabilità di estrarne dati sulle persone sia trascurabile. Ammette che il legittimo interesse possa fondare taluni trattamenti, a condizione di superare un test in tre fasi: interesse identificato, necessità del trattamento, bilanciamento con i diritti delle persone.

Per un'azienda utilizzatrice, la conseguenza pratica è semplice. Occorre sapere se il fornitore riutilizza le richieste per addestrare i propri modelli, e poterlo rifiutare contrattualmente. La CNIL ricorda, nelle sue domande e risposte di luglio 2024 sull'IA generativa, che il fatto che un dato sia accessibile non basta ad autorizzarne il riutilizzo da parte del fornitore.

Lo stesso GDPR potrebbe evolvere. La Commissione ha proposto il 19 novembre 2025 un secondo pacchetto dell'omnibus digitale che riguarda in particolare la definizione di dato personale. A fine settembre 2026, questo pacchetto era ancora in prima lettura, senza mandato negoziale del Consiglio. Le norme attuali si applicano quindi senza modifiche.

Il fornitore: responsabile del trattamento, e con quale contratto

Quando un fornitore tratta dati personali per conto di un'azienda, ne è il responsabile del trattamento ai sensi dell'articolo 28 del GDPR. Un contratto deve allora fissare l'oggetto, la durata, la natura e la finalità del trattamento, le categorie di dati, e vincolare il fornitore ad agire solo su istruzione, ad assicurare la sicurezza, a ricorrere ad altri responsabili solo con autorizzazione e a cancellare o restituire i dati a fine contratto.

Le offerte consumer degli assistenti online non sono in genere concepite per questo quadro. Le offerte professionali lo sono più spesso, ma le condizioni variano. La CNIL distingue tre modalità di installazione. In sede, l'organismo mantiene il controllo dell'infrastruttura. Nel cloud, serve un contratto di subfornitura che delimiti le responsabilità e gli accessi autorizzati ai dati. Tramite API, la CNIL considera il rischio il più elevato e raccomanda di evitare di trasmettervi dati personali, vigilando sulle clausole di trasferimento fuori dall'Unione.

Un punto merita una lettura attenta: se il fornitore riutilizza i dati ricevuti per fini propri, per esempio per migliorare i propri modelli, non agisce più soltanto per conto del cliente. La qualificazione di ciascuno cambia allora, con le sue conseguenze in materia di responsabilità. Il contratto deve risolvere questa questione nero su bianco.

Dati sensibili e segreti commerciali

L'articolo 9 del GDPR vieta in linea di principio il trattamento di talune categorie di dati: origine etnica, opinioni politiche, convinzioni religiose, appartenenza sindacale, dati genetici e biometrici, salute, vita e orientamento sessuale. Le eccezioni sono limitate e vanno individuate prima di qualsiasi trattamento. Un certificato di malattia, un'indicazione di disabilità in un fascicolo del personale o un referto medico incollati in un assistente online ne fanno parte.

La CNIL raccomanda di definire, in base alla modalità di installazione, gli usi autorizzati e vietati, e di vietare l'inserimento di talune informazioni riservate, come quelle coperte dal segreto commerciale, quando lo strumento è ospitato all'esterno. Raccomanda anche di formare gli utenti sul funzionamento e sui limiti del sistema, e di chiedere loro di verificare i risultati prima di riprenderli.

Trasferimenti fuori dall'Unione e CLOUD Act

Il capo V del GDPR disciplina i trasferimenti di dati personali fuori dall'Unione. Verso gli Stati Uniti, la maggior parte poggia oggi sul quadro di protezione dei dati UE-USA, adottato dalla Commissione nel luglio 2023. Il 3 settembre 2025, il Tribunale dell'Unione europea ha respinto il ricorso del deputato francese Philippe Latombe contro tale quadro, nella causa T-553/23. Il ricorrente ha proposto il 31 ottobre 2025 un'impugnazione davanti alla Corte di giustizia, registrata con il numero C-703/25 P. Finché la Corte non si è pronunciata, la base giuridica di questi trasferimenti resta contestata, e il suo stato va verificato nel momento in cui si sceglie uno strumento.

Il CLOUD Act, legge americana del 2018, aggiunge un'altra esposizione. Ha inserito nel codice federale americano una disposizione, la sezione 2713 del titolo 18, che obbliga i fornitori di servizi di comunicazione e di archiviazione soggetti al diritto americano a comunicare, su richiesta, i dati in loro possesso, sotto la loro custodia o sotto il loro controllo, che tali dati siano archiviati negli Stati Uniti o altrove. L'ospitalità in un data center europeo non elimina quindi questa esposizione quando il fornitore dipende dal diritto americano.

Per l'azienda, questi due elementi rientrano nell'analisi del rischio. Occorre individuare, per ciascuno strumento, il paese del fornitore e dei suoi stessi subfornitori, lo strumento giuridico che inquadra il trasferimento, e cosa accadrebbe se tale quadro cadesse.

Registrare senza sorvegliare

La registrazione (logging) consiste nel registrare chi ha fatto cosa, e quando, in un sistema. Serve a rilevare gli abusi, a indagare dopo un incidente e a dimostrare la propria conformità. La CNIL ha pubblicato il 18 novembre 2021 una raccomandazione sul tema. Vi preconizza di conservare le tracce degli accessi e delle azioni degli utenti abilitati per un periodo da sei mesi a un anno, una durata più lunga dovendo essere giustificata e documentata, nella maggior parte dei casi senza superare i tre anni.

Con l'IA generativa, la questione si raddoppia. I registri di un assistente contengono spesso il testo delle richieste e delle risposte, quindi dati personali e talvolta segreti commerciali. Costituiscono a loro volta un trattamento da mettere in sicurezza, da limitare nel tempo e da proteggere contro una sorveglianza eccessiva dei dipendenti. Per i sistemi ad alto rischio, l'AI Act fissa un minimo di sei mesi di conservazione dei registri per il deployer. Occorre sapere dove sono archiviati questi registri, chi può leggerli e se sono accessibili al fornitore.

La valutazione d'impatto, strumento di decisione

La valutazione d'impatto sulla protezione dei dati, o DPIA, è obbligatoria ai sensi dell'articolo 35 del GDPR quando un trattamento può presentare un rischio elevato per i diritti e le libertà delle persone. Le autorità europee hanno individuato nove criteri, tra cui i dati sensibili, il trattamento su larga scala, le persone vulnerabili, l'incrocio di insiemi di dati e l'uso innovativo di una tecnologia. Un trattamento che riunisce almeno due criteri è presunto dover essere oggetto di una valutazione.

La CNIL precisa che le tecniche recenti, tra cui l'IA generativa, rientrano nel criterio dell'uso innovativo, contrariamente a metodi statistici consolidati. Elenca anche rischi propri dell'IA da integrare nell'analisi: produzione di contenuti falsi, distorsioni discriminatorie, attacchi volti a estrarre dati dal modello. Un assistente utilizzato dalle risorse umane su fascicoli di dipendenti riunisce quindi rapidamente due criteri.

La DPIA non è un modulo in più. Se condotta bene, obbliga a descrivere il flusso reale dei dati, a confrontare le opzioni di installazione e a documentare la scelta effettuata. È spesso in questa fase che un'azienda scopre che una parte dei suoi usi non dovrebbe passare per un servizio esterno.

Cosa cambia con un'elaborazione in sede

Far girare il modello su una macchina installata nei locali dell'azienda modifica diverse risposte. La CNIL raccomanda questa modalità di installazione per i dati personali o riservati, perché limita i rischi di estrazione da parte di terzi. Se nessun fornitore accede alle richieste, non c'è né trasferimento fuori dall'Unione, né esposizione al CLOUD Act per questo canale, né riutilizzo dei dati per addestrare un modello di terzi. La catena di subfornitura si accorcia, e i registri restano sotto il controllo dell'azienda.

Non elimina il resto. Base giuridica, minimizzazione, informazione alle persone, sicurezza, durate di conservazione e valutazione d'impatto restano dovute. Gli obblighi dell'AI Act non dipendono dal luogo in cui gira il modello: una selezione di candidature resta un uso ad alto rischio, che sia eseguita in un data center americano o in un armadio server. E se un fornitore assicura la manutenzione a distanza con un accesso ai dati, torna a essere responsabile del trattamento.

L'elaborazione in sede sposta anche una parte della responsabilità tecnica verso l'azienda: aggiornamenti di sicurezza, controllo degli accessi, backup. Il vantaggio giuridico presuppone una macchina correttamente amministrata.

Prima di firmare

La verifica si riduce a una breve serie di punti. Una carta scritta distingue gli usi autorizzati e vietati. Ogni uso è classificato a seconda che riguardi o meno dati personali, e tra questi dati sensibili. Per ogni strumento, l'azienda conosce il luogo di elaborazione delle richieste, il fornitore, il diritto a cui è soggetto e lo strumento giuridico che inquadra un eventuale trasferimento. Il contratto vieta il riutilizzo dei dati per l'addestramento, oppure lo disciplina. I registri hanno una collocazione, degli accessi e una durata di conservazione definiti. Gli usi che rientrano nell'allegato III dell'AI Act sono individuati, la valutazione d'impatto è condotta quando si impone, e il personale ha ricevuto una formazione adeguata.

Questo articolo descrive lo stato dei testi al 1° ottobre 2026. Non costituisce una consulenza legale: ogni caso particolare, in particolare quelli che riguardano le risorse umane, la salute o i trasferimenti internazionali, richiede il parere di un giurista o del responsabile della protezione dei dati (DPO). È per rispondere alla questione della collocazione dei dati che HOMN progetta macchine che elaborano le richieste in sede; le altre questioni di questo elenco restano a carico di ciascuna azienda.

Un'azienda che usa ChatGPT o Copilot è interessata dall'AI Act?

Sì. È un deployer ai sensi del regolamento. Deve come minimo adottare misure di alfabetizzazione in materia di IA per il proprio personale (articolo 4) e rispettare le norme di trasparenza dell'articolo 50. Si aggiungono obblighi più pesanti se l'uso rientra nell'alto rischio, come la selezione del personale.

Gli obblighi ad alto rischio dell'AI Act si applicano da agosto 2026?

No. Il regolamento (UE) 2026/1744, entrato in vigore il 27 luglio 2026, li ha rinviati al 2 dicembre 2027 per i sistemi dell'allegato III e al 2 agosto 2028 per quelli integrati in prodotti regolamentati.

Serve una valutazione d'impatto per usare l'IA generativa?

Non sistematicamente. È obbligatoria se il trattamento presenta un rischio elevato, presunto non appena due dei nove criteri europei sono riuniti. La CNIL colloca l'IA generativa tra gli usi innovativi, il che costituisce già un criterio. Raccomanda di condurne una.

Ospitare l'IA in Europa basta a escludere il CLOUD Act?

No. Il CLOUD Act riguarda i fornitori soggetti al diritto americano, qualunque sia il luogo di archiviazione dei dati. Solo un trattamento da parte di un fornitore non soggetto a tale diritto, o su una macchina dell'azienda senza accesso esterno, esclude questa esposizione.