I sistemi di IA che una struttura usa davvero
- Chatbot e assistenti virtuali su sito, WhatsApp o portali di prenotazione
- Revenue management e tariffazione dinamica basata su domanda e concorrenza
- Check-in automatizzato con lettura e riconoscimento dei documenti d'identità
- Videosorveglianza intelligente con conteggio presenze, rilevamento oggetti o analisi comportamentale
- Analisi automatica delle recensioni e del sentiment degli ospiti
- Strumenti generativi usati dallo staff per rispondere alle recensioni o scrivere comunicazioni
Quasi sempre la struttura è utilizzatore e non fornitore: i sistemi arrivano dal gestionale, dal channel manager o dal fornitore del sito. Questo alleggerisce molto gli obblighi, ma non li azzera — e sposta gran parte della verifica sul contratto con il fornitore.
Come si classificano
| Sistema | Classe tipica | Cosa comporta |
|---|
| Chatbot prenotazioni | Rischio limitato | L'ospite deve sapere di parlare con un sistema di IA (art. 50, dal 2 agosto 2026) |
| Revenue management | Rischio minimo | Nessun obbligo AI Act specifico. Se personalizza sul singolo ospite, valgono le regole GDPR sulla profilazione |
| Lettura documenti al check-in | Rischio minimo / limitato | Attenzione al GDPR: minimizzazione, conservazione, cosa si estrae dal documento |
| Riconoscimento facciale degli ospiti | Zona critica | Dati biometrici: serve una condizione dell'art. 9 GDPR e i limiti dell'AI Act sull'identificazione biometrica sono stringenti |
| Analisi delle emozioni con telecamere | Vietato se riguarda il personale | Il riconoscimento delle emozioni sul luogo di lavoro è tra le pratiche vietate dall'art. 5 |
| Risposte alle recensioni generate con IA | Rischio limitato | Trasparenza sui contenuti generati artificialmente e verifica umana prima della pubblicazione |
La trappola più frequente. Le telecamere "intelligenti" vengono vendute come strumento di sicurezza, ma se il sistema analizza espressioni o stati d'animo e inquadra anche aree di lavoro, si entra nel riconoscimento delle emozioni sul luogo di lavoro, che l'AI Act vieta senza eccezioni dal 2 febbraio 2025. Prima di firmare, fatevi specificare per iscritto dal fornitore cosa analizza esattamente il software, non cosa promette di fare.
Trasparenza verso l'ospite: cosa cambia il 2 agosto 2026
L'obbligo è semplice nella sostanza: chi interagisce con un sistema di IA deve saperlo. In concreto, per una struttura ricettiva significa tre cose.
- Avviso sul chatbot all'avvio della conversazione: una riga che dichiari che si tratta di un assistente automatico e come raggiungere una persona
- Informativa privacy aggiornata, che descriva quali sistemi automatizzati intervengono nel rapporto con l'ospite
- Indicazione dei contenuti generati dove pertinente, per esempio nelle risposte pubbliche alle recensioni
Sono interventi da poche ore di lavoro, ma vanno fatti prima della scadenza, non dopo. Il quadro completo delle date è nella guida al 2 agosto 2026.
Il problema specifico degli stagionali
L'obbligo di alfabetizzazione all'IA dell'art. 4 riguarda chiunque usi questi sistemi per conto della struttura: reception, booking, sala, e i collaboratori a tempo determinato. In una struttura con forte ricambio stagionale questo significa che la formazione va inserita nell'onboarding di inizio stagione e ripetuta ogni anno, con registro delle ore aggiornato.
È anche il gruppo dove si concentrano gli errori concreti: dati di ospiti incollati in strumenti generativi per farsi scrivere una risposta, informazioni su carte o documenti condivise su canali non protetti, output pubblicati senza rilettura. La formazione documentata è l'adempimento più rapido e quello che riduce di più il rischio reale.
Un promemoria che vale doppio in questo settore: l'AI Act si aggiunge al GDPR, non lo sostituisce. Dati degli ospiti, documenti d'identità, eventuali informazioni su allergie o esigenze sanitarie restano soggetti alle regole di sempre — e l'introduzione di un sistema di IA obbliga ad aggiornare informativa, registro e valutazioni.
Le cinque domande da fare al fornitore
- Quali funzioni di intelligenza artificiale sono attive nel gestionale o nel channel manager, e quali si possono disattivare?
- I dati degli ospiti vengono utilizzati per addestrare o migliorare i vostri modelli? Esiste un'opzione per escluderlo?
- Quali sub-responsabili sono coinvolti nelle funzioni generative?
- Dove sono localizzati i server e come sono regolati eventuali trasferimenti extra-UE?
- Per quanto tempo restano conservati i contenuti inseriti nei sistemi, incluse le conversazioni del chatbot?
Le risposte vanno conservate insieme all'accordo sul trattamento ex art. 28 GDPR. Sono anche la base per capire se, senza saperlo, la struttura sta assumendo obblighi che pensava fossero del fornitore.
Domande frequenti
Il chatbot del mio hotel rientra nell'AI Act?
Sì, come sistema a rischio limitato. Dal 2 agosto 2026 l'ospite deve essere informato che sta interagendo con un sistema di intelligenza artificiale e non con una persona. È sufficiente un avviso chiaro all'avvio della conversazione.
Il revenue management automatico è ad alto rischio?
No. La tariffazione dinamica non rientra tra i sistemi ad alto rischio. Se però le tariffe vengono personalizzate sul singolo ospite in base al suo comportamento, si entra nella profilazione e valgono gli obblighi GDPR su base giuridica, informativa e diritto di opposizione.
Posso usare il riconoscimento facciale per il check-in?
È una scelta da valutare con molta attenzione. Il trattamento di dati biometrici per identificare univocamente una persona richiede una condizione dell'art. 9 GDPR, e nei luoghi accessibili al pubblico l'identificazione biometrica remota incontra limiti stringenti nell'AI Act. Nella pratica il rapporto tra rischio e beneficio raramente lo giustifica in una struttura ricettiva.
Le telecamere con analisi comportamentale sono ammesse?
Dipende da cosa analizzano. Contare le presenze o rilevare oggetti abbandonati è diverso dall'analizzare emozioni o categorizzare le persone. Il riconoscimento delle emozioni sul luogo di lavoro è vietato dall'art. 5: se il sistema inquadra anche il personale, il problema si pone.
Devo formare anche il personale stagionale?
Sì. L'obbligo dell'art. 4 riguarda chiunque utilizzi sistemi di IA per conto della struttura, inclusi i collaboratori a tempo determinato. Per le strutture stagionali significa inserire la formazione nell'onboarding di inizio stagione e documentarla ogni anno.
Cosa devo chiedere al fornitore del gestionale?
Quali funzioni di IA sono attive e quali si possono disattivare, se i dati degli ospiti sono usati per addestrare i modelli, quali sub-responsabili sono coinvolti, dove sono i server e per quanto tempo sono conservati i dati inseriti nei sistemi.
A cura del Dott. Pietro Cravero, DPO certificato (IDcert, Master II livello in Trattamento dei Dati Personali — Università Roma Tre). Studio Cravero Consulting segue hotel, residence e strutture ricettive su GDPR e AI Act in tutta Italia. Chi sono.
La tua struttura è pronta per il 2 agosto?
Partiamo dal censimento dei sistemi e dalla formazione del personale. La prima call di valutazione è gratuita.
Studio Cravero Consulting