AI Act privacy: più tutele e nuove sanzioni
AI Act privacy, dati biometrici, email dei dipendenti, marketing e sicurezza informatica: il Garante torna a richiamare aziende ed enti pubblici sulle responsabilità legate all’utilizzo dei dati personali.
Nella newsletter del 29 luglio 2026, l’Autorità ha illustrato le garanzie richieste per l’attuazione italiana dell’AI Act e tre recenti sanzioni. Il messaggio per le organizzazioni è chiaro: non basta adottare nuovi strumenti digitali. Occorre dimostrare che dati, accessi e decisioni automatizzate siano gestiti correttamente.
AI Act privacy: cosa chiede il Garante
Il Garante ha espresso parere favorevole sullo schema di decreto legislativo che adegua la normativa italiana al Regolamento europeo sull’intelligenza artificiale.
Il parere è positivo, ma contiene alcune richieste per rafforzare la tutela delle persone. In particolare, l’Autorità chiede maggiore chiarezza sui propri poteri di vigilanza e sulle procedure applicabili ai sistemi di intelligenza artificiale ad alto rischio.
Tra i punti più rilevanti vi è la richiesta di estendere il divieto di decisioni interamente automatizzate alle valutazioni che possono incidere significativamente sul rapporto di lavoro.
Rientrano, ad esempio, le decisioni relative a:
- valutazione delle prestazioni;
- assegnazione di premi;
- progressioni di carriera;
- gestione e selezione del personale;
- attribuzione automatica di punteggi ai lavoratori.
AI Act privacy e decisioni sui dipendenti
Un software può aiutare l’azienda ad analizzare informazioni e indicatori. Non dovrebbe, però, sostituire completamente la valutazione umana quando la decisione produce conseguenze importanti per il lavoratore.
Esempio concreto: un sistema che assegna automaticamente un punteggio ai dipendenti e decide chi riceverà un premio potrebbe comportare rischi se i criteri utilizzati non sono trasparenti, verificabili o corretti.
L’azienda deve quindi conoscere il funzionamento dello strumento, verificare i dati utilizzati e garantire un effettivo intervento umano.
Dati biometrici: servono garanzie più forti
Il Garante ha richiamato anche i rischi connessi al riconoscimento facciale e al trattamento dei dati biometrici.
Secondo l’Autorità, non è coerente con l’AI Act un trattamento automatizzato, generalizzato e preventivo dei dati biometrici delle persone che accedono a luoghi o manifestazioni pubbliche.
Il riconoscimento facciale effettuato successivamente dovrebbe essere utilizzato solo per ricerche mirate, in presenza di una specifica esigenza e su immagini già raccolte legittimamente.
Il Garante ha inoltre chiesto:
- banche dati biometriche affidabili e adeguate;
- responsabilità chiaramente definite;
- tracciabilità delle operazioni;
- supervisione umana effettiva;
- divieto di utilizzare archivi ottenuti tramite raccolte indiscriminate di immagini online.
Attenzione a questo punto: impronte digitali, caratteristiche del volto e altri dati biometrici non sono dati personali comuni. La loro compromissione può produrre conseguenze permanenti, perché non possono essere modificati come una password.
Controlli sui lavoratori: sanzione da 460.000 euro
Il Garante ha sanzionato Piaggio & C. Spa per 460.000 euro in relazione alla gestione delle caselle email aziendali e alle attività di controllo dei dipendenti.
L’istruttoria ha rilevato la raccolta e la conservazione sistematica delle email attraverso backup mantenuti per tutta la durata del rapporto di lavoro e fino a cinque anni dopo la sua cessazione. I log venivano conservati per sei mesi.
Secondo l’Autorità, queste modalità permettevano di ricostruire l’attività dei dipendenti e potevano trasformarsi in un controllo a distanza.
Errore comune: pensare che l’azienda possa accedere liberamente alla posta elettronica solo perché l’account e il computer sono aziendali.
Gli accessi devono invece rispettare il GDPR, lo Statuto dei lavoratori, i principi di proporzionalità e i tempi di conservazione comunicati agli interessati.
Marketing illecito: sanzione da 280.000 euro
Altroconsumo Edizioni è stata sanzionata per 280.000 euro per l’invio di comunicazioni promozionali e per alcune criticità nella gestione delle richieste degli utenti.
Il sistema considerava perfezionata la registrazione anche quando l’utente non aveva confermato la creazione dell’account. I dati venivano così utilizzati per inviare email promozionali senza una base giuridica adeguatamente dimostrata.
Per un’azienda significa che il semplice inserimento di un indirizzo email in un modulo non autorizza automaticamente l’invio di pubblicità.
È necessario poter dimostrare:
- come è stato raccolto il contatto;
- quale informativa è stata fornita;
- quale base giuridica viene utilizzata;
- quando è stato espresso il consenso, se necessario;
- come viene gestita la richiesta di cancellazione.
Data breach: accessi riservati configurati male
La Città Metropolitana di Sassari è stata sanzionata per 12.000 euro a causa di un’errata configurazione del protocollo informatico.
Alcuni documenti contenenti dati personali risultavano accessibili a dipendenti che, in base al proprio ruolo, non erano autorizzati a consultarli.
La violazione non è quindi derivata necessariamente da un attacco informatico. È stata sufficiente una configurazione non corretta dei permessi di accesso.
Questo caso ricorda che la sicurezza dei dati dipende anche da attività apparentemente semplici: profilazione degli utenti, autorizzazioni, cartelle condivise e verifica periodica degli accessi.
AI Act privacy: cosa deve fare l’azienda
Le organizzazioni che utilizzano strumenti digitali, sistemi di intelligenza artificiale o banche dati dovrebbero effettuare almeno queste verifiche:
- mappare i sistemi di intelligenza artificiale utilizzati;
- verificare se producono valutazioni o decisioni sui lavoratori;
- controllare le modalità di conservazione delle email aziendali;
- definire tempi di conservazione proporzionati e documentati;
- verificare consensi e basi giuridiche delle campagne marketing;
- gestire rapidamente opposizioni e richieste degli interessati;
- controllare periodicamente permessi e profili di accesso;
- aggiornare informative, registro dei trattamenti e procedure interne;
- valutare la necessità di una DPIA per i trattamenti ad alto rischio;
- formare il personale che utilizza dati e strumenti di intelligenza artificiale.
Per approfondire è possibile consultare la Newsletter n. 550 del Garante per la protezione dei dati personali .
Puoi inoltre approfondire il servizio di consulenza privacy di Sicurezza370 .
Verifica la conformità privacy della tua azienda
Utilizzi sistemi di intelligenza artificiale, email aziendali, software di controllo degli accessi o strumenti di marketing?
Sicurezza370 può aiutarti a verificare procedure, informative, autorizzazioni, tempi di conservazione e misure di sicurezza, individuando le criticità prima di una contestazione o di un data breach.
