Usare l'IA non ti esentera dal rispetto della protezione dei dati, la rinforza. Ti spieghiamo cosa dice il GDPR sull'uso dei dati personali in progetti di IA, quando hai bisogno di una DPIA, quali basi legali sono valide e come evitare gli errori che possono costarti una sanzione
Se la tua azienda utilizza intelligenza artificiale (un chatbot,un motore di raccomandazioni, un sistema di analisi predittivo, o semplicemente ChatGPT per redigere email) stai elaborando dati. E se questi dati appartengono a persone (clienti, dipendenti, fornitori), il GDPR si applica. Non ci sono eccezioni per le PMI, né per l'uso dell'IA nel cloud, né per i dati «anonimi» che in realtà sono pseudoanonimizzati.
Il Regolamento generale sulla protezione dei dati (GDPR) è la spina dorsale di tutta la regolamentazione digitale europea. L'AI Actla NIS2, il DSA — tutti si basano sui principi del GDPR. Questo significa qualcosa di molto pratico: un progetto di IA che non rispetta il GDPR non potrà mai dimostrare conformità all'AI Act..
In questo articolo ti spieghiamo l'intersezione tra GDPR e IA in modo pratico: quali diritti dei tuoi clienti devi rispettare, quando hai bisogno di una valutazione di impatto (DPIA), quali basi legali puoi utilizzare, cosa deve includere il contratto con il tuo fornitore di IA e gli errori che vediamo più frequentemente.
IA e dati personali: cosa dice il GDPR
Il GDPR non menziona esplicitamente l'intelligenza artificiale (è stato approvato nel 2016, prima del boom dell'IA generativa), ma i suoi principi si applicano direttamente a qualsiasi sistema che elabori dati personali:
- Liceità, correttezza e trasparenza: Devi avere una base legale per ogni trattamento dei dati, informare gli interessati su come utilizzi i loro dati e non utilizzarli in modi che non si aspetterebbero.
- Limitazione della finalità: I dati raccolti per uno scopo non possono essere riutilizzati per uno scopo incompatibile. Se raccogli email per inviare fatture, non puoi usarle per addestrare un modello di previsione del comportamento senza una base legale aggiuntiva.
- Minimizzazione dei dati: Puoi trattare solo i dati strettamente necessari. Se il tuo chatbot non ha bisogno del nome completo del cliente per rispondere a una domanda sulla spedizione, non chiederlo.
- Esattezza: I dati devono essere aggiornati e corretti. Un sistema di IA addestrato con dati obsoleti o errati produce risultati errati — e questo ha conseguenze legali.
- Limitazione del periodo di conservazione: Non puoi archiviare i dati indefinitamente. Definisci periodi di conservazione chiari (ad esempio, 90 giorni per i dati pilota) ed elimina alla chiusura.
- Integrità e confidenzialità: Crittografia, controllo degli accessi con privilegio minimo, ambienti segregati (sviluppo, test, produzione), log di accesso.
Inoltre, il GDPR riconosce sette diritti fondamentali dei cittadini che si applicano direttamente quando utilizzi l'IA:
- Diritto di accesso e trasparenza: Il cliente può chiederti di spiegare quali dati hai di lui e come li utilizzi.
- Diritto di rettifica: Se i dati sono scorretti, devi correggerli.
- Diritto all'oblio: Il cliente può chiedere che i suoi dati vengano cancellati. Nell'IA, questo è particolarmente complesso: se i suoi dati facevano parte dell'addestramento di un modello, rimuoverli potrebbe richiedere un completo riaddestramento.
- Diritto di opposizione: Il cliente può opporsi al trattamento dei suoi dati, soprattutto se basato su un interesse legittimo.
- Diritto a non essere soggetto a decisioni automatizzate: Articolo 22 del GDPR. Se il tuo sistema di IA prende decisioni con effetti significativi su una persona (approvazione di un credito, filtro di un CV, negazione di un servizio) senza intervento umano, l'interessato ha il diritto di impugnarlo ed esigere una revisione umana.
Un progetto di IA che non rispetta il GDPR non potrà mai dimostrare conformità all'AI Act.
Quando hai bisogno di una DPIA (e quando basta una DPIA-Lite)
La Valutazione dell'Impatto sulla Protezione dei Dati (DPIA) è il meccanismo che il GDPR stabilisce per valutare i rischi che un trattamento dei dati può comportare per i diritti e le libertà delle persone. Non tutti i progetti di IA la richiedono, ma molti sì.
Quando è obbligatoria?
Una DPIA è obbligatoria quando il trattamento dei dati comporta un rischio elevato per i diritti delle persone. Nel contesto dell'IA, questo include:
- Profilazione su larga scala o decisioni automatizzate: Approvazione di crediti, assunzione, valutazione accademica, giustizia.
- Trattamento di dati sensibili: Dati sanitari, biometria, emozioni, orientamento sessuale, convinzioni religiose.
- Sorveglianza sistematica: Monitoraggio continuo di persone in spazi pubblici o lavorativi.
- Trattamento su larga scala: Volume di dati o numero di persone interessate significativo.
DPIA-Lite per i pilot
Nella metodologia che utilizziamo in Impulsa3, per i pilot con ambito limitato (dati limitati, durata definita, popolazione controllata), utilizziamo una DPIA-Lite: una versión simplificada pero igualmente rigurosa que cubre los campos esenciales sin la complejidad de una DPIA completa.
Una DPIA-Lite incluye:
- Identificazione del trattamento: Quale sistema, chi è lo sponsor, chi è il Product Owner, chi è il DPO, quale entità è responsabile e quali fornitori elaborano i dati.
- Descrizione e finalità: Cosa fa il sistema, quale decisione supporta, perché è necessario e proporzionato.
- Base legale: Quale delle sei basi dell'articolo 6 del GDPR si applica (consenso, contratto, obbligo legale, interesse vitale, interesse pubblico, interesse legittimo).
- Categorie di dati e persone interessate: Quali dati personali vengono elaborati (contatto, transazionale, navigazione), se ci sono categorie speciali (articolo 9), e quali popolazioni sono interessate.
- Flussi di dati e trasferimenti: Da dove provengono i dati, dove vanno, quali subappaltatori intervengono e se ci sono trasferimenti internazionali.
- Minimizzazione e conservazione: Solo dati necessari, conservazione limitata al pilot (ad esempio, 90 giorni), eliminazione alla chiusura.
- Sicurezza: Controllo degli accessi con privilegio minimo, ambienti segregati, log, piano di incidenti con tempi di notifica (72 ore secondo GDPR).
- Valutazione dei rischi: Identificazione dei rischi con probabilità e impatto (scala 1-5), misure di mitigazione e rischio residuo.
- Conclusione e firma: Decisione (rischio limitato → può procedere al Gate 1; rischio moderato → mitigare prima; rischio elevato → riprogettare) con approvazione di Legal/DPO, Sicurezza e Product Owner.
Importante: La DPIA-Lite non è un scorciatoia per evitare la DPIA completa. È uno strumento per i pilot limitati. Se il sistema passa alla produzione con ambito ampliato, dati sensibili o effetti significativi, avrai bisogno di completare la DPIA standard.
Basi legali per i progetti di IA: quale si applica in ogni caso
Ogni trattamento di dati personali ha bisogno di una base legale dall'articolo 6 del GDPR. Nei progetti di IA, le tre più comuni sono:
1. Consenso (Art. 6.1.a)
L'interessato dà il suo consenso esplicito e informato. È la base più robusta legalmente, ma anche la più fragile operativamente: il consenso deve essere libero, specifico, informato e inequivocabile. Ed è revocabile in qualsiasi momento.
Quando usarlo: Quando elabori dati sensibili (articolo 9), quando il trattamento non è strettamente necessario per il servizio, o quando vuoi una base legale solida davanti all'autorità.
2. Esecuzione del contratto (Art. 6.1.b)
Il trattamento è necessario per adempiere un contratto con l'interessato o per adottare misure precontrattuali su sua richiesta.
Quando usarlo: Un chatbot che accede alla cronologia degli ordini per risolvere un reclamo. Un motore di raccomandazioni che personalizza l'esperienza di acquisto come parte del servizio contrattato.
3. Interesse legittimo (Art. 6.1.f)
Il trattamento è necessario per un interesse legittimo dell'azienda, purché i diritti dell'interessato non prevalgano. Richiede una prova di bilanciamento: dimostrare che i tuoi interessi commerciali non superano i diritti di privacy dei tuoi clienti.
Quando usarlo: Rilevamento delle frodi, analisi di sicurezza, ottimizzazione interna dei processi. È la base più comune nei progetti di IA, ma anche la più discussa.
Consiglio: Documenta sempre la base legale scelta nella DPIA e nella scheda di classificazione. Se utilizzi interesse legittimo, documenta anche la prova di bilanciamento. «Ci è parso ragionevole» non è una prova.
Il contratto con il tuo fornitore di IA: cosa deve includere il DPA
Se utilizzi un servizio di IA esterno (Tidio, Gorgias, ChatGPT API, Shopify Magic, qualsiasi SaaS con IA), stai esternalizzando il trattamento dei dati personali. Il GDPR richiede che tu abbia firmato un Data Processing Agreement (DPA) antes de dar acceso a cualquier dato.
Un DPA para servicios de IA debe incluir como mínimo:
- Delimitazione degli usi: Vietare esplicitamente al fornitore di utilizzare i dati dei tuoi clienti per l'addestramento, il miglioramento o il beneficio proprio, se non con accordo esplicito e base legale chiara.
- Allegati tecnici: Schema di log per la tracciabilità, segregazione degli ambienti, prova di controlli tecnici (crittografia, accesso minimo).
- Gestione dei subappaltatori: Quali subappaltatori elaborano i dati, dove sono ubicati, base legale per i trasferimenti internazionali.
- Clausola di reversibilità: La tua capacità di migrare i dati se cambi fornitore. Senza questa clausola, sei bloccato.
- Notifica di incidenti: Tempi di notifica (il GDPR richiede 72 ore), protocollo di comunicazione e responsabilità.
- Clausola di eliminazione: Cosa accade ai dati quando termina la relazione contrattuale: eliminazione certificata o restituzione.
Prima di firmare: Richiedi sempre il foglio tecnico del fornitore e conferma gli SLA di disponibilità e tempo di risposta. Un fornitore serio non avrà problemi a fornire queste informazioni.
I cinque errori più comuni (e come evitarli)
- Presumere che i dati siano anonimi. La pseudoanonimizzazione non è anonimizzazione. Se i dati possono essere reidentificati (mediante incroci, contesto o tecniche di inferenza), rimangono dati personali e il GDPR si applica. L'IA è particolarmente efficace nell'inferenza di dati sensibili da dati apparentemente innocui: i modelli di navigazione possono rivelare lo stato di salute, l'orientamento sessuale o la situazione finanziaria.
- Non avere DPA firmato con il fornitore di IA. Utilizzare un'API di IA con i dati dei clienti senza DPA è una violazione diretta del GDPR. E il rischio non è teorico: se il fornitore utilizza questi dati per addestrare il suo modello, i tuoi clienti sono esposti senza base legale.
- Riutilizzare i dati per scopi non previsti. Raccogli dati di acquisto per la fatturazione e li utilizzi per addestrare un modello predittivo del comportamento. Senza una base legale aggiuntiva (consenso specifico o interesse legittimo documentato con prova di bilanciamento), è una violazione.
- Non avere un meccanismo per esercitare i diritti. Se un cliente chiede accesso ai suoi dati, rettifica o eliminazione, hai bisogno di un processo operativo per soddisfare quella richiesta nei tempi previsti (un mese al massimo). Se la tua IA è nel cloud di una terza parte, hai bisogno che il DPA contempli come esercitare questi diritti.
- Ignorare le decisioni automatizzate. Se il tuo sistema di IA prende decisioni con effetto significativo su persone (negazione di servizio, rifiuto di richiesta, punteggio creditizio) senza un intervento umano effettivo, stai violando l'articolo 22. L'HITL (Human-in-the-Loop) non è opzionale in questi casi.
Checklist pratico di conformità GDPR per i progetti di IA
Utilizza questa checklist prima di lanciare qualsiasi progetto di IA che elabori dati personali:
- Base legale documentata per ogni trattamento dei dati nel progetto.
- DPIA completata (o DPIA-Lite se è un pilot limitato) e firmata da Legal/DPO.
- DPA firmato con ogni fornitore esterno che elabori dati personali.
- Clausola di non addestramento nel DPA: il fornitore non può utilizzare i tuoi dati per migliorare il suo modello.
- Politica di minimizzazione applicata: solo i dati necessari per la finalità.
- Periodo di conservazione definito e meccanismo di eliminazione automatica alla chiusura.
- Avviso di trasparenza implementato: l'utente sa che interagisce con l'IA e quali dati vengono elaborati.
- Meccanismo di diritti operativo: accesso, rettifica, eliminazione, opposizione, portabilità.
- Supervisione umana designata se ci sono decisioni automatizzate con effetto significativo.
- Controllo degli accessi con privilegio minimo (SSO/MFA) e ambienti segregati.
- Piano di incidenti con contatti, tempi (72h) e protocollo di notifica.
- Log di accesso e query abilitati con avvisi di base.
Regola d'oro: Se non riesci a dimostrare con prove che rispetti ogni punto, non stai rispettando. Il GDPR richiede accountability (responsabilità proattiva): non basta non violare, devi poter dimostrare che rispetti.
Il GDPR come vantaggio, non come ostacolo
Rispettare il GDPR nei tuoi progetti di IA non è solo evitare sanzioni (che possono raggiungere i 20 milioni di euro o il 4% della fatturazione globale). È costruire una base di fiducia con i tuoi clienti, un'infrastruttura di dati pulita che migliora la qualità della tua IA, e un modello di governance che ti prepara automaticamente all'AI Act.
La preparazione dei dati rappresenta tra il 60% e l'80% del budget di qualsiasi progetto di IA. Se quella preparazione include fin dal primo giorno la qualità, la minimizzazione, la tracciabilità e i controlli del GDPR, non stai aggiungendo costi: stai facendo bene il lavoro che comunque avresti dovuto fare.
Se hai bisogno di aiuto per preparare la DPIA del tuo progetto di IA, rivedere i DPA con i tuoi fornitori o implementare il modello di governance dei dati che collega GDPR, AI Act e operazioni, in Impulsa3 ti accompagniamo dalla classificazione alla produzione.
