Scoring dei clienti: 7,7 milioni di sanzioni dal Garante. Cosa insegna alle aziende

Che cosa è successo

Due fornitori di energia elettrica e gas utilizzavano un sistema automatizzato che attribuiva ai potenziali clienti uno score di affidabilità. In base a quel punteggio veniva deciso se attivare il contratto. Alcuni cittadini si sono visti negare la fornitura e, non ricevendo informazioni chiare sui criteri e sulla logica utilizzati, si sono rivolti al Garante.

Le prime due sono le società che usavano lo scoring per decidere sui contratti. Le altre due fornivano i dati che alimentavano quel sistema: per entrambe l'Autorità ha accertato gravi violazioni, tra cui quella relativa al diritto di accesso degli interessati e, per una di esse, anche la violazione del principio di minimizzazione, per aver trattato dati non necessari all'elaborazione del punteggio.

Le violazioni contestate

Non è stato contestato l'uso dello scoring in quanto tale. Sono stati contestati il modo in cui era gestito e ciò che non veniva detto alle persone:

• Trasparenza e informazione — gli interessati non ricevevano indicazioni comprensibili su criteri e logica del punteggio
• Conservazione dei dati — tempi non conformi
• Gestione delle richieste di esercizio dei diritti — il diritto di accesso in particolare, cioè la possibilità per una persona di sapere quale punteggio le è stato attribuito e su quali dati
• Minimizzazione — trattamento di dati non necessari al calcolo

Oltre alle sanzioni, l'Autorità ha ordinato misure correttive: procedure che consentano agli interessati di comprendere il funzionamento del sistema, di ottenere informazioni complete sui punteggi attribuiti e di chiedere la rettifica dei dati inesatti utilizzati nelle valutazioni.

La cornice giuridica: l'art. 22 e la trasparenza della logica

Quando una decisione che incide su una persona — concederle o negarle un contratto, un finanziamento, una fornitura — è basata unicamente su un trattamento automatizzato, si applica l'art. 22 del GDPR. La decisione è ammessa solo in casi determinati (necessità contrattuale, autorizzazione normativa, consenso esplicito) e sempre con garanzie: intervento umano, possibilità di esprimere la propria opinione e di contestare la decisione.

A questo si affianca l'obbligo informativo degli artt. 13-14 e il diritto di accesso dell'art. 15: l'interessato ha diritto a informazioni significative sulla logica utilizzata, oltre che sull'importanza e sulle conseguenze previste del trattamento.

La Corte di giustizia dell'Unione europea si è espressa due volte su questo terreno, e in modo convergente. Nel caso SCHUFA (C-634/21) ha stabilito che il calcolo di un punteggio da parte di una società di informazioni commerciali costituisce esso stesso una decisione automatizzata, quando da quel punteggio dipende in modo determinante la conclusione del contratto. In una successiva pronuncia del 2025 sul caso Dun & Bradstreet Austria ha precisato che spiegare la logica non significa consegnare l'algoritmo, ma descrivere procedura e criteri in forma concisa e comprensibile, tale da permettere all'interessato di capire quali dati hanno pesato e di contestare il risultato.

Dove entra l'AI Act

Il provvedimento del Garante è un provvedimento GDPR. Ma lo stesso trattamento, se il punteggio è calcolato da un sistema di intelligenza artificiale, incrocia una seconda normativa.

Il punto pratico: le due valutazioni si fanno insieme o non si fanno bene. La documentazione sul rischio richiesta dall'AI Act e la valutazione d'impatto richiesta dal GDPR attingono agli stessi fatti; svolgerle separatamente, con due consulenti che non si parlano, produce due documenti che si contraddicono. È il motivo per cui, nella pratica, conviene che le due normative siano seguite dalla stessa persona.

Chi dovrebbe rileggere le proprie procedure

Il caso riguarda l'energia, ma il meccanismo è trasversale. Vale la pena una verifica per:

• Utility, telco e servizi in abbonamento che valutano l'affidabilità prima dell'attivazione
• E-commerce che limitano il pagamento alla consegna o richiedono prepagamento in base a un punteggio di rischio
• Società di noleggio, leasing e finanziarie
• Assicurazioni che modulano premi o accettazione su indicatori automatici
• Software house che sviluppano o integrano moduli di scoring dentro gestionali venduti a terzi — con il rischio, spesso ignorato, di assumere il ruolo di fornitore ai sensi dell'AI Act

Le sei verifiche da fare

1. La decisione è interamente automatizzata? E se c'è un operatore, quante volte negli ultimi dodici mesi si è discostato dall'esito del sistema?
2. L'informativa descrive la logica? Non la formula: quali categorie di dati pesano, in che direzione, con quali conseguenze.
3. Da dove arrivano i dati? Fonti interne, fornitori esterni, banche dati pubbliche — con base giuridica documentata per ciascuna.
4. Quanto durano? Il punteggio e i dati sottostanti hanno tempi di conservazione definiti e rispettati.
5. Cosa succede se qualcuno chiede spiegazioni? Deve esistere una procedura, non una buona volontà: chi risponde, entro quanto, con quale contenuto.
6. È stata fatta una valutazione d'impatto? La valutazione sistematica e approfondita di aspetti personali con effetti giuridici è uno dei casi in cui la DPIA è dovuta.

Domande frequenti