Intelligenza artificiale e privacy: AI Act e GDPR, la guida per il DPO

AI Act e GDPR: come si combinano i due regolamenti

In materia di AI e privacy il punto di partenza è l'art. 2, par. 7, del Regolamento (UE) 2024/1689: nella versione modificata dall'Omnibus digitale, stabilisce che il diritto dell'Unione sulla protezione dei dati personali si applica ai dati trattati in relazione ai diritti e agli obblighi dell'AI Act, e che l'AI Act lascia impregiudicato il GDPR, salvo gli articoli 4 bis e 59.

In pratica, per ogni sistema di intelligenza artificiale che tratta dati personali il DPO deve tenere aperti due binari:

• binario AI Act: classificazione del sistema (vietato, ad alto rischio, soggetto a obblighi di trasparenza, altro), ruolo dell'organizzazione (fornitore o deployer), obblighi e date di applicazione;
• binario GDPR: base giuridica, ruoli privacy, informativa, minimizzazione, DPIA, sicurezza, trasferimenti, diritti degli interessati.

I ruoli non coincidono. Un'azienda che usa un software di AI acquistato sul mercato è di regola deployer per l'AI Act e titolare del trattamento per il GDPR, mentre il fornitore del software può essere responsabile del trattamento ex art. 28. Per l'accordo con il fornitore puoi seguire il metodo della pagina sull'accordo art. 28 GDPR.

Le date dell'AI Act dopo l'Omnibus digitale

Il Regolamento (UE) 2026/1744 dell'8 luglio 2026, pubblicato nella Gazzetta ufficiale dell'Unione europea il 24 luglio 2026, ha modificato il calendario dell'art. 113 dell'AI Act. Ecco il quadro aggiornato.

L'Omnibus ha anche riscritto l'art. 4: i fornitori e i deployer adottano misure per sostenere l'alfabetizzazione in materia di IA del personale e di chi usa i sistemi per loro conto, tenendo conto di conoscenze, esperienza e contesto. La norma precisa che non è richiesto un livello specifico di alfabetizzazione per ciascuna persona.

Cosa chiede l'AI Act ai deployer e perché riguarda il DPO

Il DPO non è il responsabile della conformità all'AI Act, ma molti obblighi dei deployer toccano direttamente il trattamento dei dati.

Obblighi per chi usa sistemi ad alto rischio (art. 26)

• usare il sistema secondo le istruzioni del fornitore e affidare la sorveglianza umana a persone competenti e formate;
• garantire che i dati di input sotto il proprio controllo siano pertinenti e rappresentativi;
• conservare i log generati automaticamente per almeno sei mesi, salvo diversa previsione del diritto dell'Unione o nazionale, in particolare in materia di protezione dei dati;
• se il deployer è un datore di lavoro, informare rappresentanti dei lavoratori e lavoratori interessati prima della messa in servizio;
• informare le persone fisiche soggette a decisioni prese o assistite da sistemi dell'Allegato III (par. 11);
• usare le informazioni fornite dal fornitore ai sensi dell'art. 13 per adempiere all'obbligo di DPIA dell'art. 35 GDPR (par. 9).

Diritto alla spiegazione (art. 86)

Chi è destinatario di una decisione basata sull'output di un sistema ad alto rischio dell'Allegato III, con effetti giuridici o analogamente significativi, ha diritto a spiegazioni chiare e significative sul ruolo del sistema e sugli elementi principali della decisione. Si affianca, senza sostituirlo, all'art. 22 GDPR sulle decisioni automatizzate.

Trasparenza (art. 50)

I fornitori devono progettare i sistemi che interagiscono con le persone in modo che sappiano di parlare con un'AI; i deployer devono dichiarare i deep fake. Sono informazioni che il DPO ritrova nelle informative.

DPIA e FRIA: due valutazioni d'impatto da coordinare

La valutazione d'impatto sui diritti fondamentali (FRIA, AI Act, art. 27) è dovuta prima di usare un sistema ad alto rischio dell'Allegato III da organismi di diritto pubblico, enti privati che forniscono servizi pubblici e deployer di sistemi per il merito creditizio o per la valutazione del rischio e del prezzo nelle assicurazioni vita e malattia.

Dopo l'Omnibus, l'art. 27, par. 4, consente di inserire nella FRIA rimandi alle sezioni pertinenti della DPIA o di includerne parti. L'Ufficio per l'IA deve predisporre un modello di questionario, anche con uno strumento automatizzato.

Sul fronte GDPR, il punto 7 dell'elenco del Garante delle tipologie soggette a DPIA indica i trattamenti con tecnologie innovative, tra cui i sistemi di intelligenza artificiale, quando ricorre almeno un altro criterio delle linee guida WP 248. Per lo sviluppo di modelli, il parere EDPB 28/2024 sui modelli di AI affronta anonimato dei modelli, legittimo interesse e conseguenze di un addestramento illecito. Il metodo operativo è nella pagina sulla DPIA GDPR.

Intelligenza artificiale e privacy nella legge 132/2025

La legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025, si interpreta e si applica in conformità al Regolamento (UE) 2024/1689 (art. 1, comma 2). Per il DPO contano soprattutto quattro disposizioni:

• art. 4, commi 2 e 3: l'uso dei sistemi di AI garantisce un trattamento lecito, corretto e trasparente; le informazioni sul trattamento connesso all'AI vanno rese con linguaggio chiaro e semplice, in modo che l'utente conosca i rischi e il diritto di opporsi;
• art. 4, comma 4: l'accesso dei minori di 14 anni alle tecnologie di AI e il relativo trattamento richiedono il consenso di chi esercita la responsabilità genitoriale; tra 14 e 18 anni il minore può prestare il consenso se le informazioni sono facilmente accessibili e comprensibili;
• art. 11, comma 2: il datore di lavoro o il committente informa il lavoratore dell'uso dell'AI nei casi e con le modalità dell'art. 1-bis del decreto legislativo 26 maggio 1997, n. 152;
• art. 13: nelle professioni intellettuali l'AI è ammessa solo per attività strumentali e di supporto, e il professionista informa il cliente sui sistemi usati.

L'art. 20 designa AgID e ACN come autorità nazionali per l'intelligenza artificiale e, al comma 4, lascia fermi competenze, compiti e poteri del Garante per la protezione dei dati personali.

Intelligenza artificiale e privacy: la checklist del DPO

1. Censisci i sistemi di AI in uso e in arrivo, compresi quelli integrati in software già acquistati.
2. Per ciascuno, distingui il ruolo AI Act (fornitore o deployer) e il ruolo GDPR (titolare, contitolare, responsabile).
3. Verifica se il sistema rientra nell'Allegato III e annota la data di applicazione degli obblighi.
4. Valuta la DPIA con l'elenco del Garante e, se dovuta, coordina la FRIA.
5. Aggiorna registro, informative e comunicazioni ai lavoratori.
6. Documenta le misure di alfabetizzazione adottate per il personale.
7. Riesamina gli accordi con i fornitori: uso dei dati per addestramento, log, trasferimenti, assistenza nella DPIA.

Come può aiutarti Next-OS su intelligenza artificiale e privacy

Next-OS ti aiuta a tenere insieme privacy e intelligenza artificiale, cioè i due regolamenti: puoi chiedere in quale categoria rientra un sistema descritto dal fornitore, confrontare le versioni di un articolo prima e dopo l'Omnibus con le modifiche evidenziate e preparare la traccia di una DPIA o di una FRIA citando le fonti. Il giudizio sulla classificazione e sul rischio resta tuo.

Aptus.AI dichiara che Next-OS non è un sistema di AI per finalità generali e non rientra tra i sistemi ad alto rischio del Regolamento (UE) 2024/1689. Gli altri compiti in cui ti supporta sono nella pagina sul software privacy con AI. Se ti stai chiedendo chi debba seguire questi temi in azienda, leggi anche la guida su quando il DPO è obbligatorio.