GDPR e Codice privacy Reg. (UE) 2016/679

Il GDPR si applica a ogni trattamento di dati personali, compresi quelli usati per addestrare, alimentare o interrogare un sistema di AI. Conta il ruolo: il titolare decide finalità e mezzi del trattamento, il responsabile tratta i dati per conto del titolare (art. 28). Una software house che gestisce un assistente per i propri clienti è di norma responsabile; se riusa quei dati per scopi propri, per esempio per addestrare un modello, diventa titolare di quel trattamento, con tutti gli obblighi che ne seguono.

Vale anche per chi è stabilito fuori dall’Unione, se offre beni o servizi a persone che si trovano nell’UE o ne monitora il comportamento (art. 3, par. 2). In Italia il GDPR si applica direttamente, insieme al Codice privacy (D.Lgs. 196/2003, come modificato dal D.Lgs. 101/2018), che ne completa alcune parti: fra le altre, le basi giuridiche per i trattamenti di interesse pubblico, le misure di garanzia per dati genetici, biometrici e relativi alla salute (art. 2-septies) e la ricerca medica (art. 110).

Il GDPR non ha un capitolo sull’intelligenza artificiale: le chiede le stesse cose che chiede a ogni trattamento, e ognuna diventa una scelta di progetto.

Base giuridica e finalità, prima del codice

La prima domanda non è tecnica: per quale finalità usi i dati e su quale base. Dati raccolti per gestire un rapporto di lavoro, una pratica o una cura non diventano dati di addestramento perché sono già in casa. Le nuove linee guida EDPB sul web scraping per l’AI generativa ricordano che, se fra i dati raccolti ci sono categorie particolari, servono sia una base dell’art. 6 sia un’eccezione dell’art. 9, par. 2, e che non esiste un’esenzione generale dall’art. 9.

DPIA e art. 22

La valutazione d’impatto si fa prima di mettere in produzione, non dopo. E se l’output del sistema decide di fatto un esito che pesa sulla persona, l’art. 22 si applica anche quando formalmente una persona firma: la Corte di giustizia, nella sentenza SCHUFA (C-634/21, 7 dicembre 2023), ha considerato decisione automatizzata il calcolo di un punteggio da cui il terzo fa dipendere in modo determinante la propria scelta. Nel lavoro l’Italia è andata oltre: con il D.Lgs. 179/2026 nessuna decisione finale sul rapporto di lavoro può basarsi solo su un trattamento automatizzato e il consenso del lavoratore non è un’eccezione.

Il diritto alla cancellazione su un vector store

In un sistema RAG il dato personale non sta in un posto solo. Il documento originale viene spezzato in frammenti, trasformato in embedding, indicizzato, citato nei log e a volte copiato in cache. Gli embedding calcolati da testi che contengono dati personali restano dati personali: la richiesta di cancellazione dell’art. 17 va eseguita ovunque il dato si è propagato, e va dimostrato di averlo fatto. Tre tecniche lo rendono possibile:

• Namespace per soggetto — i vettori che riguardano una persona stanno in una partizione identificabile, così la cancellazione è un’operazione mirata e non una ricerca per somiglianza.
• Tracciamento delle propagazioni — un registro che collega ogni documento sorgente ai frammenti, ai vettori, alle cache e ai dataset che ne derivano, e che guida la retention.
• Crypto-shredding — i dati di ogni soggetto sono cifrati con una chiave propria; distruggere la chiave rende illeggibili anche le copie che non si riescono a raggiungere, come i backup.

Lo stesso tracciamento serve ad accesso, rettifica e portabilità (artt. 15, 16, 20): se non sai dove è finito un dato, non puoi neppure dire all’interessato quali dati tratti.

«Me lo accollo io» non funziona

Chi sviluppa e gestisce per altre aziende un gestionale, o un assistente, che tratta pagamenti, documenti d’identità, firme o dati dei dipendenti ha obblighi propri: è responsabile del trattamento (art. 28), deve adottare misure di sicurezza adeguate (art. 32) e risponde dei danni verso gli interessati (art. 82). Nessun accordo privato li sposta, perché i dati sono delle persone, clienti dei tuoi clienti, che quell’accordo non l’hanno firmato. Il rischio che un fornitore si «accolla» per chiudere il contratto scivola lungo la catena e torna a chi ha costruito il sistema quando qualcosa si rompe.

Trasferimenti fuori dall’UE

Chiamare un modello erogato da un fornitore extra-UE, o ospitato su un’infrastruttura soggetta a un’altra giurisdizione, è un trasferimento o lo rende possibile. Dopo la sentenza Schrems II (C-311/18) chi esporta dati deve valutare se la legislazione del paese di destinazione consente di rispettare le garanzie scelte. Per gli Stati Uniti oggi c’è la decisione di adeguatezza sul Data Privacy Framework (Decisione di esecuzione (UE) 2023/1795), che vale solo per le organizzazioni certificate e dipende da un quadro giuridico statunitense che può cambiare. Una regione «UE» di un servizio cloud non è, da sola, una risposta: contano anche i sub-responsabili e chi può accedere ai dati.

Il Garante per la protezione dei dati personali applica il GDPR in Italia e sull’AI ha già sanzionato: 15 milioni di euro a OpenAI nel dicembre 2024, 20 milioni a Clearview AI. Il caso più rilevante per chi lavora con dati sanitari è del 2026.

Con il provvedimento n. 710 del 23 settembre 2026 il Garante ha sanzionato IQVIA Solutions Italy per 7 milioni di euro. La società aveva costituito una banca dati con informazioni sulla salute di circa un milione di pazienti di 800 medici di medicina generale e la riteneva anonima. Per il Garante non lo era: il codice associato a ogni paziente consentiva di seguirlo nel tempo e, unito a dati molto dettagliati (anno di nascita, sesso, diagnosi, prescrizioni, esami, dati di localizzazione), rendeva possibile isolare i singoli e reidentificarli con mezzi ragionevoli. Il provvedimento contesta anche l’assenza di base giuridica idonea, di informativa adeguata, di tempi di conservazione, di valutazione d’impatto e di misure di sicurezza adeguate.

La lezione per chi progetta pipeline di dati è precisa: pseudonimo non vuol dire anonimo. Un identificativo stabile che permette di collegare record nel tempo tiene i dati dentro il GDPR, con tutto ciò che ne segue.

Nella stessa direzione vanno le linee guida dell’EDPB adottate l’8 luglio 2026: le 02/2026 sull’anonimizzazione e le 03/2026 sul web scraping per l’AI generativa, in consultazione pubblica fino al 30 ottobre 2026. Le prime propongono tre criteri per verificare che un dato sia anonimo: nessun isolamento del singolo record, nessun collegamento con altre fonti, nessuna inferenza sulla persona. Sono ancora in consultazione, quindi il testo può cambiare, ma indicano il metro con cui le autorità valuteranno le dichiarazioni di anonimato.

Da tenere presenti anche due interventi del Garante vicini a questi sistemi: il termine del 29 ottobre 2026 per adeguare l’uso dei pixel di tracciamento nelle email e l’avvertimento sui deepfake del dicembre 2025.

Oggi è legge il GDPR come lo conosci, con il Codice privacy. La proposta di Digital Omnibus sui dati (COM(2025) 837) non ha ancora cambiato nulla.

Il Consiglio ha adottato l’orientamento generale il 21 ottobre 2026; mancano la posizione del Parlamento europeo e i triloghi, e il testo finale può essere diverso. Progetta sulle regole in vigore. Il dettaglio è nella pagina sul Digital Omnibus.

È invece già legge una novità che tocca il GDPR dal lato dell’AI Act: il Reg. (UE) 2026/1744 ha inserito nell’AI Act l’art. 4 bis, che consente ai fornitori di sistemi ad alto rischio di trattare eccezionalmente categorie particolari di dati per rilevare e correggere le distorsioni, solo se non bastano dati sintetici o anonimizzati e con garanzie precise (pseudonimizzazione, accessi controllati, nessuna comunicazione a terzi, cancellazione a correzione avvenuta, motivazione nei registri dei trattamenti). Si somma al GDPR, non lo sostituisce.

• AI Act — governance dei dati per l’alto rischio (art. 10), log (art. 12), trasparenza (art. 50). Il Garante è autorità per l’AI Act solo nei casi dell’art. 74(8); sul GDPR mantiene tutti i suoi poteri.
• Legge 132/2025 — in sanità, l’uso secondario per la ricerca di dati privi di identificativi diretti senza nuovo consenso, con comunicazione al Garante e avvio decorsi 30 giorni se il Garante non lo blocca (art. 8).
• D.Lgs. 179/2026 — decisioni sul rapporto di lavoro, diritto a una motivazione intelligibile, AI nel documento di valutazione dei rischi.
• Direttiva prodotti difettosi — fra i danni risarcibili c’è anche la distruzione o corruzione di dati non usati a fini professionali; la direttiva lascia impregiudicato il GDPR, quindi le due responsabilità si cumulano.
• EHDS e Data Act — regole sull’accesso e sul riuso dei dati che non sostituiscono la base giuridica del GDPR.

Un deliverable fatto bene copre più norme: il registro delle propagazioni che rende possibile la cancellazione è lo stesso audit trail che serve all’AI Act e, in un giudizio, alla prova di cosa il sistema ha fatto.

• «Abbiamo tolto i nomi, quindi è anonimo». Un codice persistente che consente di seguire una persona nel tempo lascia i dati nel GDPR: è quello che il Garante ha stabilito nel caso IQVIA.
• «Gli embedding sono solo numeri». Se derivano da dati personali vanno trattati come dati personali, e la cancellazione deve raggiungerli.
• «Decide sempre una persona». Se la persona si limita a ratificare l’output, la decisione è di fatto automatizzata e si applica l’art. 22.
• «Il contratto mette tutto in capo al cliente». Gli obblighi del responsabile (artt. 28 e 32) e la responsabilità verso gli interessati (art. 82) non si trasferiscono per contratto.
• «Il GDPR impone di tenere i dati in Italia». Non impone la residenza dei dati: regola i trasferimenti. Tenere i dati in UE semplifica, ma non sostituisce le altre scelte.
• «Con l’Omnibus le violazioni si notificano in 96 ore». È il contenuto di una proposta, non della legge. Oggi il termine è 72 ore.