Regolamentazione IA e dati sensibili: GDPR, LOPD e AI Act
L'intelligenza artificiale non è più fantascienza: chatbot che assistono i clienti, algoritmi che filtrano CV, modelli che analizzano cartelle cliniche. Il problema è che molti di questi strumenti trattano dati personali sensibili senza che l'azienda sia consapevole dei propri obblighi legali. Il Regolamento IA dell'UE (AI Act), il GDPR e la LOPD-GDD spagnola formano un quadro normativo che ogni organizzazione che utilizza l'IA deve conoscere. Ignorarlo può significare sanzioni fino a 35 milioni di euro o il 7% del fatturato mondiale.
In sintesi
- L'AI Act (Regolamento UE 2024/1689) classifica i sistemi di IA per livello di rischio e vieta determinati usi (scoring sociale, identificazione biometrica di massa).
- Il GDPR richiede base giuridica, trasparenza e valutazione d'impatto (DPIA) quando l'IA tratta dati personali, in particolare categorie particolari (salute, biometria, origine etnica, opinioni politiche).
- La LOPD-GDD spagnola rafforza le garanzie: diritti digitali, obblighi del DPO e regime sanzionatorio proprio.
- Le sanzioni cumulate possono raggiungere 35 M€ (AI Act) + 20 M€ (GDPR): un rischio reale per PMI e startup.
- Effettuare una Valutazione d'Impatto sulla Protezione dei Dati (DPIA) prima di implementare l'IA è praticamente obbligatorio.
L'AI Act europeo: classificazione per rischio e divieti
Il Regolamento IA dell'UE (in vigore da agosto 2024, con applicazione graduale fino al 2027) è la prima legislazione organica al mondo sull'intelligenza artificiale. Classifica i sistemi di IA in quattro livelli:
| Livello di rischio | Esempi | Obblighi |
|---|---|---|
| Inaccettabile | Scoring sociale, manipolazione subliminale, identificazione biometrica in tempo reale in spazi pubblici | Vietato |
| Alto | Selezione del personale, valutazione creditizia, diagnosi medica, sistemi di migrazione | Valutazione di conformità, registrazione UE, supervisione umana, trasparenza, gestione dei rischi |
| Limitato | Chatbot, deepfake, contenuti generati da IA | Obblighi di trasparenza: l'utente deve sapere che interagisce con un'IA |
| Minimo | Filtri antispam, raccomandazioni di contenuti, videogiochi | Nessun obbligo specifico (codice di condotta raccomandato) |
Attenzione: I sistemi di IA ad alto rischio che trattano dati biometrici, sanitari o di categorie protette sono soggetti contemporaneamente all'AI Act e al GDPR. Gli obblighi si cumulano, non si sostituiscono.
Dati sensibili e categorie particolari: cosa dice il GDPR
L'articolo 9 del GDPR vieta, come regola generale, il trattamento di categorie particolari di dati: origine razziale o etnica, opinioni politiche, convinzioni religiose, appartenenza sindacale, dati genetici, dati biometrici diretti a identificare univocamente una persona, dati relativi alla salute e dati relativi alla vita sessuale o all'orientamento sessuale. L'IA moltiplica il rischio perché può inferire questi dati anche quando non vengono forniti direttamente (ad esempio, dedurre lo stato di salute da modelli di acquisto).
Eccezioni dell'art. 9.2 GDPR che permettono il trattamento di dati sensibili:
- Consenso esplicito dell'interessato per finalità specifiche.
- Obblighi in materia di diritto del lavoro e sicurezza sociale.
- Interesse vitale dell'interessato o di un'altra persona.
- Interesse pubblico essenziale (su base del diritto dell'UE o di uno Stato membro).
- Finalità di medicina preventiva, diagnosi, trattamento o gestione sanitaria.
- Finalità di ricerca scientifica o statistica con garanzie adeguate.
La LOPD-GDD: rafforzamento spagnolo del GDPR
La Legge Organica 3/2018 di Protezione dei Dati e Garanzia dei Diritti Digitali (LOPD-GDD) adatta il GDPR all'ordinamento spagnolo e aggiunge proprie garanzie:
- Diritti digitali (Titolo X): diritto alla disconnessione digitale, alla privacy nell'uso di dispositivi digitali sul lavoro, e a non essere oggetto di decisioni basate esclusivamente su processi automatizzati (rafforzamento dell'art. 22 GDPR).
- Responsabile della Protezione dei Dati (DPO): obbligatorio in casi aggiuntivi a quelli del GDPR, come operatori di telecomunicazioni, centri sanitari, assicurazioni o aziende pubblicitarie.
- Regime sanzionatorio: infrazioni lievi (fino a 40.000 €), gravi (fino a 300.000 €) e molto gravi (fino a 20 M€ o il 4% del fatturato).
- Trattamento di dati di persone decedute: regolamentazione specifica che il GDPR non contempla.
Valutazione d'Impatto (DPIA): quando è obbligatoria?
L'articolo 35 del GDPR impone una Valutazione d'Impatto sulla Protezione dei Dati quando un trattamento, per natura, portata o finalità, presenta un rischio elevato per i diritti e le libertà delle persone. In pratica, quasi qualsiasi uso di IA con dati personali la richiede, specialmente quando concorrono due o più di questi fattori:
Criteri che attivano la DPIA:
- Valutazione o scoring automatizzato (profili creditizi, performance lavorativa).
- Decisioni automatizzate con effetti giuridici o significativi.
- Sorveglianza sistematica (videosorveglianza con IA, monitoraggio dei dipendenti).
- Trattamento di categorie particolari di dati su larga scala.
- Uso di nuove tecnologie (IA generativa, riconoscimento facciale, analisi predittiva).
- Incrocio o combinazione di insiemi di dati di fonti diverse.
La DPIA non è un adempimento burocratico: è il documento che dimostra che la tua azienda ha identificato i rischi, ha applicato misure per mitigarli e ha consultato il DPO (o, se del caso, l'autorità spagnola AEPD). Senza di essa, una sanzione per trattamento irregolare si aggrava considerevolmente.
Casi pratici: IA e dati sensibili nella quotidianità aziendale
1. Selezione del personale con IA
Se usi un algoritmo per filtrare i CV, si tratta di un sistema di IA ad alto rischio (AI Act, Allegato III). Può inferire dati sensibili (età, origine etnica, disabilità) dal CV. Necessiti di: DPIA, supervisione umana effettiva, trasparenza con i candidati (art. 22 GDPR) e registrazione come sistema ad alto rischio.
2. Chatbot di assistenza clienti
Se il tuo chatbot con IA generativa raccoglie dati personali (nome, e-mail, richieste che possono rivelare lo stato di salute o la situazione finanziaria), devi: informare dell'interazione con l'IA (AI Act, rischio limitato), aggiornare la privacy policy, avere una base giuridica (consenso o esecuzione contrattuale) e adottare misure perché il modello non memorizzi o riaddestri su dati sensibili.
3. Analisi predittiva in sanità o assicurazioni
I modelli che prevedono rischi di malattie o calcolano premi assicurativi trattano dati sanitari (categoria particolare). Richiedono: consenso esplicito o base giuridica specifica (art. 9.2 GDPR), DPIA obbligatoria, cifratura e pseudonimizzazione, e garanzia del diritto di opposizione e di spiegazione della decisione automatizzata.
4. Riconoscimento facciale sul lavoro
Installare un sistema di controllo accessi biometrico con riconoscimento facciale è un trattamento di dati biometrici (categoria particolare) e un sistema di IA ad alto rischio. Oltre al GDPR e all'AI Act, in Spagna l'AEPD ha pubblicato criteri rigidi: è proporzionato solo se non esiste un'alternativa meno invasiva.
Sanzioni: il costo della non conformità
Regime sanzionatorio cumulativo:
- AI Act: fino a 35 M€ o 7% del fatturato mondiale per pratiche vietate; fino a 15 M€ o 3% per non conformità dei sistemi ad alto rischio.
- GDPR: fino a 20 M€ o 4% del fatturato mondiale per infrazioni gravi (assenza di base giuridica, violazione dei diritti degli interessati, mancanza di DPIA).
- LOPD-GDD: infrazioni molto gravi fino a 20 M€ o 4% del fatturato; infrazioni gravi fino a 300.000 €.
Esempio reale: L'AEPD spagnola ha sanzionato CaixaBank con 6 M€ (2021) per carenze nelle informazioni sui trattamenti e sulle basi giuridiche. Con l'IA, questi rischi si moltiplicano.
Obblighi concreti: cosa deve fare la tua azienda
Checklist: IA, dati sensibili e conformità normativa
- 1. Inventario dei sistemi di IA — Identifica tutti i sistemi di IA usati dalla tua azienda (propri o di terzi) e classificali secondo il livello di rischio dell'AI Act.
- 2. Mappatura dei dati personali — Determina quali dati personali tratta ciascun sistema, se includono categorie particolari e qual è la base giuridica.
- 3. Valutazione d'Impatto (DPIA) — Effettua una DPIA per ogni sistema di IA che tratta dati personali ad alto rischio. Documenta rischi, misure e conclusioni.
- 4. Trasparenza e informazione — Aggiorna la privacy policy per informare sull'uso dell'IA, le finalità, la logica applicata e le conseguenze del trattamento automatizzato.
- 5. Supervisione umana — Garantisci che le decisioni automatizzate con effetti giuridici o significativi possano essere riviste da una persona (art. 22 GDPR + AI Act).
- 6. Diritti degli interessati — Implementa meccanismi per gestire i diritti di accesso, rettifica, cancellazione, opposizione e, in particolare, il diritto a non essere oggetto di decisioni automatizzate.
- 7. Contratti con fornitori di IA — Rivedi i contratti con fornitori di strumenti di IA: clausole di responsabile del trattamento, localizzazione dei dati, sub-responsabili, misure di sicurezza.
- 8. DPO e governance — Valuta se hai bisogno di un Responsabile della Protezione dei Dati e stabilisci un comitato o protocollo di governance dell'IA.
- 9. Formazione — Forma i team che usano IA sui rischi, gli obblighi e le buone pratiche in protezione dei dati.
- 10. Registro e documentazione — Mantieni aggiornato il registro delle attività di trattamento con i sistemi di IA e conserva l'evidenza della conformità (accountability).
Calendario di applicazione dell'AI Act
| Data | Tappa |
|---|---|
| Agosto 2024 | Entrata in vigore del Regolamento |
| Febbraio 2025 | Divieto delle pratiche di IA a rischio inaccettabile |
| Agosto 2025 | Obblighi per modelli di IA di uso generale (GPAI) |
| Agosto 2026 | Applicazione completa: obblighi per sistemi di IA ad alto rischio |
| Agosto 2027 | Obblighi per sistemi ad alto rischio integrati in prodotti regolati (Allegato I) |
Servizi correlati
La tua azienda usa l'IA senza sapere se rispetta il GDPR e l'AI Act?
In Satya Legal ti aiutiamo con la valutazione d'impatto, l'adeguamento dei contratti con i fornitori di IA, la privacy policy e la conformità al nuovo Regolamento europeo sull'intelligenza artificiale. Evita sanzioni e proteggi la tua azienda.
Contatta Satya Legal
