AI Act e GDPR: cosa deve sapere oggi una PMI che usa l'AI sui dati

Due norme, un solo caso

Il GDPR (Regolamento UE 2016/679) protegge i dati personali. L’AI Act (Regolamento UE 2024/1689) regola i sistemi di intelligenza artificiale in base al rischio. Se un’AI lavora sui dati dei tuoi clienti, valgono insieme.

Cos’è l’AI Act? È il regolamento europeo con le regole per chi sviluppa e per chi usa sistemi di AI. Il GDPR guarda ai dati personali, l’AI Act al sistema e a come lo usi.

Che ruolo hai

Cos’è un deployer? È chi usa un sistema di AI sotto la propria autorità, escluso l’uso personale non professionale. Se compri un assistente AI e lo usi in azienda, sei di norma deployer. Se sviluppi un sistema, o lo fai sviluppare, e lo metti in servizio a tuo nome, sei fornitore.

Per il GDPR sei quasi sempre titolare del trattamento. Il fornitore dello strumento è di norma responsabile del trattamento, e serve un contratto che lo regoli (art. 28).

Cosa vale già oggi

Il calendario dell’AI Act è cambiato: il Digital Omnibus sull’AI, cioè il Regolamento (UE) 2026/1744, è stato firmato l’8 luglio 2026, pubblicato nella Gazzetta ufficiale dell’UE il 24 luglio ed è in vigore dal 27 luglio 2026. Il rinvio non è più una proposta: è legge.

Le date, secondo il testo consolidato e la Commissione europea:

• 2 febbraio 2025: divieti e alfabetizzazione sull’AI.
• 2 agosto 2026: la maggior parte delle regole, trasparenza compresa (art. 50).
• 2 dicembre 2027: sistemi ad alto rischio dell’allegato III (prima era il 2 agosto 2026).
• 2 agosto 2028: alto rischio nei prodotti regolati, allegato I (prima era il 2 agosto 2027).

Alfabetizzazione sull’AI (art. 4)

Dal 2 febbraio 2025 fornitori e deployer devono prendere misure per sostenere l’alfabetizzazione sull’AI del personale e di chi usa i sistemi per loro conto. Dopo l’Omnibus non devi garantire un livello specifico a ogni persona, ma l’obbligo resta.

In pratica: una breve formazione sui limiti dello strumento e una regola scritta su quali dati non incollare.

Trasparenza (art. 50)

Dal 2 agosto 2026 valgono queste regole:

• Chatbot: chi ci parla deve sapere di avere davanti un’AI, a meno che sia ovvio. L’obbligo è del fornitore. Se il chatbot è comprato, controlla che lo rispetti. Se lo sviluppi tu e lo metti in servizio a tuo nome, il fornitore sei tu.
• Deep fake: se usi un sistema che genera o manipola immagini, audio o video che sembrano reali, devi dichiarare che sono artificiali.
• Riconoscimento delle emozioni: chi lo usa deve informare le persone esposte e trattare i dati secondo il GDPR.

Un divieto da conoscere

Dal 2 febbraio 2025 l’art. 5 vieta i sistemi che deducono le emozioni di una persona sul luogo di lavoro, salvo ragioni mediche o di sicurezza. Se un software deduce l’umore dei dipendenti, chiedi al fornitore se lo fa.

Alto rischio: i casi dell’allegato III

Tra gli usi ad alto rischio l’allegato III elenca il filtro dei CV, la valutazione delle prestazioni dei dipendenti e la valutazione dell’affidabilità creditizia delle persone fisiche. Le regole per questi sistemi si applicano dal 2 dicembre 2027. Intanto il GDPR vale già.

Il GDPR vale già per tutto

Il rinvio dell’AI Act non tocca il GDPR. Quando l’AI elabora dati dei clienti, controlla questi punti:

• Base giuridica e finalità (art. 5 e 6): per ogni uso scrivi perché tratti quei dati e con quale base.
• Minimizzazione (art. 5): dai all’AI solo i dati che servono. Per rispondere a un reclamo non serve incollare tutto lo storico del cliente.
• Informativa (art. 13): di’ ai clienti che i loro dati possono essere trattati con strumenti di AI, e per quale scopo.
• Fornitore e luogo del trattamento (art. 28 e capo V): contratto con il fornitore e garanzie se i dati escono dallo Spazio economico europeo.
• Decisioni automatizzate (art. 22): nessuno deve subire una decisione basata solo su un trattamento automatizzato che produce effetti giuridici o incide in modo analogo. Un punteggio che respinge da solo una richiesta di pagamento a rate è un caso da valutare con attenzione.
• Valutazione d’impatto (art. 35): se il trattamento, specie con nuove tecnologie, può comportare un rischio elevato per le persone, va fatta prima di iniziare.

Cosa è ancora in discussione

Il Digital Omnibus ha un secondo pezzo, sui dati: propone modifiche al GDPR e alle regole sui cookie. Non è legge.

Il 21 ottobre 2026 il Consiglio dell’UE ha concordato la sua posizione. Secondo il comunicato, mantiene l’attuale definizione di dato personale, aggiunge chiarimenti sulla base giuridica a sostegno dello sviluppo dell’AI e sostiene un termine più lungo per notificare le violazioni dei dati. I negoziati con il Parlamento europeo partono quando il Parlamento avrà adottato la sua posizione.

Finché il testo non è approvato, il GDPR resta com’è.

Cosa fare questa settimana

1. Elenca gli strumenti AI che usi e chi li usa.
2. Per ciascuno annota quali dati dei clienti riceve, dove vengono trattati e chi lo fornisce.
3. Controlla il contratto con il fornitore e l’informativa privacy.
4. Scrivi una regola breve su cosa non dare all’AI e forma il team.
5. Dichiara i contenuti generati con l’AI che sembrano reali.

Come si collega al lavoro di Blu Fox

Con blu performa™ leggiamo i dati dei clienti in modo continuo, con report e alert automatici. Per questo privacy e AI Act fanno parte della gestione di ogni giorno.

In Blu Fox la conformità a GDPR e AI Act è gestita internamente, con il nostro DPO. Il modulo opzionale blu compliant™ riguarda proprio questo.

Se vuoi capire a che punto sei, prenota la call conoscitiva di 30 minuti: è gratuita e senza impegno, e rispondiamo entro 1 giorno lavorativo. Questo testo è un’informazione generale e non sostituisce un parere legale.