GDPR e AI Act: perché serve un DPO che li conosca entrambi

Dove le due normative si sovrappongono davvero

1. La base giuridica non sparisce perché c'è di mezzo l'IA

Quando un sistema di intelligenza artificiale tratta dati personali — e succede quasi sempre: clienti, dipendenti, pazienti, utenti — il GDPR continua ad applicarsi integralmente. L'AI Act si aggiunge, non sostituisce.

Questo significa che prima ancora di chiedersi come classificare il sistema secondo l'AI Act, bisogna rispondere a domande squisitamente GDPR: su quale base giuridica trattiamo questi dati? L'informativa copre anche questo utilizzo? Per quanto tempo conserviamo gli input inseriti nel sistema? Chi sono i responsabili del trattamento coinvolti, e c'è un accordo art. 28 con il fornitore del servizio di IA?

Un consulente che conosce solo l'AI Act si ferma alla classificazione del rischio. Il problema resta aperto a monte.

2. Valutazione d'impatto: due nomi, un metodo

Il GDPR prevede la valutazione d'impatto sulla protezione dei dati (DPIA, art. 35) quando un trattamento presenta rischi elevati per i diritti delle persone. L'AI Act prevede, per i sistemi ad alto rischio, un sistema di gestione del rischio e — per determinati soggetti — una valutazione d'impatto sui diritti fondamentali.

Sono strumenti distinti ma costruiti sulla stessa logica: identificare il rischio, valutarlo, mitigarlo, documentare. Chi ha già impostato le DPIA di un'organizzazione conosce i suoi trattamenti, i suoi flussi, i suoi fornitori: rifare da zero quell'analisi con un altro professionista è lavoro duplicato che il cliente paga due volte.

3. Accountability: la stessa filosofia

Entrambe le normative si reggono sul principio per cui non basta essere conformi, bisogna essere in grado di dimostrarlo. Registro dei trattamenti da un lato, registro dei sistemi di IA dall'altro. Formazione del personale sul GDPR, alfabetizzazione all'IA ai sensi dell'art. 4 dell'AI Act. Policy privacy, policy sull'uso dell'intelligenza artificiale.

Se questi documenti nascono da due mani diverse, in tempi diversi, senza una regia comune, il risultato è prevedibile: definizioni che non coincidono, elenchi di fornitori che non corrispondono, procedure che si contraddicono. Ed è esattamente il tipo di incoerenza che emerge durante un controllo.

Un esempio concreto

Uno studio medico adotta una piattaforma gestionale che integra funzionalità di intelligenza artificiale — trascrizione automatica, suggerimenti di refertazione, assistente per la segreteria.

Le domande da porsi sono simultaneamente di entrambe le normative:

• I dati sanitari trattati dal sistema hanno una base giuridica adeguata (art. 9 GDPR)? GDPR
• Il fornitore è responsabile del trattamento, e con quali sub-responsabili? Dove sono i server? GDPR
• Serve una DPIA per questo trattamento? GDPR
• Il sistema rientra tra quelli ad alto rischio secondo l'AI Act, o è a rischio limitato? AI Act
• I pazienti devono essere informati che stanno interagendo con un sistema di IA? AI Act art. 50
• Il personale che lo utilizza ha ricevuto formazione adeguata? AI Act art. 4
• Le informative e il registro vanno aggiornati? Entrambe

Sono sette domande su un unico sistema, un unico contratto, un'unica organizzazione. Separarle in due consulenze significa che nessuno dei due professionisti vede il quadro intero.

Perché il DPO è la figura naturale

L'AI Act non prevede una figura obbligatoria equivalente al Data Protection Officer. Ma gli adempimenti che introduce — mappatura dei sistemi, classificazione del rischio, documentazione, formazione, vigilanza continua — sono esattamente il mestiere che un DPO svolge già sul fronte dei dati personali.

Nelle organizzazioni che hanno già un DPO, affidargli anche il presidio dell'AI Act ha tre vantaggi concreti: conosce già i trattamenti e i fornitori, produce documentazione coerente con quella esistente, ed è già il punto di contatto interno per le questioni di conformità.

Il presupposto, ovviamente, è che quel DPO l'AI Act lo conosca davvero — non che lo scopra insieme al cliente.

Sulle scadenze e sugli obblighi già applicabili ho scritto una guida aggiornata: AI Act 2 agosto 2026: cosa cambia davvero. Per il quadro dei servizi, vedi la pagina consulenza AI Act.

Domande frequenti

L'AI Act obbliga a nominare un responsabile come il DPO del GDPR?

No, l'AI Act non prevede una figura obbligatoria equivalente. Prevede però obblighi di governance, documentazione e formazione che devono essere presidiati da qualcuno all'interno o al servizio dell'organizzazione.

Il mio DPO attuale può occuparsi anche dell'AI Act?

Può, se ha competenze aggiornate sul Regolamento (UE) 2024/1689. Le due materie condividono metodo e strumenti, ma l'AI Act ha logiche proprie — classificazione del rischio dei sistemi, obblighi differenziati tra fornitore e utilizzatore — che vanno conosciute nello specifico.

Se un sistema di IA non tratta dati personali, il GDPR non si applica?

Corretto: in quel caso si applica solo l'AI Act. È però una situazione meno frequente di quanto si pensi, perché la maggior parte dei sistemi usati in azienda tratta dati di clienti, dipendenti o utenti.

Conviene aspettare che il quadro normativo si stabilizzi?

Gli obblighi già applicabili — divieti, trasparenza, alfabetizzazione del personale — non sono in discussione e sono in vigore adesso. Il rinvio disposto dal Digital Omnibus riguarda solo i sistemi ad alto rischio, e sposta la scadenza al 2027-2028 senza eliminare l'adempimento.

Quanto costa in più aggiungere l'AI Act a una consulenza GDPR esistente?

Molto meno che avviare una consulenza separata, proprio perché l'analisi dei trattamenti, dei fornitori e dei flussi di dati è già stata fatta. L'incremento dipende dal numero di sistemi di IA effettivamente in uso.