10 anni di GDPR: l’evoluzione della privacy

Gli operatori economici devono predisporre la funzione di Human Oversight, affidandola a un responsabile specializzato. In mancanza, si espongono non solo a inefficienze del processo produttivo, ma anche ai rischi derivanti da output errati del sistema di AI, tra i quali il risarcimento dei danni ai soggetti lesi dalle “allucinazioni”.

La legge sulla divulgazione delle informazioni deve essere bilanciata e prevedere garanzie contro abusi. In mancanza, la normativa va disapplicata. Questo è quanto emerge dalla sentenza causa C-798/24 della CGUE che ha stabilito che il diritto dell'Unione non richiede la pubblicazione dei dati e delle informazioni relativi agli azionisti di una società per azioni, inclusi gli azionisti di minoranza.

È in vista del traguardo, per i consumatori, la disciplina del risarcimento da prodotto difettoso estesa ai sistemi AI. Nelle norme di attuazione della delega disposta dalla L. 132/2025 si profila la presunzione di colpa agganciata alle violazioni dell’AI act. Ma le imprese non sono d’accordo e chiedono regole parametrate al livello di rischio dei sistemi.

Prima di punire una pratica commerciale scorretta, consistente in una lacunosa informativa sul trattamento delle informazioni, l’Autorità Antitrust deve sentire il Garante della Privacy. In mancanza, la sanzione è nulla. Il principio è estensibile alle altre Autorità amministrative. Ampliate le possibilità difensive per le imprese.

L’AI Act non obbliga alla correzione delle distorsioni prodotte dai sistemi di AI. Quando gli output riguardino dati personali, si applica il GDPR che impone la rettifica delle informazioni inesatte.

Il GDPR impone ai committenti di svolgere effettive revisioni e ispezioni sul trattamento dei dati operato dal responsabile esterno. Nei contratti di outsourcing vanno inserite clausole sugli indici di anomalie “privacy” e sulle conseguenti modalità di controllo.

Nella gestione dei sistemi di AI, le imprese devono realizzare un doppio livello di adeguamenti: ciò vale, ad esempio, per la valutazione di impatto sui diritti, per la trasparenza e per la sorveglianza umana. Inoltre, se alcuni termini dell’AI Act sono stati prorogati dal Digital Omnibus, gli omologhi previsti dal GDPR sono già vigenti; e non vanno dimenticati.

La privacy influenza la validità e l’esecuzione dei contratti commerciali. Sono, ormai, molti i casi in cui il rispetto del GDPR (Regolamento UE sulla privacy 2016/679) incide sull’autonomia negoziale, sia nei rapporti B2B sia nei rapporti B2C.

L’EDPB ha elaborato un modello di notificazione dei data breach, con descrizioni più dettagliate delle violazioni dei dati personali. Tra i soggetti notificanti viene inserito il DPO. In parallelo si attendono le semplificazioni dell’adempimento per le microimprese e le revisioni del “Digital Omnibus”.

Nel 2025 in Italia non è stato approvato nessun codice di condotta e dal 2018 sono 6 i codici approvati. L’istituto fa pochi numeri in tutta la UE. Ma le imprese hanno bisogno di norme precise per l’applicazione del Gdpr.

Nel caso in cui un sistema di AI fornisca risposte sbagliate o offensive, al fornitore può essere ordinato di rimuoverle. L’AI, infatti, elabora autonomamente le informazioni. I Tribunali cominciano a occuparsi delle responsabilità connesse alle AI.

Per rimediare alle allucinazioni delle intelligenze artificiali, il regolamento correttivo dell’AI Act permette di usare dati senza il consenso dell’interessato. Tuttavia, le imprese sono tenute a obblighi di sicurezza e di minimizzazione. Emerge il dilemma se nel contesto dell’AI il diritto di oblio sulle informazioni errate possa essere effettivamente esercitato.

La mancata collaborazione con l’autorità di controllo espone a sanzione amministrativa fino a 20 milioni di euro, ma sull’importo le norme UE e quelle italiane sono disallineate. È indispensabile trovare un bilanciamento tra dovere di cooperare e diritto a non autoaccusarsi.

La comunicazione di dati dei dipendenti ai sindacati deve avere una base giuridica. Il contratto collettivo non è sempre sufficiente, occorrono indirizzi precisi per evitare alle imprese l’esposizione alla doppia alea dell’imputazione di condotte antisindacali (per scarsa trasparenza) e quella di lesione della privacy dei dipendenti (per eccessiva trasparenza).

Il D.Lgs. 96/2026 limita la conoscibilità dei livelli retributivi dei singoli lavoratori. La tutela della privacy (del lavoratore con il salario parametro di confronto) contrasta con il diritto di difesa del lavoratore, in ipotesi sfavorito, interessato a portare prove piene in giudizio. Il bilanciamento tra le 2 esigenze è precario.

Il mantenimento della casella di posta in uso al dipendente per l’esercizio di un diritto va motivato in maniera specifica nei singoli casi. In generale, per minimizzare i rischi di violazione della privacy del lavoratore è opportuno considerare che la posta elettronica è equiparabile a una buca delle lettere e non a un dossier di archiviazione.

Dal cd. Decreto Sicurezza 2026 (DL 23/2026) arriva una forte spinta ad adottare sistemi di accertamento del requisito anagrafico eventualmente richiesto per accedere ai servizi digitali: in caso di violazioni si rischia il raddoppio delle sanzioni. Necessarie, ora, linee guida dettagliate di ausilio all’accountability delle imprese.

L’assenza di diretti elementi identificativi nei dati trattati esonera, a certe condizioni, dall’applicazione del GDPR, creando spazi di manovra per le imprese, con una minore esposizione a sanzioni. Aumenta, però, il rischio di affievolire le tutele per gli interessati, sempre più identificabili usando l’AI.

Il legittimo interesse di un’azienda a trattare dati personali, senza necessità del preventivo consenso dell’interessato, deve essere messo nero su bianco attraverso una LIA (Legitimate Interest Assessment, valutazione del legittimo interesse) altrimenti l’attività è illecita e sanzionabile. Per mettersi in regola è utile consultare i provvedimenti del Garante della Privacy ante GDPR.