AI Act e GDPR. Il secondo non ha cancellato il primo, e nessuno dei due assorbe l’altro.

La domanda arriva sempre nella stessa forma: adesso che c’è l’AI Act, il GDPR conta ancora? Il regolamento risponde da solo, in una riga dell’articolo 2, e la risposta è che i due si sommano.

Questo pezzo sta dentro la guida agli obblighi dell’AI Act per le aziende e le PMI e ne prende un lato solo, il rapporto con la protezione dei dati. È scritto per chi dirige un’impresa, e finisce dove comincia il lavoro di un avvocato.

Cosa dice l’AI Act del GDPR, testualmente

La risposta sta nell’articolo 2, paragrafo 7, del Regolamento (UE) 2024/1689, e non lascia margini di lettura. Il diritto dell’Unione sulla protezione dei dati continua ad applicarsi ai dati personali trattati in relazione ai diritti e agli obblighi stabiliti dall’AI Act.

«Il presente regolamento lascia impregiudicati il regolamento (UE) 2016/679 o (UE) 2018/1725 o la direttiva 2002/58/CE o (UE) 2016/680.»
Regolamento (UE) 2024/1689, articolo 2, paragrafo 7

Le eccezioni citate dalla stessa riga sono due e riguardano casi lontani da una piccola impresa: il trattamento di categorie particolari di dati per correggere le distorsioni dei sistemi ad alto rischio, e gli spazi di sperimentazione normativa. Fuori da quelle, il GDPR resta intero.

La conseguenza pratica è sgradevole ma utile da sapere subito. Una conformità non compra l’altra: un’azienda può avere il registro dei trattamenti in ordine e violare l’AI Act, oppure dichiarare correttamente i propri sistemi e trattare i dati senza una base giuridica.

Chi vigila su cosa, in Italia

Le autorità sono separate. Sull’AI Act, l’articolo 20 della legge 132/2025 designa AgID e ACN come autorità nazionali, e attribuisce all’ACN la vigilanza, incluse le attività ispettive e sanzionatorie. Sul trattamento dei dati personali resta competente il Garante per la protezione dei dati personali.

Il Garante entra dentro l’AI Act, ma in un perimetro stretto. L’articolo 74, paragrafo 8, chiede agli Stati membri di designare le autorità di protezione dei dati come autorità di vigilanza del mercato per i sistemi ad alto rischio dell’allegato III punto 1 usati per attività di contrasto, gestione delle frontiere, giustizia e democrazia, e per quelli dei punti 6, 7 e 8.

Per un’impresa che vende prodotti, serve clienti o gestisce prenotazioni, quel perimetro non si tocca. Sul suo assistente sul sito vigila l’ACN, sui dati dei suoi clienti vigila il Garante, e le due cose possono succedere lo stesso giorno per lo stesso sistema.

Le due valutazioni d’impatto, che quasi tutti confondono

Sono strumenti diversi, con presupposti diversi e destinatari diversi. La confusione nasce dal nome simile, e porta le imprese piccole a temere un adempimento che nella quasi totalità dei casi non le riguarda.

Strumento	Quando scatta	Chi la deve fare
DPIAarticolo 35 GDPR	Quando un trattamento presenta un rischio elevato per i diritti e le libertà delle persone. Il presupposto è il trattamento, non la tecnologia: esisteva prima dell’IA e continua a valere senza IA.	Il titolare del trattamento, quindi anche una piccola impresa, quando ricorrono le condizioni della norma.
Valutazione sui diritti fondamentaliarticolo 27 AI Act	Prima di usare certi sistemi ad alto rischio. Guarda i processi, il periodo d’uso, le categorie di persone interessate, i rischi di danno, la sorveglianza umana e i meccanismi di reclamo.	Organismi di diritto pubblico, enti privati che forniscono servizi pubblici, e i deployer dei sistemi dell’allegato III punto 5, lettere b) e c).
Il punto di contattoarticolo 26, paragrafo 9, AI Act	Quando un deployer di un sistema ad alto rischio deve fare la DPIA, usa le informazioni che il fornitore gli ha dato secondo l’articolo 13 dell’AI Act.	Chi ricade in entrambe. Le due valutazioni si alimentano, e non si sostituiscono.

Una piccola impresa che usa un assistente sul sito o un modello che scrive testi, di norma, sta fuori dall’articolo 27 e dentro il ragionamento ordinario del GDPR. La domanda giusta da porsi non è se ci sia l’IA, ma quali dati di quali persone finiscono nel sistema.

Se date i dati dei clienti a un modello di terzi

È il caso più frequente e il più sottovalutato. Quando incollate in un modello generativo l’anagrafica di un cliente, una mail ricevuta o un elenco di ordini, quel fornitore tratta dati personali per conto vostro, e serve l’accordo previsto dall’articolo 28 del GDPR, con le condizioni scritte che la norma richiede.

Vanno poi guardate tre cose, sempre le stesse. Dove stanno i dati e se escono dallo Spazio economico europeo. Su quale base giuridica li trattate, che quasi mai è il consenso. Cosa dice la vostra informativa, che va aggiornata se il trattamento cambia.

Esiste una regola pratica che copre il novanta per cento delle situazioni quotidiane, e non richiede un legale per essere applicata: quello che non avreste incollato in una mail a un fornitore esterno, non si incolla in un prompt. Sul dovere di spiegarlo a chi lavora con voi interviene l’obbligo di formazione dell’articolo 4.

Cosa aggiunge la legge italiana, e non è poco

La legge 132/2025, in vigore dal 10 ottobre 2025, mette dei principi sopra il regolamento europeo. L’articolo 4 chiede che l’uso di sistemi di IA garantisca un trattamento lecito, corretto e trasparente dei dati personali e la compatibilità con le finalità per cui i dati sono stati raccolti.

Lo stesso articolo chiede che le informazioni sul trattamento siano rese con linguaggio chiaro e semplice, in modo da garantire la conoscibilità dei rischi e il diritto di opporsi. È una richiesta di leggibilità, e colpisce le informative scritte per non essere lette.

C’è poi una riga sui minori che riguarda chiunque abbia un pubblico giovane: l’accesso alle tecnologie di IA sotto i quattordici anni, e il trattamento dei dati che ne consegue, richiedono il consenso di chi esercita la responsabilità genitoriale.

L’eccezione sui dati particolari riguarda chi costruisce

Nel dibattito circola l’idea che l’AI Act abbia aperto una deroga sui dati sensibili. La deroga esiste, sta nel nuovo articolo 4 bis introdotto dal Regolamento (UE) 2026/1744, ed è scritta stretta: vale solo per i fornitori di sistemi ad alto rischio, e solo per rilevare e correggere le distorsioni.

Le condizioni sono cumulative e severe. Il risultato non deve essere ottenibile con altri dati, compresi quelli sintetici o anonimizzati; servono pseudonimizzazione, limitazioni tecniche al riutilizzo, misure di sicurezza avanzate, controlli e documentazione rigorosi degli accessi.

Per un’impresa che compra strumenti invece di costruirli, la lettura pratica è una sola: quella porta non si apre. Sui dati particolari dei vostri clienti continuano a valere gli articoli 9 e seguenti del GDPR, come prima.

Le sanzioni sono due impianti separati

Possono attivarsi entrambi sullo stesso fatto, perché puniscono cose diverse. Il GDPR, all’articolo 83, arriva fino a 10 milioni di euro o il 2% del fatturato mondiale annuo per una parte delle violazioni, e fino a 20 milioni o il 4% per le più gravi, fra cui i principi di base del trattamento e le condizioni del consenso.

L’AI Act, all’articolo 99, arriva fino a 35 milioni o il 7% per le pratiche vietate dell’articolo 5, e fino a 15 milioni o il 3% per un elenco di obblighi che comprende la trasparenza dell’articolo 50. Per le PMI, lo stesso articolo prevede che si applichi l’importo inferiore fra i due parametri.

Le cifre servono a dare la scala, non a spaventare nessuno. Il rischio realistico per un’impresa ordinaria sta molto lontano dal massimo edittale, e ha una forma sola: un reclamo di un cliente o di un dipendente che apre un’istruttoria. A quel punto conta soltanto cosa si riesce a mostrare.

Le cinque cose da mettere in ordine

Tolta la teoria, il lavoro che serve a una piccola impresa sta in cinque punti, e nessuno richiede un progetto. Chi tiene già un registro dei trattamenti ne ha tre già fatti a metà.

Uno, la lista. Quali sistemi di IA girano, chi li ha attivati, su quali dati lavorano e dove stanno quei dati. Due, i contratti. Per ogni fornitore che tratta dati per voi, l’accordo dell’articolo 28 e la verifica di dove finiscono i dati.

Tre, l’informativa. Aggiornata se il trattamento è cambiato, e scritta in modo leggibile come chiede la legge italiana. Quattro, le persone. Chi usa quei sistemi deve sapere cosa non ci si mette dentro, ed è anche l’obbligo dell’articolo 4.

Cinque, il punto umano. Su ogni processo automatico che tocca un cliente, i soldi o una comunicazione in uscita, una persona approva prima che parta. Nei sistemi che costruiamo la regola è scritta così, e le risposte su informazioni già approvate dal titolare possono partire da sole dichiarando di essere un sistema, come chiede l’articolo 50 applicabile dal 2 agosto 2026. Il perimetro esteso sta nei principi AI, l’elenco dei sistemi che usiamo davvero nella pagina di trasparenza AI.

Domande e risposte

Questo articolo è una ricognizione operativa, non un parere legale. Sulle situazioni specifiche, e in particolare sulle basi giuridiche e sui trasferimenti di dati fuori dall’Unione, la risposta la dà un professionista che guarda la vostra azienda.