AI Act e GDPR: rapporti, sovrapposizioni e differenze

Due regolamenti europei convivono nella stessa azienda: il GDPR sui dati personali, l'AI Act sui sistemi di intelligenza artificiale. Ecco come si parlano, dove si sommano, dove si distinguono.

Due regolamenti, due oggetti diversi

Il GDPR — il Regolamento (UE) 2016/679 in vigore dal 2018 — disciplina il trattamento dei dati personali. Quando un'azienda raccoglie, usa, conserva o trasmette informazioni riferite a persone fisiche identificate o identificabili, il GDPR si applica. L'AI Act — il Regolamento (UE) 2024/1689 — disciplina invece i sistemi di intelligenza artificiale, indipendentemente dal fatto che trattino o meno dati personali. Sono due testi normativi che condividono l'origine europea ma rispondono a logiche diverse: il GDPR protegge la persona dal trattamento dei suoi dati, l'AI Act protegge la persona (e la società) dai rischi tipici dei sistemi di IA, che esistono anche quando questi non trattano dati personali.

Il considerando 9 dell'AI Act è esplicito: il Regolamento non pregiudica il GDPR, che continua ad applicarsi a tutti i trattamenti di dati personali, inclusi quelli effettuati con sistemi di IA. I due regimi si sovrappongono parzialmente — perché molti sistemi di IA trattano dati personali — ma non si sostituiscono l'uno all'altro. Nella zona di sovrapposizione, entrambi si applicano cumulativamente, e l'azienda deve rispettare tutti gli obblighi previsti da entrambi.

Quando si applicano entrambi

Si pensi a un sistema HR che ordina automaticamente i curriculum sulla base della loro affinità con un'offerta di lavoro. Questo sistema tratta dati personali dei candidati (nome, formazione, esperienze, recapiti), quindi rientra nel GDPR. Allo stesso tempo, è un sistema di IA usato in ambito di lavoro, quindi rientra nell'Allegato III dell'AI Act ed è qualificato come ad alto rischio. L'azienda deve quindi simultaneamente: definire una base giuridica per il trattamento ai sensi dell'art. 6 GDPR, fornire l'informativa ai candidati ex artt. 13-14 GDPR, garantire i diritti dell'interessato ex artt. 15-22 GDPR, condurre una DPIA ex art. 35 GDPR e — dall'agosto 2026 — anche una FRIA ex art. 27 AI Act, garantire la supervisione umana ex art. 14 AI Act, mantenere la documentazione tecnica ex art. 11 AI Act, e così via.

La sovrapposizione tocca aspetti delicatissimi: la base giuridica per addestrare un modello di IA con dati personali, il rapporto tra l'art. 22 GDPR (decisioni automatizzate) e l'AI Act, la coesistenza di DPIA e FRIA, il diritto di opposizione ex art. 21 GDPR rispetto agli obblighi di trasparenza e supervisione dell'AI Act. Sono aree dove la giurisprudenza europea sta ancora prendendo forma e dove un errore di impostazione si paga caro. L'EDPB ha affrontato alcuni di questi profili nella Opinion 28/2024 del 17 dicembre 2024 sul trattamento dei dati personali nel contesto dei modelli di IA.

Le tre questioni più delicate per le aziende

Dal lavoro quotidiano con i clienti emergono tre nodi che meritano un approfondimento particolare. Il primo è la scelta della base giuridica per il trattamento dei dati personali. Quando un sistema di IA tratta dati di clienti, dipendenti o candidati, occorre individuare una delle basi previste dall'art. 6 GDPR: il consenso, l'esecuzione di un contratto, l'obbligo di legge, l'interesse vitale, l'esercizio di un compito di interesse pubblico, il legittimo interesse. La scelta non è libera: dipende dalla natura del trattamento, dal soggetto coinvolto, dalle aspettative ragionevoli. Le Linee guida EDPB 05/2020 sul consenso e i precedenti orientamenti del Gruppo Art. 29 sono chiari nel limitare l'uso della base contrattuale per attività di profilazione.

Il secondo nodo è il rapporto tra l'art. 22 del GDPR e l'AI Act. L'art. 22 stabilisce un divieto generale — salvo eccezioni — di sottoporre una persona a una decisione basata unicamente sul trattamento automatizzato, inclusa la profilazione, che produca effetti giuridici o incida significativamente sulla persona. Le Linee guida WP251 rev.01 del Gruppo Art. 29 (adottate il 3 ottobre 2017 e riviste il 6 febbraio 2018) chiariscono che l'art. 22, par. 1, si configura come un divieto — non come un mero diritto da invocare — e che le eccezioni dei paragrafi 2 e 3 sono tassative. La Corte di Giustizia dell'Unione Europea, nella sentenza SCHUFA (C-634/21 del 7 dicembre 2023), ha chiarito che lo scoring di credito automatizzato può rientrare nell'art. 22 anche quando la decisione finale è formalmente presa dall'umano, se questi si limita a recepire il risultato del sistema. La compresenza di un sistema ad alto rischio e di un trattamento automatizzato significativo richiede un'analisi attenta di tutte le garanzie applicabili.

Il terzo nodo è il rapporto tra DPIA e FRIA. La Valutazione d'Impatto sulla Protezione dei Dati (DPIA, art. 35 GDPR) è obbligatoria per i trattamenti ad alto rischio per i diritti e le libertà delle persone fisiche; le Linee guida WP248 rev.01 individuano nove criteri che, se presenti in numero significativo, fanno presumere il rischio elevato. La Valutazione d'Impatto sui Diritti Fondamentali (FRIA, art. 27 AI Act) è obbligatoria per gli utilizzatori di sistemi ad alto rischio in determinati settori. Le due valutazioni hanno presupposti, metodi e contenuti diversi, ma possono e devono essere integrate quando si applicano entrambe, per evitare duplicazioni e incoerenze. Il considerando 96 dell'AI Act incoraggia esplicitamente questa integrazione.

Le autorità che vigilano

La sovrapposizione tra i due regolamenti si riflette anche sul piano delle autorità di vigilanza. Il GDPR è applicato in Italia dal Garante per la protezione dei dati personali. L'AI Act prevede invece un'architettura più complessa: a livello europeo, l'Ufficio europeo per l'IA (AI Office) e il Comitato europeo per l'IA. A livello nazionale, la Legge 132/2025 (art. 20) ha designato l'Agenzia per l'Italia Digitale (AgID) e l'Agenzia per la Cybersicurezza Nazionale (ACN), pur mantenendo le competenze del Garante per gli aspetti che riguardano i dati personali e quelle di Banca d'Italia, CONSOB e IVASS nei rispettivi settori di vigilanza. Le aziende possono quindi trovarsi a interloquire con più autorità per profili diversi della stessa attività.

Come iusprivacy gestisce la sovrapposizione

Il valore aggiunto di iusprivacy.eu in questo contesto sta nell'integrazione metodologica: lo staff lavora da anni sul GDPR e nel 2025-2026 ha esteso la propria metodologia anche all'AI Act, sviluppando strumenti che permettono di gestire i due regimi in modo coordinato. Quando si assiste un cliente nell'adeguamento all'AI Act, il primo passo è ricostruire la situazione di compliance GDPR esistente, individuare le sovrapposizioni, costruire un piano integrato che eviti duplicazioni inutili e identifichi con precisione gli obblighi aggiuntivi imposti dall'AI Act.

Lo staff combina competenze giuridiche (avvocati specializzati in diritto della protezione dei dati e diritto dei consumatori, Maestri della Protezione dei Dati certificati) con competenze tecniche (ingegneri informatici, sviluppatori senior), in modo da poter affrontare gli aspetti legali e tecnici dei due regolamenti nello stesso percorso di consulenza.