GDPR e AI in azienda: le basi giuridiche e i tre documenti da scrivere prima

Un titolare di un'azienda con trenta dipendenti che vuole usare l'AI per leggere curriculum o rispondere ai clienti si scontra quasi subito con una domanda che nessun fornitore di software gli farà mai spontaneamente: con quale diritto quel sistema tratta i dati delle persone coinvolte? Non è una domanda accademica. Il GDPR (Regolamento UE 2016/679) impone di individuare una base giuridica per ogni trattamento di dati personali, e un sistema AI che legge nomi, curriculum, email o comportamenti d'acquisto tratta dati personali a tutti gli effetti, indipendentemente da quanto sia sofisticato l'algoritmo dietro.

La legge 132/2025, in vigore dal 10 ottobre 2025, ha aggiunto un livello nazionale che si affianca all'AI Act europeo senza sostituire il GDPR: le due normative si applicano insieme, e un solo sistema — pensiamo a uno strumento che ordina i candidati per un colloquio — può ricadere contemporaneamente sotto entrambe. Questo articolo spiega quali basi giuridiche sono effettivamente disponibili e quali tre documenti vanno scritti prima di attivare qualsiasi progetto AI su dati di clienti o dipendenti, non dopo.

Le basi giuridiche disponibili, e perché quasi mai è il consenso

L'art. 6 del GDPR elenca sei basi giuridiche possibili per trattare dati personali: consenso, esecuzione di un contratto, obbligo di legge, interesse vitale, compito di interesse pubblico, legittimo interesse. Per un sistema AI aziendale, quattro di queste sei sono quasi sempre fuori discussione: interesse vitale e compito di interesse pubblico riguardano casi specifici (emergenze sanitarie, funzioni pubbliche) che non toccano un'azienda privata; l'obbligo di legge si applica solo dove esiste una norma che impone quel trattamento.

Restano due opzioni concrete: l'esecuzione di un contratto e il legittimo interesse. La prima si usa quando il trattamento è necessario per erogare un servizio già pattuito col cliente — un chatbot che risponde a chi ha già acquistato, per esempio. Il legittimo interesse (art. 6.1.f) è la base più citata nei progetti AI, ma l'EDPB, nella sua Opinion 28/2024, ha chiarito che non è automatico: serve superare un test in tre fasi. Occorre dimostrare che esiste davvero un interesse legittimo dell'azienda, che il trattamento è strettamente necessario per realizzarlo, e che questo interesse prevale sui diritti e le aspettative ragionevoli della persona interessata. Questo terzo passaggio, il bilanciamento degli interessi, è quello su cui si concentrano le contestazioni.

Il consenso, per quanto sembri la scelta più semplice e 'sicura' sulla carta, è in realtà la meno adatta a molti contesti aziendali. Le Linee guida EDPB 05/2020 e i precedenti orientamenti del Gruppo Art. 29 limitano l'uso del consenso proprio nei rapporti dove c'è uno squilibrio di potere, come quello tra datore di lavoro e dipendente: un consenso raccolto in un contesto simile rischia di non essere considerato 'libero' ai sensi del GDPR, e quindi invalido.

Il caso HR: quando GDPR e AI Act si sovrappongono

Il caso più citato negli approfondimenti giuridici è quello di un sistema che ordina automaticamente i curriculum in base alla loro affinità con un'offerta di lavoro. Tratta dati personali dei candidati — nome, formazione, esperienze, recapiti — quindi rientra nel GDPR. Ma è anche un sistema di IA usato in ambito lavorativo, e l'Allegato III dell'AI Act lo qualifica come 'ad alto rischio'. Le due normative non si escludono: si sommano.

Questo significa che l'azienda deve, nello stesso momento: definire la base giuridica ex art. 6 GDPR, fornire l'informativa ai candidati (artt. 13-14 GDPR), garantire i diritti dell'interessato (artt. 15-22 GDPR, incluso il diritto di non essere sottoposto a una decisione basata unicamente su un trattamento automatizzato), condurre una DPIA (art. 35 GDPR) e — dall'agosto 2026 — anche una FRIA ai sensi dell'art. 27 dell'AI Act, oltre a garantire la supervisione umana prevista dall'art. 14 dell'AI Act e mantenere la documentazione tecnica. Chi valuta un agente AI per l'area HR deve mettere in conto questo doppio binario fin dalla fase di analisi, non aggiungerlo dopo che il sistema è già in produzione.

Quando l'informativa privacy va riscritta, non solo aggiornata

Introdurre uno strumento AI nei flussi aziendali quasi mai è neutro rispetto al GDPR. Nella maggior parte dei casi configura un nuovo trattamento, o modifica sostanzialmente uno già esistente, con conseguenti obblighi di trasparenza ex artt. 13 e 14. Nella pratica molte imprese italiane continuano a usare informative scritte anni prima, per finalità diverse, esponendosi a rischi sanzionatori.

Ci sono eventi specifici che dovrebbero far scattare la revisione dell'informativa: l'introduzione di un nuovo strumento AI che tratta dati personali (un chatbot, un sistema di scoring), il passaggio da una versione consumer a una enterprise dello stesso strumento (cambiano destinatari e finalità, incluso se i dati vengono usati per addestrare il modello del fornitore), l'aggiunta di una nuova finalità come il training o la profilazione, e il cambio della base giuridica stessa — per esempio dal consenso al legittimo interesse — che va sempre dichiarato e supportato da una valutazione documentata. L'informativa aggiornata deve indicare l'identità del sistema AI e il ruolo del fornitore, la logica di funzionamento essenziale, le categorie di dati trattate nei prompt e generate come output, le basi giuridiche distinte per ogni finalità, i destinatari con i relativi accordi ex art. 28 GDPR, eventuali trasferimenti extra-UE, i periodi di conservazione di prompt e log.

I tre documenti da scrivere prima di partire

Prima di attivare qualunque sistema AI su dati di clienti o dipendenti, tre documenti dovrebbero esistere già, non essere prodotti a progetto avviato.

Il primo è la valutazione della base giuridica, formalizzata per iscritto. Se la scelta cade sul legittimo interesse, va prodotto un Legitimate Interest Assessment che documenti il test in tre fasi indicato dall'EDPB: interesse reale, necessità stretta, bilanciamento con i diritti degli interessati. Non basta scriverlo genericamente nell'informativa: deve essere un documento a sé, richiamabile in caso di verifica del Garante.

Il secondo è la valutazione d'impatto, DPIA quando il trattamento presenta rischi elevati per i diritti delle persone — e dall'agosto 2026 anche la FRIA per i sistemi AI ad alto rischio secondo l'AI Act. La DPIA va condotta prima di attivare il sistema, non dopo un incidente o una segnalazione: deve mappare i dati trattati, le finalità, i rischi concreti e le misure di mitigazione adottate.

Il terzo è una policy interna sull'uso degli strumenti AI, approvata e distribuita a tutto il personale coinvolto. Deve stabilire quali strumenti sono autorizzati, quali dati non possono mai finire in un prompt, chi verifica gli output, come si gestisce la supervisione umana richiesta dall'art. 14 dell'AI Act e dalla legge 132/2025. Senza questa policy, ogni dipendente decide da solo cosa incollare in uno strumento AI, ed è esattamente lo scenario che espone l'azienda al rischio maggiore. Costruire questi tre documenti richiede competenze legali e tecniche insieme: è il tipo di lavoro che rientra in un percorso di consulenza e formazione AI, perché non si tratta di compilare un modulo, ma di capire davvero come funziona il sistema che si vuole attivare.

Perché non basta dichiarare la conformità

La legge 132/2025 designa AgID e ACN come autorità responsabili dell'attuazione della normativa nazionale ed europea sull'IA, mentre il Garante per la protezione dei dati personali mantiene le proprie competenze sulla privacy. Tre soggetti diversi, tre piani di controllo che si intrecciano. Il punto operativo per un'azienda di medie dimensioni è che non basta dichiarare di essere conformi: occorre poterlo dimostrare, con documentazione interna, registri aggiornati, policy scritte e procedure di controllo verificabili.

C'è anche un obbligo meno noto ma già in vigore: l'art. 4 dell'AI Act impone obblighi di alfabetizzazione in materia di IA dal 2 febbraio 2025, rafforzati dalla legge 132/2025. Le organizzazioni devono predisporre programmi formativi per chi sviluppa, gestisce o utilizza sistemi AI, con attenzione ai rischi etici e alla discriminazione algoritmica. Non è un dettaglio burocratico: è un obbligo di legge che riguarda chiunque, in azienda, tocchi uno strumento AI nel proprio lavoro quotidiano, non solo il reparto IT.

Se in azienda l'AI viene già usata in modo informale — un dipendente che incolla dati in un chatbot, un sistema di scoring attivato senza una valutazione preventiva — il problema non è tecnico, è documentale: mancano le basi scritte prima ancora che gli strumenti. Un audit AI aziendale serve proprio a mettere ordine tra base giuridica, valutazione dei rischi e policy interna prima che un controllo, o un incidente, lo imponga con urgenza.