--- title: "AI Act e GDPR insieme: chi fa cosa quando comprate un sistema AI" description: "Provider e deployer, DPIA e valutazione d’impatto sui diritti fondamentali, obbligo di formazione: chi fa cosa tra chi vende e chi usa un sistema AI." url: https://csidia.com/note-operative/ai-act-gdpr-chi-fa-cosa/ lang: it date: 2026-03-26 label: "Normativa" publisher: CSIDIA S.r.l. (https://csidia.com/) english: https://csidia.com/en/notes/ai-act-gdpr-chi-fa-cosa/ --- # AI Act e GDPR insieme: chi fa cosa quando comprate un sistema AI Quando un’azienda adotta un sistema AI, in Europa si accendono due normative insieme: il **GDPR**, se ci sono dati personali di mezzo (e quasi sempre ci sono), e l’**AI Act**, che dal 2025 sta entrando in vigore a tappe. La confusione più frequente che incontriamo non riguarda i principi — riguarda **chi deve fare cosa**: cosa spetta a chi il sistema lo produce e cosa a chi lo usa. Mettiamo ordine, perché è qui che si annidano le responsabilità comprate a propria insaputa. ## I due ruoli dell’AI Act: provider e deployer L’AI Act distingue il **provider** (chi sviluppa il sistema e lo mette sul mercato) dal **deployer** (chi lo usa sotto la propria autorità: voi). La distinzione conta perché gli obblighi pesanti dell’alto rischio — documentazione tecnica, gestione del rischio, marcatura CE — stanno in capo al provider. Ma il deployer non è spettatore: deve usare il sistema secondo le istruzioni, garantire la **sorveglianza umana** con personale competente, controllare che i dati di input siano pertinenti, conservare i log, informare le persone esposte. E c’è la trappola classica: se **modificate sostanzialmente** un sistema, o lo usate per uno scopo ad alto rischio diverso da quello dichiarato dal produttore, o lo rimarchiate col vostro nome, **diventate provider voi** — con tutti gli obblighi del caso. La personalizzazione spinta di un sistema comprato non è giuridicamente neutra: è una domanda da fare per iscritto prima, non dopo. ## Le due valutazioni d’impatto: DPIA e FRIA Il GDPR chiede la **DPIA** (valutazione d’impatto sulla protezione dei dati) quando il trattamento presenta rischi elevati per le persone — e un sistema AI che valuta, profila o decide su persone ci rientra quasi per definizione. L’AI Act aggiunge, per certi deployer di sistemi ad alto rischio (enti pubblici e privati che erogano servizi essenziali), la **FRIA**: la valutazione d’impatto sui **diritti fondamentali** — non solo privacy: discriminazione, accesso ai servizi, tutele. Il punto operativo che vi fa risparmiare mesi: le due valutazioni **si sovrappongono in gran parte**, e la norma stessa consente di integrarle. Chi le tratta come due adempimenti separati, affidati a due consulenti diversi, paga due volte per documenti che si contraddicono. Chi parte dall’inventario unico — quali dati, quali decisioni, su chi, con quale controllo umano — produce entrambe da una sola analisi. ## Il calendario, senza panico ma senza sconti A oggi (primavera 2026) sono **già in vigore e sanzionabili**: i divieti sulle pratiche inaccettabili e l’obbligo di **alfabetizzazione AI** del personale (da febbraio 2025), e gli obblighi sui modelli di uso generale (da agosto 2025). Le scadenze per i sistemi ad alto rischio sono in discussione a Bruxelles con il pacchetto di semplificazione — il consiglio pratico non cambia: il lavoro preparatorio (censimento dei sistemi, ruoli, registri, formazione) va fatto comunque, perché serve identico qualunque sia la data finale. Chi rientra anche nel perimetro NIS2 lo sa già: [l’inventario è sempre il primo passo](https://csidia.com/note-operative/nis2-aziende-settori-critici). ## La checklist del deployer accorto 1. **Qualificate ogni sistema**: c’è AI dentro? È alto rischio? Chi è il provider? (Molta AI arriva nascosta dentro software verticali.) 2. **Fatevi consegnare le istruzioni d’uso e le dichiarazioni di conformità** — e leggete cosa il provider dichiara *voi* dobbiate fare. 3. **Nominate la sorveglianza umana**: persone precise, formate, con autorità reale di fermare il sistema — non un nome su un organigramma. 4. **Integrate DPIA e FRIA** in un’unica analisi, a partire dai dati. 5. **Documentate la formazione**: è l’obbligo già in vigore che costa meno adempiere e più ignorare. La conformità, fatta così, non è un costo morto: è lo stesso lavoro di ordine sui dati e sui processi [da cui partono i progetti che funzionano](https://csidia.com/approccio). *Dovete qualificare i sistemi che avete o che state comprando? [Mezz’ora con un nostro esperto](https://csidia.com/contatti) per la prima mappa di ruoli e obblighi.* ## Fonti - [Regolamento (UE) 2024/1689 (AI Act) — testo ufficiale (EUR-Lex)](https://eur-lex.europa.eu/eli/reg/2024/1689/oj) - [Regolamento (UE) 2016/679 (GDPR) — testo ufficiale (EUR-Lex)](https://eur-lex.europa.eu/eli/reg/2016/679/oj) Nota di CSIDIA S.r.l. (Vignola, MO): https://csidia.com/note-operative/ai-act-gdpr-chi-fa-cosa/ · Chi siamo e che cosa facciamo: https://csidia.com/in-breve/ · engagement@csidia.com