Come il Garante sta regolando l’uso dell’intelligenza artificiale generativa nelle imprese

Garante e intelligenza artificiale: cosa cambia per le aziende che usano modelli generativi

1. Normativa e decisione in questione

Dal punto di vista normativo, il Garante ha pubblicato linee guida e provvedimenti che chiariscono l’applicazione del GDPR all’uso di intelligenza artificiale generativa. Le indicazioni sono rivolte alle aziende che integrano modelli generativi nei propri servizi.

Il Garante ha sottolineato l’obbligo di valutare i rischi collegati alla profilazione, al trattamento su larga scala e ai trasferimenti internazionali di dati verso fornitori di modelli. Queste posizioni si integrano con le raccomandazioni dell’EDPB e con il quadro normativo europeo, in particolare il Regolamento AI e i principi del GDPR.

2. Interpretazione e implicazioni pratiche

Dal punto di vista normativo, il Garante ha stabilito che l’uso di modelli generativi non è neutro. Se l’output può ricondursi a persone identificate o identificabili, si configura un trattamento di dati personali. Ciò implica che attività diffuse — dall’automazione dei contenuti al supporto clienti — richiedono valutazioni formali e documentate. Il rischio compliance è reale: non è sufficiente adottare tecnologia senza dimostrare controlli e basi giuridiche adeguate.

Dal punto di vista pratico, le conseguenze principali per le aziende sono di tre ordini: valutazione del rischio, obblighi di informativa e gestione contrattuale. Le misure devono essere proporzionate al contesto d’uso e alle potenziali ricadute sugli interessati.

Nel dettaglio, le implicazioni pratiche più rilevanti includono:

• Valutazione d’impatto (DPIA) obbligatoria quando l’impiego del modello comporta profilazione o decisioni automatizzate con effetti significativi sugli interessati.
• Trasparenza verso gli interessati: informativa estesa e comprensibile che indichi come vengono trattati i dati e quando avviene la generazione automatica di contenuti.
• Revisione dei contratti con fornitori cloud e provider di modelli per disciplinare trasferimenti internazionali, subfornitura e responsabilità condivise.

3. Cosa devono fare le aziende

Dal punto di vista normativo, le imprese devono tradurre la valutazione del rischio in azioni operative. Il rischio compliance è reale: occorre un piano strutturato per ridurre esposizione normativa e responsabilità contrattuale.

1. Mappare i flussi: identificare quali dati alimentano i modelli. Valutare dove risiedono i dataset, chi li processa e quali output possono ricondurre a persone fisiche.
2. Effettuare una DPIA quando richiesto: la profilazione e gli impatti sui diritti e sulle libertà fondamentali richiedono una valutazione documentata dei rischi e delle misure mitigative.
3. Rivedere le basi giuridiche: verificare la legittimità del trattamento per ciascun uso. Consenso, contratto e legittimo interesse presentano limiti diversi per l’uso di sistemi di intelligenza artificiale generativa.
4. Contrattualizzare i fornitori: inserire clausole specifiche su data protection, audit, responsabilità e regole sui trasferimenti internazionali. Regolare chiaramente subfornitura, accesso ai dati e gestione degli incidenti.

Dal punto di vista operativo, le aziende devono inoltre predisporre procedure di monitoraggio continuo, registro delle decisioni automatizzate e formazione del personale responsabile. Gli sviluppi normativi e le linee guida dell’autorità di controllo restano elementi determinanti per aggiornare le misure di compliance.

4. Rischi e sanzioni possibili

Il rischio compliance è reale: dal punto di vista normativo, il mancato rispetto del GDPR espone le imprese a sanzioni amministrative significative. Il Garante può intervenire in presenza di violazioni gravi dei principi di liceità, minimizzazione o sicurezza.

• Multe pecuniarie fino ai massimi previsti dal GDPR per violazioni sistemiche dei diritti degli interessati;
• divieti temporanei o restrizioni sull’uso di specifici sistemi AI ritenuti non conformi;
• obblighi di cancellazione o rettifica dei dati, insieme ad ordini per misure tecniche e organizzative di mitigazione.

Il Garante ha stabilito che le misure sanzionatorie possono essere integrate da provvedimenti amministrativi che incidono sull’operatività. Le imprese affrontano inoltre rischi reputazionali e possibili contenziosi civili promossi dagli interessati.

Dal punto di vista pratico, il rischio compliance permane finché non vengono aggiornate procedure e controlli. Gli sviluppi normativi e le nuove linee guida dell’autorità di controllo rimangono determinanti per la revisione delle misure aziendali.

5. Best practice per compliance

Dal punto di vista normativo, le imprese devono aggiornare le misure di governance in continuità con le nuove indicazioni dell’autorità di controllo.

• Privacy by design e by default: integrare protezioni tecniche come minimizzazione e pseudonimizzazione già in fase di progettazione dei sistemi.
• Registro dei trattamenti specifico per AI: documentare finalità, categorie di dati e misure tecniche, con evidenza delle valutazioni di rischio adottate.
• Policy di governance AI: definire ruoli, responsabilità e processi di controllo, inclusi audit periodici, test di bias e monitoraggio degli output.
• Formazione continua: aggiornare team legali, sviluppo e security su GDPR compliance e rischi specifici dell’AI generativa.
• Approccio RegTech: adottare strumenti automatizzati per la gestione delle richieste degli interessati e dei registri operativi.

Il rischio compliance è reale: la revisione periodica delle misure dovrà seguire le evoluzioni normative e le future linee guida del Garante e dell’EDPB.

Il Garante ha ribadito che la tecnologia non esime dall’obbligo di proteggere i dati personali. Dal punto di vista normativo, l’adozione di modelli generativi richiede un approccio documentato e proattivo, che comprenda governance, responsabilità e strumenti di legal tech. Le imprese che già impiegano o intendono impiegare strumenti di intelligenza artificiale generativa dovranno avviare la DPIA e la mappatura dei flussi informativi per identificare rischi residui e misure mitiganti. Il monitoraggio e l’aggiornamento periodico delle misure di sicurezza rimarranno necessari alla luce delle future linee guida del Garante e dell’EDPB.

Dr. Luca Ferretti, avvocato specializzato in diritto digitale e legal tech