L’introduzione dei sistemi di Intelligenza Artificiale nei flussi aziendali non è un mero processo tecnologico, bensì un’operazione ad alto impatto giuridico. Troppo spesso i Consigli di amministrazione approcciano l’adozione dell’AI con logica parcellizzata, trascurando che l’impiego degli algoritmi attiva contemporaneamente a più livelli framework normativi differenti: il GDPR (Regolamento UE 2016/679), la direttiva NIS2 (Direttiva UE 2022/2555) e il recente quadro delineato dal Regolamento AI Act (Regolamento UE 2024/1689).
Delineare una corretta strategia aziendale significa superare l’idea della conformità come adempimento meramente burocratico e comprendere le intersezioni tra tutela dei dati, sicurezza delle infrastrutture e governance degli algoritmi.
Il governo del dato tra GDPR e AI Act
L’alimentazione dei modelli di intelligenza artificiale, sia in fase di training sia in fase di deployment o prompting, può comportare il trattamento di dati personali. Tale attività deve conformarsi ai principi previsti dall’articolo 5 del GDPR, con particolare riguardo ai canoni di liceità, trasparenza e minimizzazione.
Sotto il profilo giurisprudenziale e dottrinale, la Corte di Giustizia dell’Unione Europea (C-252/21, Meta Platforms v. Bundeskartellamt) ha ribadito la necessità di una rigorosa individuazione e separazione delle basi giuridiche quando i dati vengono riutilizzati per finalità ulteriori rispetto a quelle di raccolta, come l’addestramento di modelli IA. Il ricorso al "legittimo interesse" ex art. 6, par. 1, lett. f) GDPR per l’addestramento dei modelli impone un bilanciamento documentato (Legitimate Interest Assessment), in linea con le indicazioni fornite dal Comitato Europeo per la Protezione dei Dati (EDPB) nella Opinion 28/2024 e nelle Guidelines 1/2024.
Sul piano delle decisioni automatizzate, l’articolo 22 del GDPR sancisce il diritto dell’interessato di non essere sottoposto a decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici o incidano analogamente sulla sua persona. L’impiego di algoritmi idonei ad incidere in modo significativo sulla persona, a prescindere dal settore, richiede una supervisione umana (human-in-the-loop):si pensi, a titolo esemplificativo, solo ad alcune delle attività connesse, come lo scoring del personale, alla valutazione della solvibilità o all’accesso a servizi essenziali, ambiti nei quali la Corte di Giustizia europea (C-634/21) ha chiarito che anche la sola attribuzione automatizzata di un punteggio può costituire una decisione ex art. 22. Per questi motivi, la supervisione dev’essere effettiva e dotata di un reale potere correttivo, elemento richiamato espressamente dall’articolo 14 dell’AI Act in tema di controllo umano.
L’orientamento delle Autorità di controllo nazionali conferma il rigore applicativo, in quanto i provvedimenti emessi dal Garante per la protezione dei dati personali nei confronti di note piattaforme generative (tra cui il Provvedimento n. 755/2024 e il recente Provvedimento n. 487/2026 sui servizi ad alta incidenza automatizzata) evidenziano che la mancanza di una valutazione preventiva d’impatto (DPIA ex art. 35 GDPR) o la carenza di trasparenza nelle informative ex artt. 13 e 14 GDPR inficiano la legittimità dell’intero trattamento.
Rischi informatici e continuità operativa nella Direttiva NIS2
Mentre il GDPR focalizza la tutela sui diritti della persona fisica, la Direttiva NIS2 sposta il baricentro normativo sulla gestione del rischio e sulla continuità dei servizi per i soggetti essenziali e importanti.
Un sistema di IA integrato nei processi aziendali costituisce un elemento critico della superficie di attacco. Le vulnerabilità tipiche dei modelli algoritmici — quali i fenomeni di Prompt Injection (manipolazione degli input per l’estrazione indebita di dati) o di Data Poisoning (corruzione dei dataset d’addestramento) — non rappresentano soltanto minacce alla privacy, ma veri e propri incidenti di sicurezza rilevanti ai sensi dell’articolo 21 della Direttiva NIS2.
La normativa impone ai soggetti rientranti nel suo ambito di applicazione di garantire la sicurezza della catena di fornitura (Supply Chain Security). Quando l’azienda integra API o soluzioni Software-as-a-Service (SaaS) basate su IA forniti da terzi, risponde direttamente della mancata verifica dei requisiti di sicurezza dell’infrastruttura del fornitore. Gli organi di amministrazione, in forza dell’articolo 20 della Direttiva NIS2, assumono una responsabilità diretta per l’approvazione e la vigilanza sulle misure di gestione dei rischi informatici, rendendo la sicurezza dell’IA un tema di diretta pertinenza del CdA.
Dalla teoria alla pratica: la convergenza della conformità
L’integrazione sul piano operativo di GDPR, NIS2 e AI Act richiede una visione d’insieme capace di coniugare adempimenti diversi ma convergenti.
I processi aziendali devono prevedere una mappatura esaustiva dei sistemi di intelligenza artificiale impiegati, distinguendo il ruolo ricoperto dall’organizzazione tra provider e deployer ex art. 3 dell’AI Act. In fase di progettazione, la conduzione della Data Protection Impact Assessment (DPIA) ex art. 35 GDPR può, in determinati casi, integrarsi con la valutazione dei rischi fondamentali (Fundamental Rights Impact Assessment - FRIA ex art. 27 AI Act) e con le analisi di impatto sulla continuità operativa richieste dalla NIS2.
Parallelamente, l’adozione di un disciplinare interno (AI Use Policy) per prevenire l’utilizzo non autorizzato di strumenti esterni (Shadow AI) e l’adempimento dell’obbligo di formazione del personale (previsto dall’art. 4 dell’AI Act e integrato nell’ordinamento nazionale con la L. 132/2025) costituiscono le misure minime per attenuare la responsabilità dell’ente.
Considerazioni conclusive
Trattare l’Intelligenza Artificiale come una variabile esclusivamente tecnologica espone l’azienda a contestazioni amministrative, sanzioni e gravi danni alla reputazione. L’armonizzazione tra tutela dei dati personali, sicurezza cibernetica e conformità algoritmica impone un approccio basato sulla prevenzione del rischio (Risk-Based Approach).
Soltanto strutturando una governance trasparente e documentata l’impresa potrà cogliere le opportunità dell’innovazione tecnologica mantenendo la piena conformità con il quadro regolatorio europeo.
