GDPR e IA: cosa è vietato, cosa vale a condizioni e cosa governate voi

Un breve elenco di utilizzi dell'IA è vicino a un vero divieto sotto il GDPR. Conoscerlo per primo rende più facile ragionare sul resto.

• Decisioni interamente automatizzate su persone. L'articolo 22 limita le decisioni con effetti giuridici o similmente rilevanti prese senza un coinvolgimento umano significativo. Le autorità di controllo tedesche lo interpretano in modo rigoroso e si aspettano una supervisione umana effettiva, non un'approvazione formale (Hogan Lovells).
• Categorie particolari di dati, di default. I dati sanitari, biometrici, relativi alle convinzioni personali e simili sono in linea di principio esclusi dal trattamento ai sensi dell'articolo 9, a meno che non si applichi un'eccezione specifica. L'AI Act crea un'apertura ristretta: l'articolo 10, paragrafo 5, consente tali dati strettamente per individuare e correggere distorsioni nei sistemi ad alto rischio (IAPP).
• Modelli basati su dati raccolti illecitamente. Il parere EDPB 28/2024 del 18 dicembre 2024 stabilisce che lo sviluppo di un modello con dati personali trattati illecitamente può compromettere la liceità del suo utilizzo, a meno che il modello non sia stato adeguatamente anonimizzato (EDPB).

La maggior parte del lavoro sull'IA si colloca al di fuori di questo breve elenco, dove la risposta è raramente un netto "no". È un "sì, se".

La grande zona intermedia del lavoro sull'IA è lecita se riuscite a dimostrare e documentare le condizioni giuste.

Due condizioni fanno la maggior parte del lavoro. La prima è una base giuridica. Per l'addestramento e l'uso di modelli con dati personali, l'EDPB ha proposto un test a tre fasi per il legittimo interesse, che pesa l'interesse stesso, la necessità del trattamento e un bilanciamento con i diritti degli interessati (EDPB). Il legittimo interesse è disponibile, ma va guadagnato attraverso questo test, non presupposto.

La seconda è l'anonimità, che non potete dichiarare da soli. Lo stesso parere stabilisce che un modello addestrato su dati personali non è automaticamente anonimo. È considerato anonimo solo se è molto improbabile sia identificare le persone i cui dati lo hanno addestrato, sia estrarre tali dati tramite query, valutato caso per caso dall'autorità di controllo (IAPP). Il parere si basa così tanto sulla formula "caso per caso" che analisti legali ne hanno contato le occorrenze nel testo (Ropes & Gray). La lettura pratica: la maggior parte del trattamento IA è consentita, a condizione che possiate dimostrare la vostra base giuridica e la vostra documentazione.

La parte incoraggiante è che le condizioni da soddisfare dipendono in gran parte da come costruite il sistema, non da chi siete.

• Conservare meno, per meno tempo. La minimizzazione dei dati e la limitazione della finalità si applicano nei punti specifici dell'IA dove i dati si nascondono: i log dei prompt e di sistema, e i vettori in un archivio RAG. Le linee guida dell'EDPB indicano di minimizzare ciò che viene registrato, preferire identificatori aggregati o pseudonimi e mantenere breve la conservazione (analisi EDPB).
• Decidere consapevolmente dove risiedono i dati. Dalla sentenza Schrems II, il trasferimento di dati personali a un fornitore statunitense non è risolto con la sola firma delle clausole contrattuali standard. Dovete verificare se tali clausole possano essere effettivamente fatte valere alla luce del diritto di sorveglianza statunitense, e questa responsabilità non può essere delegata al fornitore (analisi).

Questo è il motivo pratico per cui la residenza dei dati e il funzionamento on-premise sono leve di controllo e non ideologia, lo stesso punto alla base dell'utilizzo di modelli che possedete invece di noleggiare (iiterate).

Aiuta trattare protezione dei dati e regolamentazione dell'IA come obblighi separati che si incontrano, invece che come un unico corpo normativo.

Il GDPR è un regime di diritti fondamentali sui dati personali; l'AI Act è più vicino al diritto della sicurezza dei prodotti per i sistemi di IA (IAPP). Un sistema ad alto rischio può dover rispettare obblighi da entrambi: una valutazione d'impatto sulla protezione dei dati ai sensi dell'articolo 35 del GDPR e una valutazione d'impatto sui diritti fondamentali ai sensi dell'articolo 27 dell'AI Act, che la integra invece di sostituirla. I due si intrecciano anche in modo scomodo. I professionisti del settore segnalano ad esempio che il profiling sotto il GDPR può far rientrare nell'ambito di applicazione un sistema che un'eccezione dell'AI Act sembrava aver escluso (r/gdpr). L'aiuto ufficiale è in arrivo: EDPB e Commissione Europea dovrebbero pubblicare all'inizio del 2026 linee guida congiunte sulla sovrapposizione (IAPP).

Non vi serve una certezza che l'autorità di controllo non ha fornito. Vi serve una posizione solida e documentata. Un ordine pratico:

1. Mappate dove i dati personali entrano nel sistema: input, prompt, log, dati di addestramento e l'archivio RAG.
2. Scegliete e documentate una base giuridica per ogni utilizzo. Se vi basate sul legittimo interesse, eseguite il test di bilanciamento invece di presupporlo.
3. Eseguite una valutazione d'impatto prima di implementare qualcosa che profila le persone o decide su di esse, e mantenete un essere umano significativamente coinvolto per i casi dell'articolo 22.
4. Minimizzate e limitate nel tempo ciò che il sistema conserva, in particolare i log dei prompt e i vettori.
5. Decidete consapevolmente la residenza dei dati. Se i dati personali dovessero lasciare l'UE, eseguite la verifica sul trasferimento oppure mantenete il trattamento nell'UE o on-premise.
6. Rivedete la posizione quando usciranno le linee guida congiunte di EDPB e Commissione nel 2026.

In sintesi: sotto il GDPR pochissimo dell'IA è vietato in modo categorico, poche cose lo sono davvero, e il resto è per lo più un documentato "sì, se". Le condizioni che lo determinano sono per lo più architetturali, il che significa che siete voi a stabilirle. Le stesse questioni di governance emergono nel momento in cui un agente interno tocca i dati dei clienti (iiterate). Questo resta orientamento e non consulenza legale, quindi fate del vostro responsabile della protezione dei dati il prossimo lettore.