--- title: "AI e GDPR: dove si sovrappongono e dove entrano in tensione" url: https://zerofive.ai/blog/compliance/ai-gdpr-sovrapposizioni-tensioni canonical: https://zerofive.ai/blog/compliance/ai-gdpr-sovrapposizioni-tensioni language: it published: 2026-03-05 updated: 2026-09-18 author: "ZeroFive.AI" tags: AI GDPR, AI Act GDPR, dati personali intelligenza artificiale, DPIA AI, decisioni automatizzate articolo 22 abstract: "AI Act e GDPR si applicano insieme: basi giuridiche, decisioni automatizzate, DPIA e FRIA. Dove le due norme si rafforzano e dove creano tensioni operative." --- # AI e GDPR: dove si sovrappongono e dove entrano in tensione Una convinzione pericolosa circola nei progetti AI, e cioè che l'AI Act abbia in qualche modo sostituito o assorbito il GDPR sul terreno dell'intelligenza artificiale. Le due norme, in realtà, si applicano in parallelo e per intero: il regolamento AI disciplina i sistemi in funzione del loro rischio, il GDPR disciplina i trattamenti di dati personali ovunque avvengano, e un sistema AI che tocca dati personali risponde a entrambi, con autorità di vigilanza, sanzioni e logiche differenti. Il Garante italiano lo ha ricordato nel modo più concreto, con la sanzione da 15 milioni di euro a OpenAI (dicembre 2024) fondata interamente su violazioni GDPR, basi giuridiche e trasparenza in testa, senza attendere alcuna scadenza dell'AI Act. Per chi guida progetti AI in azienda, la mappa delle sovrapposizioni e delle tensioni tra le due norme vale più di molte ore di formazione generica, perché è lì che si annidano sia i rischi sia le scorciatoie che poi si pagano. ## Dove le due norme remano insieme Su tre fronti AI Act e GDPR chiedono cose convergenti, e chi ha lavorato bene sulla privacy parte avvantaggiato. Il primo fronte è la conoscenza di sé: il registro dei trattamenti ex articolo 30 GDPR e il censimento dei sistemi AI sono esercizi cugini, e un'azienda con il primo in ordine costruisce il secondo in metà tempo, spesso scoprendo che molte righe coincidono. Il secondo fronte sono le valutazioni d'impatto. La DPIA del GDPR e la valutazione d'impatto sui diritti fondamentali che l'AI Act introduce per certi deployer di sistemi ad alto rischio condividono struttura logica e buona parte delle evidenze: descrizione del trattamento, rischi per le persone, misure di mitigazione. Farle dialogare in un processo unico evita duplicazioni e incoerenze tra documenti che un'autorità leggerebbe insieme. Il terzo fronte è la sorveglianza umana sulle decisioni. L'articolo 22 GDPR limita da anni le decisioni basate unicamente su trattamenti automatizzati con effetti giuridici o significativi sulle persone, e l'AI Act rafforza il principio con i requisiti di oversight per l'alto rischio: chi ha già progettato processi con un intervento umano significativo, non un timbro di ratifica, ha già la spina dorsale di entrambe le compliance. ## Dove nasce la tensione Le frizioni vere stanno nei principi di fondo, perché il GDPR è nato per limitare i trattamenti e l'AI contemporanea prospera sull'abbondanza. La minimizzazione dei dati chiede di trattare solo il necessario, mentre lo sviluppo dei modelli spinge a raccogliere tutto ciò che potrebbe servire. La limitazione delle finalità vincola i dati allo scopo dichiarato alla raccolta, mentre il riuso per addestrare o alimentare sistemi AI è quasi sempre una finalità nuova, che chiede una valutazione di compatibilità o una base giuridica propria. La trasparenza esige spiegazioni comprensibili, e i modelli più potenti restano i meno spiegabili. Su questo terreno le risposte facili sono quasi sempre sbagliate. "I dati sono anonimi" regge di rado a un'analisi seria, perché la soglia dell'anonimizzazione vera è alta e la pseudonimizzazione lascia i dati nel perimetro GDPR. "C'è il legittimo interesse" richiede il bilanciamento documentato, che per l'addestramento su larga scala è tutto meno che scontato, come i procedimenti delle autorità europee hanno mostrato. "Il fornitore è compliant" trascura che l'azienda resta titolare dei propri trattamenti, con responsabilità che nessun contratto trasferisce per intero. ## Il metodo per tenerle insieme Il modo operativo per governare la coppia parte da una mossa organizzativa prima che giuridica: DPO e owner dell'AI devono lavorare sullo stesso tavolo, con un processo che intercetti ogni nuovo caso d'uso AI prima del kickoff e gli faccia tre domande in sequenza. Ci sono dati personali, anche indirettamente? Se sì, con quale base giuridica e per quale finalità, ed è la stessa della raccolta originaria? La decisione che il sistema supporta produce effetti significativi su persone, e in tal caso come è disegnato l'intervento umano? Le risposte alimentano una scheda unica per sistema, quella stessa scheda che serve alla classificazione di rischio AI Act, e la coppia di norme smette di essere due cantieri per diventare un solo processo con due liste di controllo. Nel nostro AI Rating questo intreccio vive nella dimensione Risk, dove privacy e AI Act si valutano insieme e i gap sui dati personali contano tra i gate critici, perché un trattamento illecito non è una debolezza da media ponderata, è una condizione che può fermare il sistema. La tensione tra protezione dei dati e ambizione dell'AI non si scioglie una volta per tutte, si amministra caso per caso, e le aziende che la amministrano con metodo scoprono un effetto collaterale prezioso: i vincoli, presi sul serio in progettazione, producono sistemi più sobri nei dati e più solidi nel tempo. Se volete capire dove sta la vostra organizzazione su questo intreccio, la misurazione è il punto d'ingresso: calendly.com/fabiolalli/zerofive, oppure hello@zerofive.ai. E la domanda da portare al prossimo comitato è precisa: dei sistemi AI attivi oggi, quanti hanno una base giuridica scritta per i dati che consumano?