Pagina aggiornata al 31 agosto 2026 · a cura del Dott. Pietro Cravero, DPO certificato
Rimini vive di turismo balneare di massa lungo la riviera romagnola ed è sede di uno dei poli fieristici e congressuali più importanti d'Italia, con un comparto wellness in crescita. Sono ambiti dove revenue management, chatbot di prenotazione e sistemi di analisi dei visitatori sono già realtà operativa. Come DPO certificato seguo aziende riminesi nella classificazione dei loro sistemi.
Come lavoro: lo Studio ha sede a Sassari e segue le organizzazioni di Rimini da remoto, con un unico referente e senza passaggi fra consulenti diversi. Gli incontri in presenza si concordano quando servono davvero.
Il mio lavoro è la conformità: verificare che i sistemi di intelligenza artificiale già in uso, o in valutazione, rispettino quanto previsto dall'AI Act e dal GDPR, e lasciare all'organizzazione la documentazione che lo prova.
Non scelgo strumenti, non li installo e non progetto automazioni. È una professione diversa, con competenze diverse, e il confine è netto: dove c'è già un fornitore tecnologico il mio intervento si affianca al suo sul versante normativo, che nella maggior parte dei casi è la parte scoperta.
Da tenere presente fin dall'inizio: l'AI Act non abroga ne modifica il GDPR. Le due normative convivono e si alimentano degli stessi elementi, e trattarle in momenti separati produce documenti che poi non combaciano.
Chatbot di prenotazione e sistemi di prezzo dinamico (revenue management) su hotel e stabilimenti: obblighi di trasparenza verso l'ospite, da verificare caso per caso.
Analisi dei flussi di visitatori ed espositori durante manifestazioni come SIGEP e TTG: obblighi di trasparenza se il sistema identifica singole persone.
App e dispositivi che monitorano parametri fisici dei clienti nei centri benessere: da valutare con attenzione quando trattano dati sanitari in modo automatizzato.
Sistemi di gestione ordini e programmi fedeltà automatizzati: perlopiu rischio limitato, ma da censire nel registro dei sistemi in uso.
Questa è la mappatura che ricorre più spesso nelle organizzazioni del territorio. Non sostituisce l'assessment, ma serve a capire in anticipo dove ci si trova.
| Sistema | Classe | Cosa comporta |
|---|---|---|
| Revenue management e prenotazioni | Rischio minimo | Nessun obbligo AI Act. Se personalizza sul singolo ospite valgono le regole GDPR sulla profilazione. |
| Riconoscimento targhe ai varchi | Rischio limitato | Trattamento ordinario da documentare. Diventa critico se scivola verso il riconoscimento biometrico delle persone. |
| Chatbot sul portale dei servizi | Rischio limitato | Il cittadino deve poter capire che sta interagendo con un sistema automatico. Obbligo già applicabile. |
| Smistamento automatico delle istanze | Rischio minimo | Nessun obbligo specifico oltre a censimento e formazione, salvo che incida sull'esito del procedimento. |
| Strumenti generativi in mano ai dipendenti | Rischio limitato | Vanno dichiarati i contenuti prodotti artificialmente. L'art. 4 chiede misure di alfabetizzazione dal febbraio 2025, non un livello di competenza garantito. |
| Filtri automatici sulle candidature | Alto rischio | Rientra nell'Allegato III. Nessuna decisione sul rapporto di lavoro può poggiare solo sull'esito del sistema. |
| Analisi delle emozioni in ambito lavorativo | Vietato | Divieto assoluto dall'art. 5, in vigore dal 2 febbraio 2025, anche se la funzione e accessoria. |
Il livello si valuta per singolo sistema, non per organizzazione. Dettaglio ed esempi: i quattro livelli di rischio.
Gli stabilimenti balneari, gli hotel e gli organizzatori fieristici riminesi sono, nella grande maggioranza, utilizzatori di sistemi sviluppati da fornitori specializzati in booking, revenue management e sicurezza. Il ruolo di fornitore riguarda le rare aziende tech locali che sviluppano soluzioni proprie per il turismo.
Alfabetizzazione IA del personale (art. 4) e divieti sulle pratiche a rischio inaccettabile (art. 5).
Obblighi di trasparenza (art. 50) applicabili. Le autorità nazionali hanno pieni poteri di vigilanza e sanzione.
Marcatura leggibile automaticamente dei contenuti generati dall'IA, più i nuovi divieti sui sistemi di nudificazione.
Gli obblighi sui sistemi ad alto rischio arrivano tra il 2027 e il 2028. Il calendario completo, aggiornato al Digital Omnibus e ai decreti attuativi italiani, e nella guida alle scadenze AI Act.
Vale la pena leggere i numeri con attenzione, perché vengono riportati spesso in modo scorretto. I livelli sono tre e per le PMI si applica l'importo più basso tra i due parametri.
Divieti assoluti dell'art. 5, fra cui il punteggio sociale e l'analisi delle emozioni dei lavoratori.
Mancato rispetto degli altri obblighi del Regolamento, a partire dagli avvisi di trasparenza.
Informazioni fuorvianti o lacunose trasmesse agli organi di vigilanza.
Sul piano nazionale i decreti approvati il 4 agosto 2026 graduano gli importi per gravità, con massimali in alcune fattispecie inferiori a quelli europei. La vigilanza sul mercato spetta ad ACN, la notifica ad AgID.
Una precisazione utile: l'art. 4 non ha una sanzione propria. Cio non significa che ignorarlo sia neutro, dato che il livello di diligenza dimostrato entra nella quantificazione di ogni altra sanzione. È l'adempimento più economico del Regolamento è il più disatteso.
Prima di muoverti, conviene sapere cosa ti riguarda davvero. La valutazione iniziale non ha costo e chiarisce quali sistemi hai e quali adempimenti ne discendono.
Richiedi un primo confronto →Mappiamo quali sistemi di IA sono realmente in uso, inclusi quelli adottati spontaneamente dal personale. Il servizio nel dettaglio.
Stabiliamo in quale categoria rientra ciascun sistema e se la tua organizzazione è fornitore o utilizzatore.
Adeguiamo informative, avvisi sui chatbot e dichiarazione dei contenuti generati. Adeguamento art. 50.
Sessioni pratiche con attestato e registro delle ore, per documentare l'adempimento dell'art. 4. Formazione AI Act.
Policy aziendale sull'uso dell'IA e registro dei sistemi, integrati con la documentazione GDPR già esistente.
La documentazione prodotta è tua, in formato editabile, e non dipende dalla prosecuzione dell'incarico. È una condizione che metto per iscritto, perché il contrario e più comune di quanto si pensi.
Molte risposte necessarie all'utilizzatore sono in mano al fornitore e non altrove. Vanno chieste per iscritto, in fase di trattativa e non dopo.
Le risposte vanno conservate insieme all'accordo sul trattamento ex art. 28 GDPR.
Nella maggior parte dei casi si tratta di rischio limitato: il sistema regola i prezzi in base a domanda e occupazione. Va rivalutato se il sistema arriva a profilare i singoli clienti per personalizzare prezzi o offerte in modo automatizzato e non trasparente.
Si, in particolare per i sistemi di conteggio e profilazione dei flussi di visitatori ed espositori: se il sistema identifica singole persone servono trasparenza e, in alcuni casi, valutazioni più approfondite sul rischio.
Assessment, classificazione dei sistemi, formazione e documentazione si gestiscono in digitale, con videocall e scambio documentale su canali sicuri. Dove serve un sopralluogo, ad esempio su impianti o videosorveglianza, si organizza un intervento dedicato.
La prima valutazione è gratuita: mappiamo i sistemi di IA in uso e definiamo cosa serve davvero, senza allarmismi.
Richiedi la valutazione gratuita →Servizio dedicato: Formazione AI Act (art. 4) · Approfondimenti: Consulenza AI Act (quadro nazionale) · Le scadenze aggiornate
Sul settore turistico e ricettivo: AI Act per hotel e strutture ricettive
Sui trattamenti GDPR della tua zona: DPO a Rimini
Consulenza AI Act nelle città vicine: Bologna · Ancona · Macerata
Studio Cravero