Protezione dei dati in accordo con l’AI Act: il nuovo quadro europeo per un’intelligenza artificiale responsabile

AI Act e protezione dei dati: come funziona?

L’AI Act, lo ricordiamo, è una normativa europea approvata nel maggio 2024, volta a disciplinare lo sviluppo, l’immissione sul mercato e l’uso dei sistemi di intelligenza artificiale nell’Unione Europea.

La sua peculiarità è l’approccio basato sul rischio, che classifica i sistemi di IA a seconda della loro potenziale pericolosità per la sicurezza e i diritti delle persone, introducendo obblighi specifici per garantire un utilizzo trasparente e responsabile di queste tecnologie.

Non sostituisce ma si affianca al GDPR, il regolamento già esistente che tutela in modo ampio i dati personali; insieme, creano un quadro normativo completo che mira a un equilibrio tra innovazione e rispetto dei diritti fondamentali.

Dal 2 agosto 2025, chi sviluppa e immette sul mercato UE i grandi modelli di AI generativa dovrà aderire a un framework di trasparenza e gestione del rischio. A giugno 2025 le aziende europee hanno chiesto il posticipo degli obblighi più stringenti. Ma l’Europa va avanti

AI Act e protezione dei dati

Per quanto riguarda la protezione dei dati, l’AI Act si concentra innanzitutto su dati personali trattati tramite sistemi di IA, che spesso includono informazioni sensibili come dati biometrici, dati sanitari, dati finanziari o profili comportamentali.
L’atto richiede ai cosiddetti “deployer” (coloro che utilizzano sistemi di IA) di condurre valutazioni approfondite sul rischio di impatto sui diritti fondamentali (nota come FRIA) nei casi di sistemi ad alto rischio, come quelli usati per la selezione del personale, il credito o la valutazione assicurativa. Tale valutazione integra la già obbligatoria valutazione di impatto sulla protezione dei dati personali prevista dal GDPR (DPIA), obbligatoria quando il trattamento comporta uso di nuove tecnologie che possono incidere significativamente sui diritti delle persone.

I requisiti

Il modo in cui l’AI Act protegge i dati passa attraverso requisiti di trasparenza, sicurezza e responsabilità. Ad esempio, deve essere garantito che i dati utilizzati siano accurati e pertinenti, e che i sistemi di IA siano progettati per minimizzare i rischi di discriminazione o violazioni dei diritti umani. Sono inoltre previsti obblighi di registrazione, controllo e audit, specialmente per sistemi classificati come “ad alto rischio”. Questo crea un meccanismo che obbliga sviluppatori e utilizzatori di IA a rispettare standard elevati di trattamento dei dati e di tutela della privacy.

Focus sui dati: le ragioni

Le ragioni per cui un regolamento come l’AI Act dedica una specifica attenzione ai dati sono molteplici. Innanzitutto, l’intelligenza artificiale si basa su enormi quantità di dati per “imparare” e operare, ma questo processo può facilmente esporre a rischi quali discriminazioni algoritmiche, profilazioni invasive e violazioni della riservatezza. In secondo luogo, la complessità e opacità di molti modelli di IA rendono necessario un controllo regolamentare per evitare abusi e garantire che l’IA operi nel rispetto dei valori democratici, della dignità e della sicurezza di ogni cittadino. Infine, una regolamentazione chiara è anche uno stimolo per la competitività e l’innovazione etica, favorendo la fiducia da parte di utenti e consumatori.

I distinguo con il GDPR

È importante sottolineare che, nonostante l’AI Act stabilisca regole specifiche sull’uso dell’IA, la tutela primaria dei dati personali resta affidata al GDPR, che regola in modo dettagliato i principi del trattamento, la liceità, la minimizzazione, la trasparenza e i diritti degli interessati. L’AI Act, quindi, non sostituisce ma integra il GDPR, apportando elementi centrati sulle peculiarità e i rischi specifici dell’intelligenza artificiale.

Quali tipi di dati personali sono più a rischio secondo l’AI Act

Secondo l’AI Act, i tipi di dati personali più a rischio sono quelli che possono generare un impatto significativo o discriminatorio sui diritti e le libertà delle persone, in particolare:

• Dati biometrici utilizzati per identificazione o categorizzazione (es. riconoscimento facciale “in tempo reale” in spazi pubblici, sistemi di riconoscimento delle emozioni o raccolta non mirata di immagini biometriche).
• Categorie particolari di dati personali, come dati relativi alla salute, origine razziale o etnica, orientamento sessuale, convinzioni politiche o religiose, spesso definiti anche “dati sensibili”.
• Dati utilizzati per sistemi di scoring sociale, ovvero punteggi che classificano persone in base al loro comportamento sociale o caratteristiche individuali, vietati perché implicano rischi elevati di discriminazione e violazioni dei diritti fondamentali7.
• Dati impiegati in applicazioni “ad alto rischio”, tra cui sistemi di selezione del personale, valutazioni creditizie o assicurative, diagnostica medica assistita da IA, giustizia e processi democratici, dove il trattamento può incidere direttamente su aspetti fondamentali della vita delle persone.

L’AI Act prevede per questi dati obblighi più stringenti come la valutazione d’impatto sui diritti fondamentali (FRIA), trasparenza, controllo umano (“human-in-the-loop”) e misure tecniche/organizzative per prevenire discriminazioni e abusi. La protezione si focalizza su dati personali che, per la loro natura o uso in sistemi automatizzati, presentano un rischio elevato di violazione della privacy, discriminazione e danno agli individui.

Perché i dati sanitari e relativi alla vita privata sono considerati a rischio elevato

I dati sanitari e quelli relativi alla vita privata sono considerati a rischio elevato secondo l’AI Act perché contengono informazioni estremamente sensibili che riguardano aspetti intimi e fondamentali della persona, come lo stato di salute, la storia clinica, le abitudini e le caratteristiche personali. Il loro trattamento, se non gestito con rigore, può portare a discriminazioni, violazioni della privacy e danni gravi ai diritti fondamentali degli individui.

Una tappa essenziale per la protezione dei dati

In definitiva, l’AI Act segna una tappa fondamentale per la regolamentazione dell’intelligenza artificiale in Europa, ponendo la protezione dei dati personali al centro di un modello che vuole coniugare innovazione e tutela dei diritti umani fondamentali. Il corretto bilanciamento tra queste esigenze sarà decisivo per costruire un futuro digitale sicuro, etico e competitivo.