Si discute molto dell’AI Act come della «nuova» disciplina dell’intelligenza artificiale; si trascura, però, che la prima norma con cui un sistema di IA deve fare i conti è, già oggi, il Regolamento (UE) 2016/679 (GDPR). Qualunque modello che apprenda da dati personali o che, nel suo funzionamento, tratti informazioni riferibili a persone è soggetto, senza sconti, alla disciplina sulla protezione dei dati. Non a caso, le prime e più incisive contestazioni alle grandi piattaforme di IA non sono venute dall’AI Act — di applicazione progressiva — bensì dalle autorità per la protezione dei dati. Conviene perciò mettere a fuoco perché l’IA incroci il GDPR, quali siano i nodi critici e con quali cautele un’impresa possa adottare questi strumenti.
Perché l’intelligenza artificiale incrocia il GDPR
L’intelligenza artificiale tratta dati personali in due momenti distinti. Nella fase di addestramento, i modelli apprendono da enormi masse di dati, spesso raccolti dal web, che frequentemente includono informazioni riferibili a persone identificabili. Nella fase di utilizzo, il sistema elabora gli input degli utenti — che possono contenere dati personali, anche di terzi — e ne restituisce output. In entrambi i casi vi è un trattamento di dati personali, e dunque l’intera disciplina del GDPR trova applicazione: dalla base giuridica all’informativa, dai diritti degli interessati alla sicurezza.
I nodi critici per chi sviluppa o usa l’IA
Alcuni profili si rivelano, alla prova dei fatti, particolarmente delicati:
- La base giuridica. Addestrare un modello su dati altrui richiede una base idonea ai sensi dell’art. 6; il legittimo interesse va dimostrato e bilanciato, e l’esecuzione di un contratto non può essere invocata, ad esempio, verso i minori, che non hanno la capacità di concluderlo.
- La trasparenza. Gli interessati devono essere informati di come i loro dati sono trattati dal sistema (artt. 13-14): un’informativa generica o inaccessibile non basta.
- L’esattezza. I modelli generativi possono produrre informazioni errate sulle persone (le cosiddette «allucinazioni»): il principio di esattezza (art. 5) e il diritto di rettifica (art. 16) non vengono meno perché il dato è prodotto da un algoritmo.
- Le decisioni automatizzate. Se il sistema adotta decisioni con effetti significativi sulle persone, si applica l’art. 22, con il diritto a un intervento umano e alla contestazione.
- I minori e la verifica dell’età. I servizi accessibili anche ai minori devono prevedere meccanismi idonei di age verification; la loro assenza è una delle contestazioni più ricorrenti.
Il rapporto con l’AI Act
L’AI Act non sostituisce il GDPR: vi si sovrappone, aggiungendo obblighi di sicurezza e di governance per i sistemi a maggior rischio. Per chi tratta dati personali, però, il primo banco di prova resta il Regolamento sulla protezione dei dati, già pienamente operativo, mentre l’AI Act dispiega i suoi effetti in modo graduale. I due piani vanno governati insieme; sul punto si rinvia all’approfondimento dedicato all’AI Act.
Cosa dice la giurisprudenza
Il tema è oggetto di un’intensa — e ancora instabile — attività di enforcement. Va premesso che i principali provvedimenti resi nei confronti dei servizi di IA generativa risultano impugnati in sede giudiziale, e dunque non definitivi: la materia è in via di assestamento anche sul piano del contenzioso. Ne è riprova la vicenda OpenAI: nel marzo 2026 il Tribunale di Roma ha annullato per incompetenza la sanzione irrogata dal Garante, ritenendo applicabile il meccanismo dello sportello unico (one-stop-shop), con autorità capofila quella irlandese; il merito non è stato esaminato.
Resta nondimeno significativo, per le contestazioni che esprime, il provvedimento del 10 aprile 2025 (doc. web n. 10130115), con cui il Garante ha irrogato una sanzione di 5 milioni di euro alla società statunitense Luka Inc., che gestisce il chatbot «Replika» — un «amico virtuale» a cui l’utente può assegnare il ruolo di confidente, terapeuta o partner. L’Autorità ha contestato l’assenza di una base giuridica valida (l’esecuzione del contratto non è invocabile verso i minori, incapaci di concluderlo), un’informativa incompleta e poco accessibile, misure inadeguate e un sistema di verifica dell’età carente, con conseguenti rischi per i minori; ha inoltre avviato un’autonoma istruttoria sull’addestramento del modello. Il provvedimento — va ribadito — è oggetto di opposizione e non è definitivo; ma le preoccupazioni che esprime (base giuridica, trasparenza, tutela dei minori) sono costanti nell’azione del Garante e tracciano, al di là dell’esito dei singoli giudizi, l’agenda di conformità per chiunque offra o utilizzi sistemi di IA.
Usare l’IA in azienda: alcune cautele
Per l’impresa che adotta strumenti di IA, alcune precauzioni riducono in misura sensibile il rischio:
- non immettere dati personali o informazioni riservate in sistemi di IA pubblici senza averne verificato le condizioni d’uso e la base giuridica;
- accertare, con il fornitore, l’esistenza di un accordo sul trattamento (DPA, art. 28) e dove i dati vengano trattati;
- rendere un’informativa adeguata e, ove la base sia il consenso, raccoglierlo correttamente;
- assicurare la sorveglianza umana sulle decisioni rilevanti e la possibilità di rettifica;
- adottare una policy interna sull’uso dell’IA, che definisca strumenti ammessi, dati trattabili e responsabilità.
Governare l’intelligenza artificiale, in definitiva, significa anzitutto governare i dati personali che essa elabora. È un terreno che salda l’adeguamento al GDPR alla più recente compliance sull’IA, e che premia chi vi si muove con metodo. Offriamo supporto su questi profili — dalla verifica dei fornitori alla policy interna sull’uso dell’IA — nell’ambito della consulenza GDPR per aziende e professionisti.
Domande frequenti
Posso usare ChatGPT o un’IA con i dati dei miei clienti? Con cautela: immettere dati personali o riservati in un’IA pubblica può violare il GDPR e gli obblighi di riservatezza. Servono una base giuridica, un’informativa adeguata e, di norma, un accordo con il fornitore.
Che l’IA usi i miei dati per addestrarsi è lecito? Solo in presenza di una base giuridica valida e di un’adeguata trasparenza: è proprio su questi profili che le autorità sono intervenute nei confronti dei servizi di IA generativa.
Chi risponde se l’IA produce informazioni errate su una persona? Il titolare del trattamento, tenuto a garantire l’esattezza dei dati (art. 5) e il diritto di rettifica (art. 16), oltre all’eventuale intervento umano.
Il presente approfondimento ha finalità informative e fotografa la disciplina vigente alla data di pubblicazione; non sostituisce una valutazione del caso concreto.
Questo approfondimento ha finalità informative e divulgative e non costituisce un parere legale sul caso concreto. Contenuto verificato dal Dott. Giuseppe Foti, consulente legale — ultima verifica: 15 luglio 2026.