“L’AI è conforme al GDPR?” È una delle prime domande che un imprenditore attento pone al fornitore. La risposta corretta non è sì o no — è: dipende da come la usi, da dove salva i dati, da quali informazioni processa, e da quanti avvisi di trasparenza rispetti. Rispondere “sì certo, tranquillo” è spesso il segnale che il fornitore non ha davvero studiato il tema.
In questo articolo trovi una guida pratica in 10 punti agli obblighi reali per una PMI italiana che introduce un agente AI nel 2026: GDPR, AI Act europeo, obblighi verso clienti e dipendenti, rischi concreti di sanzioni. Scritto in italiano semplice, non in giuridichese.
Premessa indispensabile
Questo articolo ha intento divulgativo. Per un parere legale specifico sulla tua situazione, consulta un avvocato o un DPO qualificato. Ma leggere questa guida ti permette di arrivare a quella conversazione con le domande giuste, non con il foglio bianco.
Punto 1 — Il GDPR si applica sempre, l’AI Act si applica spesso
Due normative parallele, non alternative.
GDPR (in vigore dal 2018): regola il trattamento di dati personali. Se il tuo agente AI processa email, telefoni, nomi, o qualsiasi informazione che identifica persone fisiche, il GDPR si applica. Sempre.
AI Act europeo (in vigore progressivamente dal 2024-2026): regola i sistemi di intelligenza artificiale in base al loro livello di rischio. Non tutti i sistemi AI sono regolati allo stesso modo: i sistemi “a rischio minimo” (chatbot generici, generatori di contenuti) hanno obblighi leggeri; i sistemi “ad alto rischio” (valutazione credito, selezione personale) hanno obblighi pesanti.
Cosa significa per te: la maggior parte degli agenti AI per PMI rientra nella fascia a rischio minimo o limitato. Ma hai comunque obblighi di trasparenza non banali.
Punto 2 — La base giuridica del trattamento
Per trattare dati personali devi avere una base giuridica tra le 6 previste dal GDPR. Le più rilevanti per agenti AI:
- Esecuzione di un contratto (esempio: l’agente AI gestisce la prenotazione di un cliente che ti ha contattato).
- Consenso esplicito (esempio: l’agente AI contatta lead per marketing).
- Legittimo interesse (esempio: l’agente AI invia solleciti pagamento a clienti con fattura scaduta).
Errore tipico: usare il legittimo interesse per attività di marketing aggressivo. Non regge. Ti serve il consenso documentato, non il silenzio-assenso della privacy policy.
Punto 3 — Il principio di minimizzazione
Il GDPR richiede di trattare solo i dati strettamente necessari alla finalità. Un errore comune è dare all’agente AI accesso a tutto il CRM “perché così se serve trova quello che vuole”.
Come fare bene: definire con precisione quali dati l’agente può leggere, quali può scrivere, quali non deve vedere. Per ogni processo automatizzato, un profilo di accesso dedicato. Non un super-accesso generico.
Punto 4 — Dove finiscono i dati (server UE vs extra-UE)
Il punto più tecnico ma più importante. Molti agenti AI usano modelli generativi ospitati negli Stati Uniti (OpenAI, Anthropic, Google) o altrove. Ogni volta che l’agente processa un dato, quel dato viene inviato a quei server.
Cosa devi pretendere dal fornitore:
- Dove vengono processati i dati? (Server UE, extra-UE, misto?)
- Se extra-UE: quali clausole contrattuali standard (SCC) sono in atto?
- I tuoi dati vengono usati per addestrare modelli? (La risposta corretta deve essere no).
- Per quanto tempo i dati restano sui server dell’AI provider?
- C’è un Data Processing Agreement (DPA) firmato tra te e il fornitore?
Se il fornitore non risponde chiaramente a queste 5 domande, non firmare. È un rischio sanzionatorio concreto.
Punto 5 — L’informativa aggiornata
Se introduci un agente AI, la tua informativa privacy (GDPR art. 13) va aggiornata. Deve dire chiaramente:
- Che utilizzi sistemi di intelligenza artificiale nei processi aziendali.
- Quale tipo di dati vengono processati dall’AI.
- Se c’è profilazione o decisioni automatizzate con effetto rilevante sull’interessato.
- I diritti specifici legati all’AI (per esempio il diritto di non essere sottoposto a decisioni automatizzate).
Errore tipico: copiare l’informativa del fornitore AI nella propria. Non basta. L’informativa deve essere personalizzata sulla tua azienda.
Punto 6 — L’obbligo di trasparenza verso i clienti
Sia il GDPR (principio di correttezza) sia l’AI Act richiedono che i clienti sappiano quando interagiscono con un’AI.
Cosa significa in pratica:
- Se il cliente chatta con un agente AI sul tuo sito, la chat deve iniziare con “Ciao, sono l’assistente virtuale di [Azienda]”.
- Se c’è escalation a umano, il cliente deve capire quando sta parlando con un umano e quando con AI.
- Non è ammesso far passare l’AI per umana nemmeno “per migliorare l’esperienza cliente”.
Questa è anche uno dei 5 principi etici non negoziabili della nostra metodologia. Nessuna eccezione.
Punto 7 — I diritti dell’interessato
Il cliente può chiederti (GDPR art. 15-22):
- Cosa sai di lui/lei (accesso).
- Di correggere dati errati (rettifica).
- Di cancellare i dati (oblio, con limiti).
- Di trasferirli a un altro fornitore (portabilità).
- Di non essere sottoposto a decisioni basate solo su trattamento automatizzato che producano effetti rilevanti (art. 22).
Per l’agente AI, pretendi dal fornitore: procedure tecniche rapide per esercitare questi diritti. Hai 30 giorni di tempo per rispondere, il tuo fornitore deve darti gli strumenti per farlo.
Punto 8 — I dati dei dipendenti
Un tema spesso sottovalutato. Se l’agente AI monitora l’attività dei dipendenti (email che invia, tempo di risposta, produttività), rientri in un ambito regolato oltre che dal GDPR anche dallo Statuto dei Lavoratori (art. 4).
Cosa fare:
- Informativa specifica ai dipendenti sull’introduzione dell’AI.
- Confronto con le rappresentanze sindacali se il tuo CCNL lo prevede.
- Accordo aziendale o autorizzazione dell’Ispettorato se c’è qualsiasi forma di controllo a distanza.
Saltare questo passaggio può portare a contenziosi con i dipendenti e invalidare l’intera implementazione.
Punto 9 — La DPIA (Valutazione di Impatto)
Per trattamenti considerati “ad alto rischio” (tra cui molti sistemi AI), il GDPR richiede una Data Protection Impact Assessment (art. 35). In pratica un documento che analizza:
- Finalità del trattamento e necessità dell’AI.
- Rischi per i diritti degli interessati.
- Misure tecniche e organizzative per mitigarli.
Quando serve obbligatoriamente: profilazione sistematica, dati sensibili (salute, orientamento, ecc.), decisioni automatizzate con effetto rilevante, monitoraggio sistematico di aree accessibili al pubblico.
Quando è comunque consigliata: sempre, anche nei casi non obbligatori. Ti protegge in caso di contestazione ed è spesso meno complessa di quanto sembri. Un buon DPO la fa in 3-5 ore di lavoro.
Punto 10 — Le sanzioni reali (quanto rischi)
Il GDPR prevede sanzioni fino al 4% del fatturato annuo globale o 20 milioni di euro (il valore maggiore). L’AI Act prevede sanzioni fino al 7% del fatturato annuo per violazioni gravi.
Per una PMI italiana media: le sanzioni effettive del Garante Privacy negli ultimi 2 anni su violazioni “minori” si sono attestate tra 5.000 e 50.000 €. Non catastrofiche, ma comunque dolorose. Su violazioni pesanti (data breach, dati sensibili) le sanzioni per PMI sono state anche 100.000-500.000 €.
Oltre alle sanzioni amministrative: c’è il rischio contenzioso civile (clienti che chiedono risarcimenti), il danno reputazionale (segnalazioni pubbliche), la perdita di clienti B2B che pretendono fornitori compliance-ready.
Le 8 domande da fare al fornitore AI prima di firmare
- Dove vengono processati i dati? Server UE o extra-UE?
- I dati dei nostri clienti vengono usati per addestrare modelli?
- Per quanto tempo vengono conservati?
- Avete un DPA pronto da firmare?
- Se il cliente esercita il diritto alla cancellazione, come procediamo tecnicamente?
- Se c’è un data breach sul vostro lato, in quanto tempo ci avvisate?
- Con quale certificazione di sicurezza lavorate (ISO 27001, SOC 2, altro)?
- Siete classificati come “fornitori ad alto rischio” secondo l’AI Act? Se sì, quali obblighi applicate?
Se il fornitore non risponde chiaramente a queste 8 domande, cambialo. Non è un problema di fastidio burocratico, è un rischio sanzionatorio concreto che si trasferisce a te.
Come ci comportiamo noi
Per trasparenza — dato che stiamo parlando di GDPR — ecco le nostre policy: server UE per tutti i dati sensibili, zero training sui dati clienti, DPA standard disponibile in 24h, cancellazione dati entro 30 giorni dalla richiesta, breach notification entro 24h. Questi non sono “vantaggi competitivi”, sono requisiti minimi che qualsiasi fornitore serio dovrebbe garantire.
Il consiglio pratico
Non aspettare di avere tutto perfetto per iniziare. Il modo giusto di procedere è:
- Coinvolgi il tuo consulente privacy (o un DPO esterno) nella scelta del fornitore dal giorno 1.
- Parti da un progetto pilota piccolo (minor quantità di dati = minor rischio).
- Aggiorna l’informativa e i consensi prima del go-live.
- Documenta le scelte fatte (ti serviranno in caso di controllo).
- Rivedi la conformità ogni 6 mesi (la normativa evolve rapidamente).
Vuoi un partner AI che parla anche di compliance?
Se stai valutando un progetto AI ma il tema GDPR ti blocca, una diagnosi gratuita di 30 minuti ti chiarisce in concreto cosa puoi fare, cosa NON puoi fare, e quali precauzioni adottare. Non ti venderemo un progetto se non può essere conforme. Se vuoi anche capire da dove iniziare in generale o se la tua azienda è pronta, abbiamo guide dedicate.