Il GDPR è già oggi il modello normativo più avanzato al mondo in materia di responsabilizzazione ("accountability") delle aziende sui dati personali.
Tuttavia, da solo non basta a governare i rischi introdotti dall'intelligenza artificiale, che può dedurre informazioni sensibili salute, religione, orientamento politico, anche partendo da dati apparentemente innocui.
La risposta europea a questo gap è l'integrazione tra GDPR e AI Act, che introduce obblighi specifici su trasparenza, valutazione del rischio e governance degli algoritmi ad alto rischio.
Un editoriale del Wall Street Journal firmato da Daniel J. Solove (23 giugno 2026) autore del libro "On Privacy and Technology" solleva un punto che chi si occupa di data protection conosce bene: la maggior parte delle leggi sulla privacy nel mondo mette l'onere sulla persona, chiedendole di "controllare" i propri dati attraverso il consenso.
Ma nell'era digitale e ancora di più nell'era dell'IA, questo modello è irrealistico. Nessuno legge davvero le informative privacy, e nessuno può prevedere che dati su acquisti innocui possano rivelare, tramite un algoritmo, informazioni su salute o convinzioni personali.
La soluzione proposta è un cambio di paradigma: spostare la responsabilità dalla persona all'azienda, sul modello delle normative su sicurezza alimentare e automobilistica. Test preventivi. Responsabilità legale in caso di danno. Accountability reale, non solo formale.
Chi lavora quotidianamente con il GDPR riconosce in questa proposta principi già presenti nel regolamento europeo:
Su questi punti, il modello europeo è già la risposta che l'articolo americano auspica.
Il GDPR condivide però un limite strutturale con le leggi criticate nell'articolo: si appoggia ancora molto al consenso informato come base giuridica (art. 6.1.a, art. 7).
I cookie banner ne sono l'esempio più concreto e spesso, nella pratica, degenerano in dark pattern: interfacce progettate per indurre l'utente a un consenso che non comprende davvero.
Il limite più significativo, però, riguarda proprio l'IA.
Il GDPR è stato concepito per regolare la raccolta dei dati, non l'inferenza.
Un sistema di IA può dedurre categorie particolari di dati (art. 9: salute, religione, orientamento sessuale, opinioni politiche) senza mai raccoglierle direttamente, semplicemente incrociando dati ordinari con modelli predittivi. Questo scenario, centrale nell'articolo di Solove, non è pienamente coperto dal solo GDPR.
È qui che entra in gioco l'AI Act europeo, che introduce esattamente ciò che manca:
La vera sfida per i prossimi anni non è quindi scegliere tra GDPR e AI Act, ma farli funzionare insieme in modo coerente: DPIA e valutazioni di conformità AI Act che si parlano, basi giuridiche chiare per i trattamenti che alimentano modelli di IA, e governance unificata del rischio algoritmico e del rischio privacy.
Per le organizzazioni che utilizzano o sviluppano sistemi di IA, inclusi quelli integrati in ambienti SAP per analisi predittive, HR analytics o customer intelligence, questo significa:
Il GDPR è sufficiente a regolare i rischi privacy dell'intelligenza artificiale?
No. Il GDPR regola efficacemente la raccolta e il trattamento dei dati personali, ma non è stato concepito per governare l'inferenza algoritmica, cioè la capacità dell'IA di dedurre informazioni sensibili (salute, religione, orientamento politico) da dati ordinari senza raccoglierle direttamente. Per questo è necessaria l'integrazione con l'AI Act.
Qual è la differenza tra GDPR e AI Act?
Il GDPR disciplina il trattamento dei dati personali (raccolta, conservazione, finalità, basi giuridiche).
L'AI Act disciplina i sistemi di intelligenza artificiale in base al livello di rischio, imponendo obblighi di trasparenza, valutazione di conformità e gestione del rischio algoritmico prima e dopo l'immissione sul mercato. I due regolamenti si sovrappongono quando un sistema di IA elabora dati personali.
Cosa si intende per "accountability" nel GDPR?
È il principio (art. 5.2 e art. 24 GDPR) per cui il titolare del trattamento deve dimostrare attivamente, e non solo dichiarare, di essere conforme alla normativa: attraverso policy, valutazioni di impatto, registri dei trattamenti e misure tecniche e organizzative adeguate.
Cos'è una DPIA e quando serve per sistemi di IA?
La Data Protection Impact Assessment (art. 35 GDPR) è una valutazione preventiva dei rischi per i diritti e le libertà delle persone. Va estesa ai sistemi di IA che elaborano dati personali, includendo scenari di inferenza e non solo di raccolta diretta, specialmente per trattamenti su larga scala o che usano nuove tecnologie.
I dark pattern nei cookie banner sono conformi al GDPR?
No. Un dark pattern è un'interfaccia progettata per indurre l'utente a un consenso che non comprende pienamente. Il Comitato Europeo per la Protezione dei Dati (EDPB) considera queste pratiche in contrasto con i requisiti di consenso libero, specifico e informato previsti dall'art. 7 GDPR.
Come devono prepararsi le aziende all'integrazione tra GDPR e AI Act?
Mappando dove i sistemi di IA elaborano dati personali, estendendo le DPIA agli scenari di inferenza, classificando il rischio dei sistemi di IA in coordinamento con il registro dei trattamenti, e costruendo una governance unificata tra le funzioni privacy, IT security e compliance IA.
Il dibattito americano sulla necessità di responsabilizzare le aziende, anziché scaricare l'onere sugli individui, in Europa è già in parte tradotto in norma.
Ma la vera partita si gioca ora sull'integrazione tra GDPR e AI Act: solo un approccio coordinato può davvero governare i rischi di un'intelligenza artificiale capace di dedurre ciò che le persone non hanno mai scelto di condividere.