Risposta rapida

AI Act e GDPR non sono due mondi separati, ma due livelli della stessa partita: la protezione dei diritti fondamentali delle persone. Il Regolamento (UE) 2024/1689 (AI Act) disciplina i sistemi di intelligenza artificiale in base al rischio che presentano, mentre il GDPR (Regolamento UE 2016/679) regola il trattamento dei dati personali. Dove si incontrano? Nel momento in cui un sistema di IA tratta dati personali, entrambe le normative si applicano contemporaneamente. La buona notizia è che non serve duplicare il lavoro: se la tua organizzazione ha già un impianto GDPR solido, gran parte delle attività di *accountability* (registro dei trattamenti, DPIA, misure di sicurezza) può essere riutilizzata e integrata per soddisfare gli obblighi dell'AI Act. La chiave è costruire un sistema di governance unificato che tratti la conformità come un processo unico, non come due adempimenti separati.

Perché questo tema è importante

La sovrapposizione tra AI Act e GDPR è una delle principali fonti di confusione per le imprese italiane. Molte organizzazioni stanno affrontando l'AI Act come se fosse una normativa completamente nuova, partendo da zero e creando processi paralleli a quelli già esistenti per il GDPR. Questo approccio è inefficiente e rischioso: raddoppia i costi, aumenta la complessità e genera il rischio di incoerenze tra i due sistemi di gestione.

Il tema è cruciale perché l'AI Act non sostituisce il GDPR: lo integra. L'articolo 2 del Regolamento (UE) 2024/1689 chiarisce che l'AI Act si applica fatto salvo il diritto dell'Unione in materia di protezione dei dati personali. In pratica, se il tuo sistema di IA tratta dati personali, devi rispettare entrambe le normative. Ma i punti di contatto sono molti: la valutazione d'impatto sulla protezione dei dati (DPIA) richiesta dal GDPR può essere integrata con la valutazione d'impatto sui diritti fondamentali prevista dall'AI Act per i sistemi ad alto rischio; il registro dei trattamenti può essere esteso per includere le informazioni richieste dall'AI Act; le misure di sicurezza tecniche e organizzative possono essere condivise.

Chi capisce questa sinergia risparmia tempo e risorse, e costruisce un sistema di compliance più robusto e coerente.

Quadro normativo e fonti ufficiali

Il quadro normativo di riferimento è composto da due pilastri principali:

• Regolamento (UE) 2024/1689 (AI Act): primo quadro giuridico completo al mondo sull'intelligenza artificiale. Adottato dalla Commissione europea, introduce un approccio basato sul rischio con quattro livelli: rischio inaccettabile (pratiche vietate), rischio alto, rischio limitato e rischio minimo. Le prime otto pratiche vietate sono già efficaci da febbraio 2025; la nona (relativa a contenuti sessualmente espliciti non consensuali e CSAM) entrerà in vigore a dicembre 2026.
• Regolamento (UE) 2016/679 (GDPR): la normativa generale sulla protezione dei dati personali, che rimane pienamente applicabile a tutti i trattamenti effettuati da o attraverso sistemi di IA.

A livello europeo, l'autorità di riferimento è l'AI Office della Commissione europea, che ha pubblicato linee guida sulle pratiche vietate e sulla definizione di sistema di IA. In Italia, il coordinamento spetta ad AgID (Agenzia per l'Italia Digitale) e ACN (Agenzia per la Cybersicurezza Nazionale), che supportano le imprese nell'adeguamento. Il Garante per la Protezione dei Dati Personali resta l'autorità competente per gli aspetti GDPR.

Un elemento importante da conoscere è l'AI Pact, iniziativa volontaria della Commissione che invita i fornitori e i deployer di IA a conformarsi anticipatamente agli obblighi dell'AI Act. È uno strumento utile per prepararsi in modo graduale.

Cosa significa per l'azienda

Per un'impresa italiana, la convivenza tra AI Act e GDPR significa tre cose concrete:

1. Doppia conformità, ma non doppio lavoro. Se tratti dati personali con sistemi di IA, devi rispettare entrambe le normative. Ma gli strumenti che hai già costruito per il GDPR — come il registro dei trattamenti, le procedure per le valutazioni d'impatto, le misure di sicurezza — possono essere adattati e riutilizzati per l'AI Act.

2. Nuovi obblighi specifici per l'IA. L'AI Act introduce requisiti che il GDPR non copre: la classificazione del rischio del sistema, la valutazione d'impatto sui diritti fondamentali (obbligatoria per i sistemi ad alto rischio), la gestione dei log automatici, la sorveglianza umana, la trasparenza verso gli utenti (ad esempio, l'obbligo di informare che si sta interagendo con un sistema di IA).

3. Ruoli e responsabilità da chiarire. L'AI Act distingue tra fornitore (provider) e deployer (utilizzatore) del sistema di IA. Questa distinzione non coincide con quella tra titolare e responsabile del trattamento del GDPR. Un'azienda può essere deployer di un sistema di IA ma titolare del trattamento dei dati, oppure fornitore del sistema ma responsabile del trattamento. È essenziale mappare queste posizioni per evitare ambiguità.

Cosa deve fare concretamente l'organizzazione

Ecco i passi operativi per integrare AI Act e GDPR senza duplicare il lavoro:

1. Mappare i sistemi di IA in uso. Identifica tutti i sistemi di IA utilizzati o sviluppati nella tua organizzazione. Per ciascuno, verifica se tratta dati personali. Questa mappatura è il punto di partenza per capire quali obblighi si applicano.

2. Classificare il rischio. Assegna a ogni sistema una delle quattro categorie di rischio previste dall'AI Act: inaccettabile, alto, limitato, minimo. Per i sistemi a rischio inaccettabile, verifica se rientrano nelle pratiche vietate (già efficaci da febbraio 2025 per le prime otto). Per i sistemi ad alto rischio, preparati agli obblighi più stringenti.

3. Integrare il registro dei trattamenti. Estendi il registro GDPR per includere le informazioni richieste dall'AI Act: finalità del sistema, categoria di rischio, misure di sorveglianza umana, log automatici. Un unico registro aggiornato evita duplicazioni.

4. Unificare le valutazioni d'impatto. Se per un sistema di IA è richiesta la DPIA ai sensi del GDPR, verifica se è necessaria anche la valutazione d'impatto sui diritti fondamentali prevista dall'AI Act. I due processi possono essere condotti in parallelo, condividendo analisi e documentazione.

5. Adeguare le misure di sicurezza. Le misure tecniche e organizzative già implementate per il GDPR (crittografia, controllo accessi, gestione incidenti) possono essere estese per soddisfare i requisiti di robustezza e accuratezza dell'AI Act.

6. Formare il personale. Assicurati che DPO, responsabili IT e team legale comprendano le differenze e le sinergie tra le due normative. La formazione è un investimento che riduce i rischi di non conformità.

Esempio pratico

Un'azienda italiana di e-commerce utilizza un sistema di raccomandazione prodotti basato su IA. Il sistema analizza la cronologia di acquisto e i dati di navigazione dei clienti per suggerire prodotti.

Sotto il GDPR: l'azienda è titolare del trattamento, ha già condotto una DPIA, aggiornato il registro dei trattamenti e implementato misure di sicurezza.

Sotto l'AI Act: il sistema di raccomandazione rientra probabilmente nella categoria a rischio limitato, quindi non è soggetto agli obblighi più stringenti dei sistemi ad alto rischio. Tuttavia, l'azienda deve garantire la trasparenza: informare gli utenti che stanno interagendo con un sistema di IA. Questa informativa può essere integrata nella privacy policy già esistente.

Il risultato: l'azienda non parte da zero. Aggiorna la documentazione GDPR, aggiunge le informazioni sulla trasparenza IA e documenta la classificazione del rischio. Il lavoro aggiuntivo è minimo, ma la conformità è completa.

Errori comuni da evitare

• Trattare AI Act e GDPR come mondi separati. È l'errore più diffuso: creare due sistemi di governance paralleli, con doppia documentazione e doppi processi. Il risultato è inefficienza e incoerenza.
• Sottovalutare la classificazione del rischio. Classificare erroneamente un sistema come a rischio minimo quando è ad alto rischio può portare a sanzioni significative. La classificazione va fatta con attenzione, documentando le motivazioni.
• Dimenticare la trasparenza. Anche i sistemi a rischio limitato (come i chatbot) richiedono obblighi di trasparenza. Non informare gli utenti che interagiscono con un'IA è una violazione.
• Ignorare il ruolo di deployer. Molte aziende si considerano solo "utilizzatori" e pensano che gli obblighi ricadano solo sui fornitori. In realtà, i deployer hanno responsabilità specifiche, soprattutto per i sistemi ad alto rischio.
• Non aggiornare la DPIA. Se un sistema di IA tratta dati personali, la DPIA GDPR va aggiornata per includere i rischi specifici dell'IA, come bias algoritmici o mancanza di spiegabilità.

Come GAPOFF aiuta

La piattaforma GAPOFF supporta le imprese italiane nella gestione integrata di AI Act e GDPR, evitando la duplicazione del lavoro. Con il modulo AI Act Governance, puoi:

• Classificare i sistemi di IA secondo le categorie di rischio del Regolamento (UE) 2024/1689, con un workflow guidato che documenta le motivazioni.
• Integrare la documentazione GDPR con gli obblighi AI Act, mantenendo un unico registro aggiornato.
• Gestire le valutazioni d'impatto in modo coordinato, condividendo analisi e risultati tra DPIA e valutazione sui diritti fondamentali.
• Tracciare gli obblighi di trasparenza e le misure di sorveglianza umana, con scadenze e responsabilità assegnate.

Il modulo si collega agli altri strumenti della piattaforma, come il modulo GDPR e il modulo NIS2, per una visione unificata della compliance aziendale. Puoi anche esplorare l'hub delle risorse per approfondimenti normativi e guide operative.

La piattaforma è provabile gratuitamente per 14 giorni: uno strumento che supporta il lavoro del tuo team, non un certificatore automatico di conformità. La responsabilità finale resta sempre dell'organizzazione.

Checklist operativa

• Ho mappato tutti i sistemi di IA in uso o in sviluppo nella mia organizzazione.
• Ho verificato se ciascun sistema tratta dati personali.
• Ho classificato ogni sistema secondo le quattro categorie di rischio dell'AI Act.
• Ho verificato che nessun sistema rientri nelle pratiche vietate (in vigore da febbraio 2025).
• Ho integrato il registro dei trattamenti GDPR con le informazioni richieste dall'AI Act.
• Ho verificato se per i sistemi ad alto rischio è necessaria la valutazione d'impatto sui diritti fondamentali.
• Ho aggiornato la DPIA GDPR per includere i rischi specifici dell'IA.
• Ho implementato misure di trasparenza per informare gli utenti che interagiscono con sistemi di IA.
• Ho definito i ruoli di fornitore e deployer per ciascun sistema.
• Ho formato il personale su differenze e sinergie tra AI Act e GDPR.
• Ho documentato tutte le decisioni di classificazione e le relative motivazioni.

FAQ

L'AI Act sostituisce il GDPR?

No. L'AI Act e il GDPR sono normative complementari che si applicano contemporaneamente. L'AI Act disciplina i sistemi di intelligenza artificiale in base al rischio, mentre il GDPR regola il trattamento dei dati personali. Se un sistema di IA tratta dati personali, entrambe le normative si applicano. L'articolo 2 del Regolamento (UE) 2024/1689 chiarisce che l'AI Act si applica fatto salvo il diritto dell'Unione in materia di protezione dei dati personali.

Chi è responsabile della conformità all'AI Act: il fornitore o il deployer?

Dipende dal ruolo. L'AI Act distingue tra fornitore (chi sviluppa o mette sul mercato il sistema) e deployer (chi lo utilizza). Il fornitore ha obblighi più estesi, soprattutto per i sistemi ad alto rischio. Ma anche il deployer ha responsabilità specifiche: deve utilizzare il sistema secondo le istruzioni, garantire la sorveglianza umana e, per i sistemi ad alto rischio, condurre la valutazione d'impatto sui diritti fondamentali. Questi ruoli non coincidono con quelli di titolare e responsabile del trattamento GDPR.

Come posso evitare di duplicare il lavoro tra DPIA GDPR e valutazione d'impatto AI Act?

La chiave è l'integrazione. Conduci le due valutazioni in parallelo, condividendo analisi, documentazione e risultati. La DPIA GDPR si concentra sui rischi per i diritti e le libertà delle persone derivanti dal trattamento dei dati; la valutazione d'impatto sui diritti fondamentali dell'AI Act copre un ambito più ampio, inclusi rischi di discriminazione, bias e impatti sociali. Puoi utilizzare la stessa documentazione di base e aggiungere le sezioni specifiche per ciascuna normativa. Un unico processo coordinato riduce i costi e garantisce coerenza.

FAQ

L'AI Act sostituisce il GDPR?

No. L'AI Act e il GDPR sono normative complementari che si applicano contemporaneamente. L'AI Act disciplina i sistemi di intelligenza artificiale in base al rischio, mentre il GDPR regola il trattamento dei dati personali. Se un sistema di IA tratta dati personali, entrambe le normative si applicano. L'articolo 2 del Regolamento (UE) 2024/1689 chiarisce che l'AI Act si applica fatto salvo il diritto dell'Unione in materia di protezione dei dati personali.

Chi è responsabile della conformità all'AI Act: il fornitore o il deployer?

Dipende dal ruolo. L'AI Act distingue tra **fornitore** (chi sviluppa o mette sul mercato il sistema) e **deployer** (chi lo utilizza). Il fornitore ha obblighi più estesi, soprattutto per i sistemi ad alto rischio. Ma anche il deployer ha responsabilità specifiche: deve utilizzare il sistema secondo le istruzioni, garantire la sorveglianza umana e, per i sistemi ad alto rischio, condurre la valutazione d'impatto sui diritti fondamentali. Questi ruoli non coincidono con quelli di titolare e responsabile del trattamento GDPR.

Come posso evitare di duplicare il lavoro tra DPIA GDPR e valutazione d'impatto AI Act?

La chiave è l'**integrazione**. Conduci le due valutazioni in parallelo, condividendo analisi, documentazione e risultati. La DPIA GDPR si concentra sui rischi per i diritti e le libertà delle persone derivanti dal trattamento dei dati; la valutazione d'impatto sui diritti fondamentali dell'AI Act copre un ambito più ampio, inclusi rischi di discriminazione, bias e impatti sociali. Puoi utilizzare la stessa documentazione di base e aggiungere le sezioni specifiche per ciascuna normativa. Un unico processo coordinato riduce i costi e garantisce coerenza.