AI Act e GDPR insieme: chi fa cosa quando comprate un sistema AI
3 min di lettura
Quando un’azienda adotta un sistema AI, in Europa si accendono due normative insieme: il GDPR, se ci sono dati personali di mezzo (e quasi sempre ci sono), e l’AI Act, che dal 2025 sta entrando in vigore a tappe. La confusione più frequente che incontriamo non riguarda i principi — riguarda chi deve fare cosa: cosa spetta a chi il sistema lo produce e cosa a chi lo usa. Mettiamo ordine, perché è qui che si annidano le responsabilità comprate a propria insaputa.
I due ruoli dell’AI Act: provider e deployer
L’AI Act distingue il provider (chi sviluppa il sistema e lo mette sul mercato) dal deployer (chi lo usa sotto la propria autorità: voi). La distinzione conta perché gli obblighi pesanti dell’alto rischio — documentazione tecnica, gestione del rischio, marcatura CE — stanno in capo al provider. Ma il deployer non è spettatore: deve usare il sistema secondo le istruzioni, garantire la sorveglianza umana con personale competente, controllare che i dati di input siano pertinenti, conservare i log, informare le persone esposte.
E c’è la trappola classica: se modificate sostanzialmente un sistema, o lo usate per uno scopo ad alto rischio diverso da quello dichiarato dal produttore, o lo rimarchiate col vostro nome, diventate provider voi — con tutti gli obblighi del caso. La personalizzazione spinta di un sistema comprato non è giuridicamente neutra: è una domanda da fare per iscritto prima, non dopo.
Le due valutazioni d’impatto: DPIA e FRIA
Il GDPR chiede la DPIA (valutazione d’impatto sulla protezione dei dati) quando il trattamento presenta rischi elevati per le persone — e un sistema AI che valuta, profila o decide su persone ci rientra quasi per definizione. L’AI Act aggiunge, per certi deployer di sistemi ad alto rischio (enti pubblici e privati che erogano servizi essenziali), la FRIA: la valutazione d’impatto sui diritti fondamentali — non solo privacy: discriminazione, accesso ai servizi, tutele.
Il punto operativo che vi fa risparmiare mesi: le due valutazioni si sovrappongono in gran parte, e la norma stessa consente di integrarle. Chi le tratta come due adempimenti separati, affidati a due consulenti diversi, paga due volte per documenti che si contraddicono. Chi parte dall’inventario unico — quali dati, quali decisioni, su chi, con quale controllo umano — produce entrambe da una sola analisi.
Il calendario, senza panico ma senza sconti
A oggi (primavera 2026) sono già in vigore e sanzionabili: i divieti sulle pratiche inaccettabili e l’obbligo di alfabetizzazione AI del personale (da febbraio 2025), e gli obblighi sui modelli di uso generale (da agosto 2025). Le scadenze per i sistemi ad alto rischio sono in discussione a Bruxelles con il pacchetto di semplificazione — il consiglio pratico non cambia: il lavoro preparatorio (censimento dei sistemi, ruoli, registri, formazione) va fatto comunque, perché serve identico qualunque sia la data finale. Chi rientra anche nel perimetro NIS2 lo sa già: l’inventario è sempre il primo passo.
La checklist del deployer accorto
- Qualificate ogni sistema: c’è AI dentro? È alto rischio? Chi è il provider? (Molta AI arriva nascosta dentro software verticali.)
- Fatevi consegnare le istruzioni d’uso e le dichiarazioni di conformità — e leggete cosa il provider dichiara voi dobbiate fare.
- Nominate la sorveglianza umana: persone precise, formate, con autorità reale di fermare il sistema — non un nome su un organigramma.
- Integrate DPIA e FRIA in un’unica analisi, a partire dai dati.
- Documentate la formazione: è l’obbligo già in vigore che costa meno adempiere e più ignorare.
La conformità, fatta così, non è un costo morto: è lo stesso lavoro di ordine sui dati e sui processi da cui partono i progetti che funzionano.
Dovete qualificare i sistemi che avete o che state comprando? Mezz’ora con un nostro esperto per la prima mappa di ruoli e obblighi.