Il GDPR si applica all'IA ogni volta che un sistema di IA tratta dati personali, sia che si addestri un modello, lo si perfezioni (fine-tuning) o si lasci semplicemente che il proprio team incolli i record dei clienti in un assistente. Servono una finalità documentata, una base giuridica per ogni fase, una valutazione d'impatto sulla protezione dei dati quando il rischio è elevato e un modo per consentire alle persone di ottenere una decisione umana quando una decisione automatizzata le riguarda. L'EU AI Act si aggiunge a tutto questo e introduce obblighi propri, tra cui la trasparenza. Questa guida spiega come i due testi si combinano per un'azienda SaaS B2B e che cosa fare per prima cosa.

Si tratta di informazioni di carattere generale, non di consulenza legale. Il vostro responsabile della protezione dei dati o il vostro consulente legale dovrebbe confermare come ciascun punto si applica alla vostra azienda.

In sintesi

Indice

Come si applica il GDPR all'IA

Il GDPR regola i dati personali, non la tecnologia. Un'analisi della norma osserva che l'IA non è menzionata esplicitamente e che l'articolo 22 sul processo decisionale automatizzato funziona come un controllo indiretto sull'IA. Tutto il resto deriva dai principi generali: liceità, correttezza, trasparenza, limitazione della finalità, minimizzazione dei dati, esattezza, limitazione della conservazione, sicurezza e responsabilizzazione.

Per un'azienda SaaS la domanda pratica è semplice. L'IA vede nomi, email, log di utilizzo collegati a un utente, ticket di assistenza, fatture o qualsiasi altra informazione che identifichi una persona? Se sì, il GDPR si applica, anche se l'IA è uno strumento acquistato e non sviluppato da voi.

Finalità e base giuridica, fase per fase

Le linee guida dell'autorità britannica per la protezione dei dati indicano che, per ogni distinta operazione di trattamento nello sviluppo e nella messa in produzione dell'IA, prima di trattare qualsiasi dato si dovrebbero individuare e documentare la finalità e una base giuridica adeguata. Precisano inoltre che i dati di categoria particolare richiedono una condizione separata. Tali linee guida riguardano il UK GDPR, che rispecchia da vicino le norme dell'UE, e costituiscono un utile riferimento per la logica da seguire.

Le stesse linee guida affermano che addestramento e messa in produzione sono fasi diverse e possono fondarsi su basi giuridiche diverse. Una base valida per costruire un modello non copre automaticamente il suo utilizzo su dati reali dei clienti.

In pratica, scrivete una riga per ogni caso d'uso dell'IA:

  1. Qual è la finalità (ad esempio, riassumere i ticket di assistenza)?
  2. Quali dati personali legge?
  3. Qual è la base giuridica (contratto, legittimo interesse, consenso, obbligo di legge)?
  4. Chi è il titolare del trattamento e chi è il responsabile del trattamento?
  5. Dove vengono conservati e trattati i dati?

Se desiderate una guida in linguaggio semplice su come scegliere e documentare una base giuridica e applicare i principi fondamentali, questo articolo sui principi fondamentali di protezione dei dati del GDPR mostra lo stesso ragionamento applicato a un sistema di prenotazione, e la logica si estende ai progetti di IA.

Limitazione della finalità, minimizzazione ed esattezza

L'autorità olandese per la protezione dei dati indica limitazione della finalità, minimizzazione dei dati ed esattezza come requisiti fondamentali del GDPR per l'IA. Ciascuno incide direttamente sul modo in cui si costruisce.

Le stesse linee guida olandesi richiamano l'articolo 32: servono misure tecniche e organizzative adeguate, tenendo conto dello stato dell'arte, del contesto del trattamento e dei rischi per le persone.

Che cosa ha affermato l'EDPB sui modelli di IA

Nel dicembre 2024 il Comitato europeo per la protezione dei dati ha emesso il parere 28/2024 sui modelli di IA. Una panoramica accademica del parere spiega che i modelli addestrati su dati personali possono conservare o dedurre informazioni su persone identificabili, per cui non si può semplicemente presumere che siano anonimi. Tratta anche di come il legittimo interesse possa essere giustificato al termine dell'addestramento. Il messaggio per chi acquista: non accettate da un fornitore l'affermazione “il modello è anonimo” senza chiedere come è stata valutata.

Dove l'EU AI Act si aggiunge al GDPR

Le due normative hanno radici diverse. Secondo uno studio del Parlamento europeo, l'AI Act si ispira a un modello di sicurezza dei prodotti, mentre il GDPR tutela i dati personali attraverso diritti e principi. Lo stesso studio rileva che gli obblighi possono sovrapporsi: una valutazione d'impatto sui diritti fondamentali (FRIA) e una valutazione d'impatto sulla protezione dei dati (DPIA) possono duplicarsi, e gli obblighi di trasparenza e di registrazione possono risultare ridondanti.

Anche i ruoli sono diversi. Il GDPR distingue titolari e responsabili del trattamento. L'AI Act utilizza fornitore, importatore, distributore e deployer. Un'azienda SaaS può essere al tempo stesso fornitore delle proprie funzionalità di IA e deployer del modello di qualcun altro, nonché titolare o responsabile del trattamento per i dati personali coinvolti. Mappate ciascun ruolo per ogni caso d'uso.

GDPR EU AI Act
Punto di partenza Dati personali e diritti delle persone Il sistema di IA e il suo livello di rischio
Ruoli principali Titolare del trattamento, responsabile del trattamento Fornitore, deployer, importatore, distributore
Documenti tipici Registri dei trattamenti, DPIA Documentazione tecnica, log, FRIA per alcuni usi ad alto rischio
Intervento umano Diritto di non essere sottoposti a decisioni basate unicamente su un trattamento automatizzato con effetti giuridici Sorveglianza umana per i sistemi ad alto rischio

Alcune autorità nazionali hanno osservato che un sistema può essere conforme a una legge e violare comunque l’altra, motivo per cui è necessario un approccio caso per caso. L’autorità belga aggiunge che l’AI Act si fonda sulla responsabilizzazione prevista dal GDPR, con segnalazione formale degli incidenti e governance human-in-the-loop.

La NIS2 è un terzo tassello e riguarda la cybersicurezza e la gestione del rischio per i soggetti che rientrano nel suo ambito di applicazione, non l’IA in particolare. Se la vostra azienda rientra nel suo ambito, le misure di sicurezza che adottate attorno ai sistemi di IA appartengono allo stesso processo di gestione del rischio. Stabilire se rientrate nell’ambito di applicazione è una questione per il vostro consulente legale.

Obblighi di trasparenza quando l'IA incontra le persone

La trasparenza compare in entrambe le leggi, e spesso le due vengono confuse.

La tempistica conta. L’AI Act Service Desk della Commissione indica che gli obblighi dell’articolo 50 sono diventati applicabili il 2 August 2026 e che i fornitori di sistemi immessi sul mercato prima di tale data hanno tempo fino al 2 December 2026 per soddisfare determinati requisiti di marcatura e rilevamento.

Per un’azienda SaaS, i casi più comuni sono un chatbot nel prodotto o nel widget di assistenza, e testi o immagini generati che pubblicate. Indicate chiaramente che il chatbot è un’IA e verificate come i vostri strumenti marcano i contenuti generati. Per un approfondimento sugli articoli 4 e 50, consultate la nostra guida agli articoli 4 e 50 dell’EU AI Act per il SaaS.

Specialista del supporto che testa un chatbot di prodotto

DPIA, supervisione umana e decisioni automatizzate

Tre garanzie ricorrono più spesso.

DPIA. L’autorità belga spiega che una DPIA è richiesta in alcuni casi, tra cui il trattamento ad alto rischio e l’uso di nuove tecnologie. Anche l’autorità olandese afferma che è necessaria quando i sistemi algoritmici trattano dati personali e i rischi per la privacy sono elevati. In caso di dubbio, svolgetela. Costa meno che spiegare in seguito perché non lo avete fatto.

Sorveglianza umana. L’AI Act richiede la sorveglianza umana per i sistemi ad alto rischio lungo lo sviluppo, la messa in servizio e l’uso, e la stessa fonte belga lo afferma insieme al requisito della FRIA.

Decisioni automatizzate. Ai sensi del GDPR, le persone hanno il diritto di non essere sottoposte a decisioni basate unicamente sul trattamento automatizzato che producano effetti giuridici che le riguardano. Se un agente di IA potesse decidere a chi assegnare un contratto, un limite di credito o l’accesso a un servizio, prevedete nel processo una fase di approvazione umana.

Una checklist sull'AI Act per i team SaaS

La panoramica della Commissione sull’AI Act afferma che i sistemi ad alto rischio devono coprire valutazione e mitigazione del rischio, qualità dei dataset, registrazione degli eventi (logging), documentazione tecnica, informazioni per i deployer, sorveglianza umana, robustezza, cybersicurezza e accuratezza. La maggior parte dei prodotti SaaS non è ad alto rischio, ma l’elenco è un buon riferimento per qualsiasi IA che tocchi i dati delle persone.

Le scadenze per i sistemi ad alto rischio sono più lontane di quanto molti si aspettino. Le FAQ del Service Desk indicano che i sistemi in aree sensibili, come l’occupazione (Allegato III), devono essere conformi entro il 2 December 2027, e quelli integrati in prodotti regolamentati (Allegato I) entro il 2 August 2028. Consultate la pagina ufficiale per la situazione aggiornata, perché le tempistiche possono cambiare.

Una checklist operativa:

  1. Censite ogni uso dell’IA. Includete gli strumenti adottati autonomamente dai singoli.
  2. Classificate ciascun uso. È un chatbot, un assistente interno, un modello di scoring o qualcosa che prende decisioni sulle persone? Chiedete al vostro consulente legale se qualche uso sia ad alto rischio.
  3. Mappate i ruoli. Fornitore, deployer, titolare del trattamento, responsabile del trattamento.
  4. Documentate finalità e base giuridica per ogni fase.
  5. Svolgete una DPIA dove il rischio è elevato.
  6. Definite i permessi. L’IA dovrebbe leggere e modificare solo ciò che potrebbe fare l’utente.
  7. Aggiungete fasi di approvazione per le azioni con conseguenze concrete.
  8. Conservate i log di ciò che l’IA ha letto, scritto e attivato.
  9. Segnalate le interazioni con l’IA e i contenuti generati.
  10. Formate le persone. L’articolo 4 richiede l’alfabetizzazione in materia di IA.
  11. Verificate i fornitori. Dove vengono trattati i dati e vengono usati per addestrare i loro modelli?
  12. Assegnate un responsabile. Una persona indicata per nome dovrebbe rispondere dell’intero ambito.

Il nostro framework di AI governance per le aziende SaaS B2B trasforma tutto questo in una struttura operativa.

Dove l’AI non ha posto

Una buona compliance include anche la decisione su ciò che l'AI non deve fare. Terremmo l'AI fuori da questi ambiti:

Partite dalle fondamenta dei dati

La maggior parte dei problemi GDPR con l'AI nasce nei dati, non nel modello. Se non sapete dire dove si trovano i dati di un cliente, quale sistema è quello corretto e chi può leggerli, non potete dare seguito alle richieste di accesso o cancellazione e non potete controllare ciò che un'AI legge.

Per questo lavoriamo secondo un ordine preciso:

  1. Fondamenta dei dati. I dati del vostro CRM e della finanza diventano la fonte di verità, con i sistemi che li circondano riconciliati in un'unica versione condivisa.
  2. Livello AI. L'assistente che il vostro team già utilizza viene collegato a quei dati tramite MCP, entro i limiti dei permessi.
  3. Agenti di reparto. Agenti progettati per Finance, Sales e Customer Success, così le persone possono chiedere, produrre report e consultare dati tra più sistemi, e aggiornare record o avviare processi con approvazione dove necessario e con una traccia di audit.

Sviluppo, pilota e test avvengono su infrastruttura europea in self-hosting in Germania, e GDPR, NIS2 ed EU AI Act sono trattati come requisiti di progettazione fin dall'inizio. Nessuna progettazione garantisce la compliance, e quella valutazione resta a voi e al vostro consulente legale. Ma un sistema dotato di permessi, approvazioni e log rende molto più semplice rispondere alle domande che pongono le autorità di controllo. Potete vedere come funziona in pratica nella nostra pagina sugli agenti AI per Finance, Sales e Customer Success, e l'Admin Portal mostra come accessi e approvazioni vengono gestiti in un unico posto.

La nostra prospettiva

Vediamo lo stesso schema nelle aziende SaaS in crescita. Le persone usano già l'AI, nel CRM, nel supporto, nella finanza, e nessuno ne è responsabile. Nessuno ha deciso quali dati possa leggere, nessuno tiene traccia di ciò che ha fatto, e l'informativa sulla privacy è stata scritta prima che tutto questo esistesse.

La nostra opinione è che la compliance sia soprattutto un problema operativo. Una privacy policy non impedisce a un assistente di leggere un record che non dovrebbe. Lo fanno permessi, approvazioni e log. Per questo partiamo dalle fondamenta dei dati, poi colleghiamo il livello AI, poi costruiamo gli agenti di reparto, e per questo adottiamo l'AI un processo alla volta, iniziando da quello più costoso.

Aiuta anche avere una sola persona che decide dove l'AI rende e la realizza, così strategia e sistema operativo non si allontanano. È l'idea alla base di un Fractional Chief AI Officer forte di 25 anni di esperienza nella gestione operativa. Progettiamo in conformità a GDPR, NIS2 ed EU AI Act fin dal primo giorno, e alla consegna il codice sorgente, la documentazione e l'infrastruttura sono di vostra proprietà.

Non forniamo consulenza legale e nulla di ciò che realizziamo garantisce la compliance. Rendiamo i sistemi più facili da governare e lavoriamo a fianco del vostro consulente legale.

Claus Nielsen

Da dove cominciare

Se l'AI è già in uso e nessuno ne è responsabile, il primo passo è avere un quadro onesto di ciò che avete. Il nostro AI Readiness Assessment parte da €4,500 ed esamina i vostri dati, i vostri processi e la vostra esposizione normativa, così sapete dove l'AI rende e dove no. Per una responsabilità continuativa, il retainer Fractional Chief AI Officer prevede tre livelli: Advisor da €3,000 al mese, Operating da €6,500 al mese ed Embedded da €11,000 al mese.

Le realizzazioni sono prezzate al 30% del risparmio del primo anno, una volta misurato e comprovato, oppure a un prezzo fisso concordato prima dell'inizio dei lavori. Potete inoltre prenotare una discovery call gratuita di 30 minuti tramite il nostro sito principale.

FAQ

Il GDPR si applica se utilizziamo solo uno strumento AI di terze parti?

Sì, se vi vengono inseriti dati personali. Di solito voi siete il titolare del trattamento e il fornitore dello strumento è un responsabile del trattamento, quindi servono un accordo, una finalità e una base giuridica, e dovete sapere dove i dati vengono trattati. Verificate se il fornitore utilizza i vostri input per addestrare i propri modelli.

L'EU AI Act sostituisce il GDPR?

No. Si applicano in parallelo. Il GDPR tutela i dati personali, mentre l'AI Act regola i sistemi di AI in base al livello di rischio. Un singolo caso d'uso dell'AI può far sorgere obblighi ai sensi di entrambi, e alcuni documenti, come le valutazioni d'impatto, possono sovrapporsi.

Serve una DPIA per ogni progetto di AI?

Non necessariamente. Una DPIA è richiesta in alcuni casi, tra cui i trattamenti ad alto rischio e le nuove tecnologie, secondo l'autorità belga. Se un sistema di AI tratta dati personali in un modo che potrebbe incidere seriamente sulle persone, eseguitela. Se avete dubbi, rivolgetevi al vostro responsabile della protezione dei dati.

Cosa dobbiamo comunicare agli utenti sull'AI?

Ai sensi del GDPR, occorre spiegare quali dati personali trattate e perché. Ai sensi dell'articolo 50 dell'AI Act, applicabile dal 2 August 2026, le persone devono essere informate quando interagiscono direttamente con un sistema di AI, e i contenuti generati dall'AI devono essere contrassegnati in formato leggibile da una macchina. Il vostro consulente legale può confermare quali parti si applicano ai vostri prodotti.

Un agente AI può prendere decisioni sui clienti in autonomia?

Per attività di routine e a basso impatto, sì, entro i limiti dei permessi e con i log. Per decisioni con effetti giuridici o altrettanto significativi su una persona, il GDPR riconosce il diritto di non essere sottoposti a decisioni basate unicamente su un trattamento automatizzato. Prevedete per questi casi una revisione umana.

Fonti