AI Act e GDPR si applicano contemporaneamente a ogni sistema di intelligenza artificiale che tratta dati personali: nessuno dei due regolamenti sostituisce l’altro, ed entrambi impongono obblighi distinti che le organizzazioni devono soddisfare in parallelo. Il Regolamento UE 2024/1689 (AI Act), in vigore dal 1 agosto 2024, introduce requisiti specifici sui sistemi AI — trasparenza, gestione del rischio, governance — mentre il GDPR (Regolamento UE 2016/679) continua a disciplinare ogni trattamento di dati personali coinvolto nel ciclo di vita dell’intelligenza artificiale. Comprendere dove questi due quadri normativi si intersecano è il primo passo per adottare l’AI in modo conforme e sostenibile.
AI Act e GDPR
In questo articolo chiariremo come AI Act e GDPR si integrano nei progetti di intelligenza artificiale e come Orosfera imposta governance, controlli e processi per adottare l’AI in modo conforme e sostenibile. L’obiettivo non è fornire un manuale operativo, ma offrire ai decision maker — responsabili marketing, IT, compliance, HR e direzione — un quadro chiaro delle responsabilità, delle aree di sovrapposizione e delle leve strategiche per trasformare la compliance in un vantaggio competitivo reale.
Adottare l’intelligenza artificiale senza un quadro chiaro su AI Act e GDPR espone l’organizzazione a rischi evitabili. Il team di Orosfera analizza il contesto specifico di ogni azienda e definisce un percorso di governance su misura: richiedi un confronto con i nostri specialisti.
Perché AI Act e GDPR si sovrappongono (e perché non basta “essere GDPR compliant”)
Molte organizzazioni partono dal presupposto che la conformità al GDPR copra automaticamente anche i requisiti dell’AI Act. In realtà, i due regolamenti operano su piani diversi e complementari: il GDPR disciplina il trattamento dei dati personali, mentre l’AI Act regola le caratteristiche, la sicurezza e la trasparenza dei sistemi di intelligenza artificiale in quanto tali. Essere conformi al GDPR è necessario, ma non sufficiente per soddisfare gli obblighi introdotti dal Regolamento UE 2024/1689.
La sovrapposizione emerge con chiarezza in almeno tre aree. La prima riguarda la trasparenza: il GDPR impone di informare gli interessati su come vengono trattati i loro dati, mentre l’AI Act richiede che gli utenti siano consapevoli di interagire con un sistema AI e, dal 2 dicembre 2026, che i contenuti generati dall’intelligenza artificiale siano identificabili tramite watermarking (art. 50). La seconda area è la sicurezza: entrambi i regolamenti richiedono misure tecniche e organizzative adeguate, ma l’AI Act aggiunge requisiti specifici sulla robustezza, l’accuratezza e la cybersicurezza dei sistemi. La terza è la responsabilità lungo il ciclo di vita: il GDPR distingue tra titolare e responsabile del trattamento, l’AI Act tra provider (chi sviluppa o immette sul mercato il sistema AI) e deployer (chi lo utilizza in ambito professionale), con obblighi differenziati per ciascun ruolo.
Questa architettura a doppio livello implica che ogni progetto AI richiede una governance integrata, capace di mappare simultaneamente i requisiti di entrambi i regolamenti. Il team di Orosfera affronta questa complessità costruendo un framework di compliance unificato, dove ogni controllo risponde a entrambe le normative senza duplicazioni inutili.
Ambito di applicazione: quando entra in gioco il GDPR nei progetti AI
Il GDPR si attiva ogni volta che un sistema di intelligenza artificiale tratta dati personali — e questo accade molto più spesso di quanto si immagini. I dati personali possono essere presenti nei dataset di addestramento, nei prompt inseriti dagli utenti, negli output generati dal modello e nei log di interazione. Anche un semplice chatbot che raccoglie il nome e l’indirizzo email di un visitatore del sito web sta effettuando un trattamento soggetto al GDPR.
Dati personali nei dataset, nei prompt e negli output
Quando un’organizzazione utilizza un modello di AI generativa per personalizzare comunicazioni di marketing o per assistere i clienti, i dati che transitano attraverso il sistema — domande, risposte, cronologie di conversazione — possono contenere informazioni che identificano o rendono identificabile una persona fisica. Il principio di minimizzazione impone di trattare solo i dati strettamente necessari alla finalità dichiarata, mentre la limitazione della conservazione richiede politiche di retention chiare e documentate.
Ruoli: titolare e responsabile del trattamento
La corretta attribuzione dei ruoli è un passaggio strategico. Il titolare del trattamento determina finalità e mezzi del trattamento dei dati personali; il responsabile del trattamento li tratta per conto del titolare. Nei progetti AI, questa distinzione si complica: l’azienda che adotta un sistema AI è tipicamente il titolare, ma il fornitore della piattaforma può assumere il ruolo di responsabile — oppure, in alcuni casi, di contitolare. Ogni configurazione richiede basi giuridiche adeguate, informative aggiornate e accordi contrattuali specifici.
Il nostro approccio prevede una mappatura preliminare dei flussi di dati, identificando dove e come i dati personali entrano in contatto con il sistema AI, quali soggetti li trattano e con quale base giuridica. Questa analisi alimenta la valutazione d’impatto (DPIA) e orienta la definizione delle misure tecniche e organizzative più appropriate.
Ambito di applicazione: cosa regola l’AI Act e cosa richiede alle organizzazioni
L’AI Act (Regolamento UE 2024/1689) introduce il primo quadro normativo organico sull’intelligenza artificiale a livello mondiale. Come il GDPR, ha portata extraterritoriale: si applica anche a fornitori stabiliti fuori dall’Unione Europea che immettono sistemi AI sul mercato europeo. L’approccio è basato sul rischio, con obblighi crescenti in funzione dell’impatto potenziale del sistema sui diritti fondamentali.
Le scadenze operative
L’applicazione avviene per fasi. Le pratiche vietate (art. 5) — come il social scoring o la manipolazione subliminale — si applicano dal 2 febbraio 2025. Dalla stessa data è attivo l’obbligo di alfabetizzazione AI (art. 4), che richiede alle organizzazioni di garantire un livello adeguato di competenza AI al personale coinvolto. Gli obblighi per i modelli di IA per finalità generali (GPAI) si applicano dal 2 agosto 2025. L’obbligo di trasparenza e watermarking sui contenuti generati dall’AI (art. 50) si applica dal 2 dicembre 2026 per i sistemi generativi già sul mercato. Con il Digital Omnibus — accordo politico del 7 maggio 2026, adozione formale attesa per luglio 2026 — le scadenze per i sistemi ad alto rischio (Allegato III) sono state rinviate a dicembre 2027.
Governance e accountability
L’AI Act richiede alle organizzazioni di documentare il funzionamento dei propri sistemi AI, di implementare sistemi di gestione del rischio e di mantenere registri di utilizzo. Le sanzioni sono significative: fino a 35 milioni di euro o il 7% del fatturato mondiale annuo per le pratiche vietate; fino a 15 milioni o il 3% per i sistemi ad alto rischio; fino a 7,5 milioni o l’1% per informazioni errate fornite alle autorità. Per PMI e mid-cap sono previste semplificazioni, tra cui linee guida dedicate, sandbox normative, documentazione standardizzata e sanzioni proporzionate.
Mappare le scadenze dell’AI Act e integrarle con gli obblighi GDPR già in essere richiede una visione d’insieme che Orosfera costruisce attraverso un assessment dedicato. Parliamo del vostro progetto AI.
Mappa pratica AI Act e GDPR: punti di contatto da gestire in un’unica governance
Gestire AI Act e GDPR come due binari separati genera inefficienze, duplicazioni e zone grigie. L’approccio più efficace consiste nel costruire una governance unificata che copra i punti di contatto tra i due regolamenti. Ecco le aree principali.
Trasparenza e informativa
Il GDPR richiede informative chiare sul trattamento dei dati personali. L’AI Act aggiunge l’obbligo di informare gli utenti quando interagiscono con un sistema AI e, per i contenuti generati, di rendere identificabile l’origine artificiale. Una governance integrata allinea questi obblighi in un unico flusso informativo, evitando comunicazioni frammentate che confondono gli utenti e indeboliscono la fiducia. L’attenzione alla esperienza utente è parte integrante di questo processo: la trasparenza non è solo un obbligo, ma un elemento di qualità percepita.
Sicurezza e misure tecniche e organizzative
Entrambi i regolamenti richiedono misure di sicurezza proporzionate al rischio. In un progetto AI, questo si traduce in controllo degli accessi ai modelli e ai dati, cifratura, segmentazione degli ambienti di sviluppo e produzione, e procedure di incident response. La sicurezza informatica per le aziende diventa un pilastro trasversale che sostiene sia la protezione dei dati personali sia la robustezza del sistema AI.
Tracciabilità, logging e auditabilità
L’AI Act richiede registri di utilizzo per i sistemi ad alto rischio; il GDPR impone la capacità di dimostrare la conformità (principio di accountability). Un sistema di logging strutturato — che registri input, output, decisioni e modifiche ai modelli — soddisfa entrambi i requisiti e consente audit periodici senza ricostruzioni a posteriori. La usabilità del sito web e dei touchpoint digitali beneficia anch’essa di questa tracciabilità, perché ogni interazione documentata alimenta il miglioramento continuo.
Gestione fornitori e contratti
Quando un’organizzazione adotta una piattaforma AI di terze parti, la catena di responsabilità si estende al fornitore. Il GDPR richiede accordi sul trattamento dei dati (Data Processing Agreement); l’AI Act impone obblighi specifici al provider e al deployer. Una governance efficace integra entrambe le dimensioni nei contratti, negli SLA e nei processi di valutazione periodica dei fornitori.
AI generativa: rischi tipici che impattano privacy e compliance
L’adozione di modelli di AI generativa introduce categorie di rischio specifiche che intersecano sia il perimetro del GDPR sia quello dell’AI Act. Comprendere questi rischi è essenziale per definire controlli proporzionati e sostenibili.
Bias e discriminazione
I modelli di AI generativa apprendono dai dati su cui vengono addestrati. Se i dataset contengono squilibri o pregiudizi storici, gli output possono riprodurre e amplificare forme di discriminazione — un tema che l’AI Act affronta esplicitamente per i sistemi ad alto rischio e che il GDPR intercetta quando il trattamento produce effetti giuridici o significativi sulle persone. Il nostro team valuta la qualità e la rappresentatività dei dati utilizzati, identificando le aree di esposizione prima che diventino criticità operative o reputazionali.
Allucinazioni e output imprecisi
I modelli generativi possono produrre informazioni plausibili ma fattualmente errate — le cosiddette allucinazioni. In contesti come il customer care, la consulenza o la comunicazione aziendale, un output impreciso può generare responsabilità, danneggiare la fiducia dei clienti e violare obblighi di trasparenza. Implementare processi di revisione umana (human-in-the-loop) e definire policy chiare sull’uso degli output è parte integrante della governance che costruiamo per ogni progetto.
Data leakage e sicurezza
Quando dati aziendali riservati o dati personali vengono inseriti nei prompt di un sistema AI esterno, esiste il rischio concreto che queste informazioni vengano memorizzate, utilizzate per l’addestramento del modello o esposte ad accessi non autorizzati. La gestione di questo rischio richiede policy di utilizzo, controlli tecnici sugli ambienti e una valutazione accurata delle condizioni contrattuali del fornitore.
Deepfake e abuso dei contenuti generati
La capacità dei modelli generativi di produrre immagini, video e audio sintetici introduce rischi di abuso — dalla creazione di contenuti ingannevoli alla violazione dei diritti delle persone rappresentate. L’AI Act affronta questo tema con l’obbligo di trasparenza e watermarking (art. 50), mentre il GDPR tutela i dati biometrici e l’immagine delle persone fisiche. Una governance efficace prevede controlli sull’uso dei sistemi generativi e policy interne che ne limitino l’impiego a finalità legittime e documentate.
Dati e modelli: come valutiamo dataset, training e inferenza in ottica GDPR
La relazione tra dati e modelli AI è il cuore della compliance. Ogni fase — dalla raccolta dei dati di addestramento all’inferenza in produzione — presenta implicazioni specifiche sotto il profilo della protezione dei dati personali.
Dataset di addestramento e dati in inferenza
I dataset utilizzati per addestrare o personalizzare un modello AI possono contenere dati personali raccolti in contesti diversi da quello dell’addestramento stesso. Il principio di limitazione delle finalità impone di verificare che la base giuridica originaria copra anche questo utilizzo. In fase di inferenza — quando il modello elabora nuovi input — i dati inseriti dagli utenti possono a loro volta costituire dati personali, richiedendo informative, basi giuridiche e misure di sicurezza dedicate. Il nostro team conduce un’analisi dei dati approfondita per identificare ogni punto di contatto tra dati personali e sistema AI.
Minimizzazione e controllo accessi
Il principio di minimizzazione del GDPR si traduce, nei progetti AI, nella selezione rigorosa dei dati effettivamente necessari per la finalità dichiarata. Questo vale sia per i dataset di addestramento sia per i dati che transitano in produzione. I controlli sugli accessi — chi può interrogare il modello, con quali dati, in quali ambienti — sono parte delle misure tecniche e organizzative che implementiamo per ogni progetto. La raccolta dati e qualità delle informazioni rappresenta un passaggio fondamentale in questa fase.
Retention e governance dei dati
Definire per quanto tempo i dati vengono conservati — nei dataset, nei log di interazione, negli ambienti di sviluppo — è un obbligo GDPR che assume complessità aggiuntiva nei progetti AI. Le policy di retention devono coprire l’intero ciclo di vita del dato, dalla raccolta alla cancellazione, passando per eventuali fasi di anonimizzazione o pseudonimizzazione. Una governance dei dati strutturata riduce l’esposizione e semplifica la dimostrazione di conformità in caso di audit o richieste da parte delle autorità.
Fornitori e piattaforme AI: responsabilità, ruoli e controlli contrattuali
La gestione fornitori AI è uno degli aspetti più delicati della compliance integrata ai act e gdpr. Quando un’organizzazione adotta una piattaforma AI sviluppata da terzi, la responsabilità non si trasferisce automaticamente al fornitore: si distribuisce lungo la catena di fornitura secondo regole precise.
Provider, deployer e catena di responsabilità
L’AI Act distingue tra provider — chi sviluppa o immette sul mercato il sistema AI — e deployer — chi lo utilizza in ambito professionale. Il GDPR, parallelamente, distingue tra titolare e responsabile del trattamento. Queste due tassonomie si sovrappongono: un’azienda che utilizza un chatbot AI per il customer care è tipicamente deployer ai sensi dell’AI Act e titolare del trattamento ai sensi del GDPR, mentre il fornitore del chatbot può essere provider e responsabile del trattamento. Ogni configurazione richiede accordi contrattuali che riflettano entrambe le normative.
Valutazione sicurezza e privacy dei fornitori
Prima di adottare una piattaforma AI, analizziamo le condizioni contrattuali, le policy di trattamento dei dati, le certificazioni di sicurezza e le garanzie offerte dal fornitore in materia di localizzazione dei dati, trasferimenti extra-UE e sub-responsabili. Questa valutazione è parte integrante del digital assessment che conduciamo per ogni progetto, e alimenta la documentazione necessaria per la DPIA e per la dimostrazione di accountability.
Tracciabilità e SLA di supporto
I contratti con i fornitori AI devono prevedere clausole specifiche su logging, accesso ai dati, tempi di risposta in caso di incidenti e modalità di collaborazione in caso di richieste da parte delle autorità di controllo. La tracciabilità lungo la supply chain è un requisito che ai act e gdpr condividono, e che il nostro team traduce in clausole contrattuali operative e verificabili.
La valutazione dei fornitori AI richiede competenze trasversali — legali, tecniche e strategiche. Orosfera integra tutte queste dimensioni in un unico processo di assessment: scopri come possiamo supportare la tua organizzazione.
Use case aziendali: dove AI Act e GDPR incidono di più
L’impatto congiunto di ai act e gdpr non è uniforme: alcune aree aziendali sono più esposte di altre, sia per la natura dei dati trattati sia per il tipo di decisioni che i sistemi AI supportano o automatizzano.
Marketing e personalizzazione
L’uso dell’intelligenza artificiale per segmentare il pubblico, personalizzare le comunicazioni e ottimizzare le campagne implica trattamenti di dati personali su larga scala. Le basi giuridiche — consenso, legittimo interesse — devono essere valutate caso per caso, e la profilazione automatizzata può richiedere una DPIA. Le strategie di digital marketing che integrano componenti AI necessitano di un’architettura di compliance che copra sia il GDPR sia i requisiti di trasparenza dell’AI Act. Anche la marketing attribution è influenzata da queste dinamiche, poiché i modelli di attribuzione basati su AI trattano dati comportamentali che possono qualificarsi come dati personali.
Chatbot e assistenza clienti
I chatbot basati su AI generativa raccolgono, elaborano e generano informazioni in tempo reale. Ogni conversazione può contenere dati personali — nome, email, dettagli su ordini o richieste — e l’obbligo di trasparenza impone di informare l’utente che sta interagendo con un sistema automatizzato. Un chatbot personalizzato progettato con criteri di privacy by design riduce l’esposizione e migliora la fiducia dell’utente. Analogamente, un chatbot WhatsApp Business richiede attenzione specifica ai flussi di dati e alle responsabilità contrattuali con la piattaforma.
HR e processi decisionali
L’utilizzo dell’AI nei processi di selezione, valutazione e gestione del personale è tra le aree a più alto rischio sotto il profilo dell’AI Act, che classifica come ad alto rischio i sistemi utilizzati per il reclutamento e la gestione dei lavoratori. Il GDPR, dal canto suo, tutela il diritto degli interessati a non essere sottoposti a decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici significativi. L’analisi del target in ambito HR richiede quindi una governance particolarmente rigorosa.
Rischi reputazionali e fiducia
Un’adozione dell’AI non governata può generare danni reputazionali significativi: output discriminatori, violazioni della privacy, comunicazioni ingannevoli. La fiducia dei clienti e dei dipendenti è un asset strategico che la compliance protegge. Integrare l’intelligenza artificiale per il sito web e per i customer journey e touchpoint richiede un approccio che bilanci innovazione e responsabilità.
Il metodo Orosfera: assessment, governance e implementazione controllata dell’AI
Orosfera affronta la compliance ai act e gdpr come un progetto integrato, non come una serie di adempimenti isolati. Il nostro approccio si articola in tre dimensioni che si alimentano reciprocamente.
Assessment iniziale: dati, processi e rischi
Ogni progetto parte da una mappatura completa: quali sistemi AI sono in uso o in fase di adozione, quali dati personali trattano, quali ruoli sono coinvolti, quali fornitori sono nella catena. Conduciamo un’analisi del sito e dell’ecosistema digitale per identificare i punti di contatto tra AI, dati e utenti. Questa fase include la valutazione della necessità di una DPIA e l’identificazione dei requisiti specifici dell’AI Act applicabili al caso concreto.
Definizione di policy e controlli
Sulla base dell’assessment, definiamo le policy di utilizzo dell’AI, i controlli di accesso, le procedure di logging e le clausole contrattuali per i fornitori. Ogni policy è progettata per soddisfare simultaneamente i requisiti di ai act e gdpr, evitando duplicazioni e garantendo coerenza. L’approccio privacy by design e by default è integrato fin dalla progettazione, non aggiunto a posteriori. I nostri servizi di marketing digitale includono questa dimensione di governance come componente strutturale.
Monitoraggio e ottimizzazione continua
La compliance non è un traguardo, ma un processo. Monitoriamo l’evoluzione normativa — come il Digital Omnibus e le linee guida della Commissione europea — e aggiorniamo policy, controlli e documentazione in modo proattivo. L’AI personalizzata per le aziende che sviluppiamo è progettata per essere auditabile, tracciabile e adattabile nel tempo, garantendo conformità sostenibile e miglioramento continuo.
Conclusione: trasformare la compliance ai act e gdpr in vantaggio competitivo
L’intersezione tra AI Act e GDPR rappresenta una sfida gestionale concreta per ogni organizzazione che adotta o valuta soluzioni di intelligenza artificiale. Ma è anche un’opportunità: le aziende che costruiscono una governance AI solida riducono l’esposizione, accelerano l’adozione e rafforzano la fiducia di clienti, dipendenti e partner. La compliance diventa un acceleratore, non un freno.
Orosfera accompagna le organizzazioni italiane in questo percorso con un approccio full-service: dall’assessment iniziale alla definizione delle policy, dalla gestione dei fornitori al monitoraggio continuo. Ogni progetto è costruito sulle specificità dell’azienda, con l’obiettivo di rendere l’adozione dell’AI conforme, sostenibile e orientata ai risultati.
Questo contenuto ha finalità informative e non costituisce consulenza legale. Per valutazioni e adempimenti specifici è opportuno svolgere un’analisi sul caso concreto e, se necessario, coinvolgere un professionista legale.
FAQ su AI Act e GDPR
AI Act e GDPR si applicano insieme o uno prevale sull’altro?
AI Act e GDPR si applicano contemporaneamente ai sistemi AI che trattano dati personali. Nessuno dei due regolamenti sostituisce l’altro: il GDPR disciplina il trattamento dei dati personali, l’AI Act regola i requisiti dei sistemi di intelligenza artificiale. Le organizzazioni devono soddisfare entrambi i quadri normativi in parallelo.
Quando un progetto di AI richiede una DPIA secondo GDPR?
Una valutazione d’impatto sulla protezione dei dati (DPIA) è necessaria quando il trattamento presenta un rischio elevato per i diritti e le libertà delle persone fisiche — ad esempio in caso di profilazione sistematica, trattamento su larga scala di dati sensibili o monitoraggio sistematico. Nei progetti AI, la DPIA è spesso raccomandata anche quando non strettamente obbligatoria, come strumento di governance e documentazione.
Usare un tool di AI generativa per marketing o customer care comporta trattamento di dati personali?
Nella maggior parte dei casi sì. I prompt inseriti dagli operatori o dai clienti possono contenere nomi, email, dettagli su ordini o preferenze che costituiscono dati personali. Anche gli output generati possono includere informazioni riferibili a persone fisiche. È fondamentale che il trattamento sia coperto da una base giuridica adeguata e da informative trasparenti.
Quali controlli di governance riducono il rischio di non conformità in progetti AI?
I controlli più efficaci includono policy di utilizzo dell’AI documentate, controllo degli accessi ai modelli e ai dati, logging strutturato delle interazioni, procedure di revisione umana degli output, DPIA e audit periodici. La formazione del personale — coerente con l’obbligo di alfabetizzazione AI dell’art. 4 dell’AI Act, attivo dal 2 febbraio 2025 — completa il quadro.
Come gestire fornitori e piattaforme AI in ottica GDPR e AI Act?
La gestione dei fornitori richiede una valutazione preliminare delle condizioni contrattuali, delle policy di trattamento dati, delle certificazioni di sicurezza e delle garanzie sulla localizzazione dei dati. I contratti devono includere clausole che riflettano sia i ruoli GDPR (titolare/responsabile) sia quelli AI Act (provider/deployer), con SLA su logging, incident response e collaborazione con le autorità.
Quali sono i principali rischi privacy e sicurezza legati all’AI generativa?
I rischi principali includono bias e discriminazione negli output, allucinazioni (informazioni plausibili ma errate), data leakage (esposizione di dati riservati o personali inseriti nei prompt) e produzione di deepfake. Ciascuno di questi rischi ha implicazioni sia sotto il profilo GDPR sia sotto quello dell’AI Act, e richiede misure di mitigazione specifiche — dalla revisione umana al controllo degli accessi, dalle policy di utilizzo ai vincoli contrattuali con i fornitori.
È possibile usare dati aziendali o dati clienti per addestrare o personalizzare modelli AI?
È possibile, ma richiede una base giuridica adeguata ai sensi del GDPR, il rispetto del principio di minimizzazione e policy di retention chiare. Se i dati sono stati raccolti per finalità diverse dall’addestramento AI, è necessario verificare la compatibilità delle finalità o acquisire un nuovo consenso. La pseudonimizzazione e l’anonimizzazione sono strumenti utili per ridurre l’esposizione.
Come cambia la compliance quando l’AI è integrata in un sito web o in un chatbot?
L’integrazione dell’AI in un sito web o in un chatbot aggiunge obblighi di trasparenza (informare l’utente dell’interazione con un sistema AI), requisiti di sicurezza sui dati raccolti durante le conversazioni e responsabilità sulla qualità degli output. La privacy by design impone di progettare il sistema in modo che la protezione dei dati sia integrata fin dall’architettura, non aggiunta come layer successivo.
Ogni progetto AI ha esigenze specifiche di compliance e governance. Orosfera costruisce percorsi su misura per organizzazioni che vogliono adottare l’intelligenza artificiale in modo conforme, sicuro e orientato ai risultati.