
L’AI in Azienda oltre l’AI Act – il rischio del GDPR
Perché il Vero Rischio Oggi si Chiama GDP
L’attenzione delle aziende è rivolta all’AI Act, che dal 2 agosto 2026 introduce nuovi obblighi di trasparenza per i sistemi di intelligenza artificiale. Tuttavia, il rischio più concreto per chi integra chatbot e agenti conversazionali nei propri processi resta oggi il GDPR (General Data Protection Regulation), il regolamento europeo entrato in vigore nel 2018 che disciplina la raccolta, l’utilizzo, la conservazione e la protezione dei dati personali dei cittadini dell’Unione Europea. Il GDPR impone alle imprese precisi obblighi di trasparenza, sicurezza e corretto trattamento dei dati, prevedendo sanzioni anche molto elevate in caso di violazione.
Lo dimostra anche il recente provvedimento nei confronti di Character.AI, sanzionata con 158 mila euro non per l’utilizzo dell’intelligenza artificiale, ma per irregolarità nella gestione dei dati personali. Un caso che evidenzia come le violazioni più frequenti riguardano la protezione delle informazioni raccolte attraverso le piattaforme AI.
Secondo gli esperti e le più recenti linee guida dell’European Data Protection Board (EDPB), sono cinque gli aspetti che richiedono maggiore attenzione. Il primo riguarda la responsabilità dell’azienda: anche se il chatbot è fornito da un soggetto esterno, il titolare del trattamento resta l’impresa che raccoglie i dati dei propri clienti.
Fondamentale anche predisporre un’informativa privacy chiara e specifica per l’assistente virtuale e, nei casi previsti dall’articolo 35 del GDPR, realizzare una Valutazione d’impatto sulla protezione dei dati (DPIA) prima della messa in esercizio del sistema.
Un’altra criticità riguarda il possibile utilizzo delle conversazioni per addestrare i modelli di intelligenza artificiale. Molti fornitori prevedono questa possibilità nelle condizioni contrattuali: senza adeguate garanzie e una corretta base giuridica, il riutilizzo dei dati può costituire una violazione del GDPR.
Attenzione infine anche al tema dell’anonimizzazione. Eliminare nomi e cognomi non basta: secondo le indicazioni europee un dataset può essere considerato realmente anonimo solo quando non consente, neppure indirettamente, di risalire all’identità delle persone.
Per questo gli specialisti consigliano alle imprese di verificare attentamente i contratti con i fornitori, aggiornare informative e procedure interne, predisporre le necessarie valutazioni d’impatto e limitare la raccolta dei dati allo stretto indispensabile.
In attesa della piena applicazione dell’AI Act, è dunque il GDPR a rappresentare la principale sfida per le aziende che vogliono sfruttare le potenzialità dell’intelligenza artificiale senza esporsi a pesanti conseguenze economiche e legali.