L'IA è entrata in azienda. Il GDPR non è uscito.

L'IA è entrata in azienda. Il GDPR non è uscito.

Customer care, HR, marketing, gestione documentale, analisi dati, cybersecurity: oggi quasi ogni reparto usa strumenti di intelligenza art

ificiale. Ma c'è un equivoco diffuso: pensare che l'AI Act abbia sostituito la normativa privacy. In realtà le due discipline si applicano insieme, e per le aziende significa due livelli di compliance da presidiare in parallelo.

Il punto è semplice: ogni volta che un'AI riceve nomi, email, CV, dati sanitari, informazioni finanziarie o documenti riservati, non stiamo più parlando solo di innovazione, ma di trattamento di dati personali a tutti gli effetti.

Il rischio più sottovalutato ha un nome: Shadow AI, l'uso di strumenti come ChatGPT senza autorizzazione né controllo. Non è più un'ipotesi teorica: il Garante Privacy ha già inserito l'uso dell'AI tra le priorità del piano ispettivo 2026, con oltre 40 accertamenti previsti. E i numeri parlano chiaro: secondo l'Osservatorio del Politecnico di Milano, solo il 19% di chi usa l'AI in azienda si limita agli strumenti approvati; una ricerca Microsoft-LinkedIn indica che oltre il 75% dei dipendenti porta autonomamente tool AI sul lavoro. IBM stima che un'organizzazione su cinque abbia già subito una violazione legata a shadow AI, con un costo aggiuntivo medio di 670.000 dollari: nel 65% dei casi sono stati esposti dati personali, nel 40% proprietà intellettuale.

I fronti di rischio da presidiare sono sempre gli stessi: dati dei dipendenti (CV, valutazioni, performance) senza base giuridica né informativa; dati dei clienti trattati da CRM e customer care AI senza misure di sicurezza adeguate; categorie particolari (sanitari, biometrici, giudiziari) che richiedono tutele rafforzate; know-how aziendale (strategie, contratti, codice) caricato su piattaforme che possono usarlo per addestrare i propri modelli; trasferimenti di dati verso server extra UE non sempre conformi.

L'AI Act aggiunge un ulteriore livello: classificazione del rischio, supervisione umana, documentazione di conformità e, dal 2 febbraio 2025, l'obbligo di AI literacy previsto dall'articolo 4, in vigore da subito e senza periodo transitorio. Il principio è lo stesso dell'accountability GDPR: non basta essere in regola, bisogna poterlo dimostrare.

Le mosse concrete restano quelle di sempre: mappare gli strumenti AI realmente in uso, scrivere una policy interna chiara, formare le persone, verificare i fornitori (privacy policy, localizzazione dati, sicurezza contrattuale) e monitorare nel tempo, perché la compliance AI non è un adempimento una tantum.

Il vero vantaggio competitivo non è di chi usa più AI, ma di chi la governa meglio, senza perdere il controllo dei dati e la fiducia di clienti e dipendenti.