Skip to main content

Come è andato il GDPR e cosa insegna sul Regolamento UE sull'IA

Sette lezioni dal testo del GDPR e dalle decisioni sanzionatorie, e dove il Regolamento UE sull'IA differisce.

Di Scanara

Punti chiave

  1. 1.Il regolamento generale sulla protezione dei dati (GDPR) si applica dal 25 maggio 2018. Sanzioni da 50 milioni di EUR (Google, gennaio 2019) a 1,2 miliardi di EUR (Meta, maggio 2023; ricorso pendente) sono arrivate dopo. Le norme sulle sanzioni del Regolamento UE sull'IA (articolo 99) si applicano dal 2 agosto 2025 (articolo 113). Gli obblighi relativi all'alto rischio (articoli da 8 a 27) si applicano in due date. Sono il 2 dicembre 2027 (allegato III) e il 2 agosto 2028 (allegato I). Le sanzioni corrispondenti non possono arrivare prima, perché l'articolo 99, paragrafo 4, elenca gli obblighi stessi. Esempi sono l'articolo 16 (fornitori) e l'articolo 26 (deployer). L'allegato III elenca usi ad alto rischio, come l'assunzione di personale o il credit scoring. L'allegato I elenca la normativa di armonizzazione dell'Unione sui prodotti (articolo 6, paragrafo 1). La sezione B dell'allegato I elenca altra normativa di armonizzazione dell'Unione. Gli articoli da 8 a 27 non si applicano ai sistemi di IA ad alto rischio relativi a tali prodotti (articolo 2, paragrafo 2).
  2. 2.Entrambe le norme raggiungono le imprese fuori dall'UE, con criteri diversi. L'articolo 3, paragrafo 2, del GDPR riguarda l'offerta di beni o servizi a persone nell'Unione o il monitoraggio del loro comportamento. L'articolo 2, paragrafo 1, del Regolamento UE sull'IA riguarda i fornitori che immettono sistemi sul mercato dell'Unione. Riguarda anche le imprese altrove il cui output è utilizzato nell'Unione.
  3. 3.Entrambe le norme si applicano contemporaneamente a un sistema di IA che tratta dati personali (Regolamento UE sull'IA, articolo 2, paragrafo 7). I fornitori e i deployer devono rispettarle entrambe. I deployer usano un sistema di IA sotto la propria autorità, salvo che per attività personali non professionali (articolo 3, punto 4).
  4. 4.Le sanzioni del GDPR arrivano a 20 milioni di EUR o al 4 % del fatturato mondiale annuo, se superiore (articolo 83, paragrafo 5). Per le pratiche vietate le sanzioni del Regolamento UE sull'IA arrivano a 35 milioni di EUR o al 7 % del fatturato mondiale. Vale l'importo più alto (articolo 99, paragrafo 3). Per gli obblighi ad alto rischio di fornitori e deployer le sanzioni arrivano a 15 milioni di EUR o al 3 % del fatturato mondiale. Vale l'importo più alto (articolo 99, paragrafo 4). Per le piccole e medie imprese (PMI) ogni sanzione arriva al più basso tra i due importi (articolo 99, paragrafo 6). L'articolo 3, punto 14 bis, definisce le PMI. Entrambe le norme citano attenuazione, cooperazione e misure adottate quando si fissa l'importo. Si vedano GDPR, articolo 83, paragrafo 2, e Regolamento UE sull'IA, articolo 99, paragrafo 7.

Il passo successivo: elencate i sistemi di IA che trattano dati personali e mappate i loro ruoli ai sensi di entrambe le norme.

Lezione 1: sanzioni da 50 milioni di EUR a 1,2 miliardi di EUR sono arrivate entro cinque anni

Il GDPR si applica dal 25 maggio 2018. Sono seguite queste sanzioni:

  • Google, 50 milioni di EUR (autorità francese per la protezione dei dati CNIL, gennaio 2019). Il Conseil d’État ha confermato la sanzione a giugno 2020.
  • Amazon, 746 milioni di EUR (autorità lussemburghese per la protezione dei dati CNPD, luglio 2021). Il 12 marzo 2026 la Cour administrative del Lussemburgo ha annullato la decisione e l'ha rinviata alla CNPD. La Corte ha ritenuto che la CNPD non avesse valutato la colpa e non avesse scelto correttamente la misura correttiva. La Corte ha confermato in gran parte le violazioni accertate dalla CNPD.
  • WhatsApp, 225 milioni di EUR (Commissione irlandese per la protezione dei dati, DPC, agosto 2021). La pagina delle sanzioni della DPC (aggiornata il 21 settembre 2026) riporta la sanzione come «Pending Appeal» (ricorso pendente).
  • Meta, 1,2 miliardi di EUR (DPC irlandese, maggio 2023). La pagina delle sanzioni della DPC (aggiornata il 21 settembre 2026) riporta la sanzione come «Pending Appeal» (ricorso pendente).

Non possiamo prevedere quando le autorità irrogheranno la prima sanzione ai sensi del Regolamento UE sull'IA

Gli Stati membri stabiliscono le norme sulle sanzioni (articolo 99, paragrafo 1) e le autorità nazionali valutano ogni caso (articolo 99, paragrafo 7).

Lezione 2: la conformità viaggia attraverso contratti e documenti

L'articolo 28, paragrafo 3, del GDPR disciplina i responsabili del trattamento (organismi che trattano dati personali per conto del titolare del trattamento, articolo 4, punto 8). Richiede un contratto o un altro atto giuridico che vincoli il responsabile al titolare.

Anche il Regolamento UE sull'IA sposta obblighi lungo la catena di fornitura. I sistemi ad alto rischio sono accompagnati da istruzioni per l'uso destinate ai deployer (articolo 13, paragrafo 2). I fornitori di modelli di IA per finalità generali (modelli in grado di svolgere con competenza un'ampia gamma di compiti distinti, articolo 3, punto 63) devono fornire documentazione. La consegnano ai fornitori che integrano il modello in sistemi di IA (articolo 53, paragrafo 1, lettera b)). Tali fornitori sono fornitori a valle (articolo 3, punto 68). L'articolo 25, paragrafo 4, richiede un accordo scritto tra il fornitore di un sistema ad alto rischio e terzi. Questi terzi gli forniscono sistemi di IA, modelli di IA, strumenti, servizi, componenti o processi. La regola esclude i terzi che rendono accessibili al pubblico strumenti, servizi, processi o componenti, diversi dai modelli di IA per finalità generali, con licenza libera e open source.

Il Regolamento UE sull'IA richiede documenti e accordi scritti lungo la catena di fornitura dell'IA, con date diverse

L'articolo 53, paragrafo 1, lettera b), si applica dal 2 agosto 2025. Gli articoli 13 e 25, paragrafo 4, si applicano dal 2 dicembre 2027 (allegato III) o dal 2 agosto 2028 (allegato I). Sono esclusi i prodotti della sezione B (articolo 2, paragrafo 2).

Lezione 3: entrambe le norme raggiungono le imprese fuori dall'UE

L'articolo 3, paragrafo 2, del GDPR raggiunge le organizzazioni fuori dall'UE che offrono beni o servizi a persone nell'Unione o ne monitorano il comportamento. Le sanzioni della lezione 1 hanno colpito quattro società: Google LLC, Amazon Europe Core S.à r.l., WhatsApp Ireland Ltd e Meta Platforms Ireland Limited. Le ultime tre hanno sede nell'UE, quindi queste sanzioni non mostrano l'articolo 3, paragrafo 2, in azione.

Il Regolamento UE sull'IA usa un criterio diverso. L'articolo 2, paragrafo 1, lettera c), copre i fornitori e i deployer stabiliti in un paese terzo quando l'output del sistema è utilizzato nell'Unione. L'articolo 2, paragrafo 1, lettera a), copre i fornitori che immettono sistemi di IA sul mercato dell'Unione ovunque siano stabiliti.

I fornitori di paesi terzi di sistemi ad alto rischio e di modelli di IA per finalità generali devono nominare un rappresentante autorizzato nell'Unione (articoli 22 e 54)

I fornitori di sistemi ad alto rischio stabiliti in paesi terzi devono nominare, mediante mandato scritto, un rappresentante autorizzato stabilito nell'Unione (articolo 22, paragrafo 1). Un rappresentante autorizzato è una persona fisica o giuridica che si trova o è stabilita nell'Unione. Ha ricevuto e accettato l'incarico scritto di un fornitore di adempiere ed eseguire per suo conto gli obblighi e le procedure stabiliti dal presente regolamento (articolo 3, punto 5). L'articolo 22 si applica dal 2 dicembre 2027 (allegato III) o dal 2 agosto 2028 (allegato I). Sono esclusi i prodotti della sezione B (articolo 2, paragrafo 2). I fornitori di modelli di IA per finalità generali stabiliti in paesi terzi devono fare lo stesso prima di immettere il modello sul mercato (articolo 54, paragrafo 1). L'articolo 54 si applica dal 2 agosto 2025. I fornitori di modelli immessi sul mercato prima di tale data devono adottare le misure necessarie per conformarsi agli obblighi entro il 2 agosto 2027 (articolo 111, paragrafo 3). L'articolo 54, paragrafo 6, esonera i fornitori di modelli di IA per finalità generali rilasciati con licenza libera e open source che consente accesso, uso, modifica e distribuzione. I loro parametri e le informazioni sull'architettura e sull'uso devono essere pubblici. L'esonero non si applica ai modelli con rischi sistemici (rischi specifici delle capacità di impatto elevato di tali modelli, articolo 3, punto 65).

Lezione 4: integrare la conformità nell'ingegneria

L'articolo 25 del GDPR richiede la protezione dei dati fin dalla progettazione e per impostazione predefinita. Il titolare del trattamento (l'organismo che determina le finalità e i mezzi del trattamento, articolo 4, punto 7) mette in atto misure tecniche e organizzative adeguate. Lo fa al momento di determinare i mezzi del trattamento e durante il trattamento stesso (articolo 25, paragrafo 1).

Il Regolamento UE sull'IA fissa requisiti di progettazione per i sistemi ad alto rischio. L'articolo 12, paragrafo 1, richiede che consentano a livello tecnico la registrazione automatica degli eventi (log). L'articolo 14, paragrafo 1, richiede che persone fisiche possano supervisionarli efficacemente. L'articolo 15, paragrafo 1, richiede un adeguato livello di accuratezza, robustezza e cibersicurezza. Il sistema di gestione dei rischi opera durante l'intero ciclo di vita (articolo 9, paragrafo 2).

Lezione 5: le due norme si applicano contemporaneamente

Fatti salvi gli articoli 4 bis e 59, il Regolamento UE sull'IA non incide sul GDPR (articolo 2, paragrafo 7). Un sistema di IA che tratta dati personali deve rispettare entrambe le norme.

Tre temi compaiono in entrambe le norme. Il primo sono le decisioni automatizzate e la sorveglianza umana (GDPR, articolo 22; Regolamento UE sull'IA, articolo 14). Il secondo è la trasparenza (GDPR, articoli 13 e 14; Regolamento UE sull'IA, articoli 13 e 50). Il terzo sono le valutazioni d'impatto. L'articolo 35 del GDPR richiede una valutazione dell'impatto sulla protezione dei dati personali quando il trattamento può presentare un rischio elevato. L'articolo 27 del Regolamento UE sull'IA richiede una valutazione dell'impatto sui diritti fondamentali. Si applica ai deployer che sono organismi di diritto pubblico o enti privati che forniscono servizi pubblici. Si applica anche ai deployer dei sistemi di cui all'allegato III, punto 5, lettere b) e c). Sono esclusi i sistemi del settore di cui all'allegato III, punto 2.

Lezione 6: entrambe le norme ponderano le misure adottate quando si fissano le sanzioni

L'articolo 83, paragrafo 2, del GDPR elenca i fattori che l'autorità considera quando fissa una sanzione. Tra questi rientrano le misure adottate per attenuare il danno, il grado di responsabilità tenuto conto delle misure tecniche e organizzative e la cooperazione con l'autorità di controllo.

L'articolo 99, paragrafo 7, del Regolamento UE sull'IA elenca fattori simili. Tra questi rientrano il grado di cooperazione (lettera f)) e il grado di responsabilità tenuto conto delle misure tecniche e organizzative (lettera g)). Vi rientrano anche il modo in cui la violazione è venuta a conoscenza (lettera h)) e le azioni intraprese per attenuare il danno (lettera j)).

Conservate traccia delle misure che adottate

L'articolo 99, paragrafo 7, lettera g), rende un fattore per la fissazione della sanzione le misure tecniche e organizzative attuate da un operatore. Le tracce non eliminano l'obbligo di conformarsi dal 2 dicembre 2027 (allegato III) o dal 2 agosto 2028 (allegato I). Sono esclusi i prodotti della sezione B (articolo 2, paragrafo 2).

Lezione 7: l'obbligo giuridico resta all'organizzazione

Il GDPR ha creato obblighi per il consenso (articolo 7), i registri dei trattamenti (articolo 30) e le valutazioni d'impatto (articolo 35). Il titolare del trattamento ne resta responsabile (articolo 24).

Il Regolamento UE sull'IA funziona allo stesso modo. L'obbligo resta in capo al fornitore di un sistema ad alto rischio (articolo 16) e al suo deployer (articolo 26).

Il GDPR si è applicato in una volta sola; gli obblighi del Regolamento UE sull'IA si applicano per fasi dal 2025 al 2028

FaseGDPRRegolamento UE sull'IA
Adottatoaprile 2016giugno 2024
Entrata in vigoremaggio 2016agosto 2024
Primi obblighi25 maggio 2018 (tutto in una volta)2 febbraio 2025 (pratiche vietate e alfabetizzazione in materia di IA; eccezione: l'articolo 5, paragrafo 1, lettere b bis) e b ter), e i paragrafi 1 bis e 1 ter, aggiunti dal regolamento (UE) 2026/1744, si applicano dal 2 dicembre 2026); 2 agosto 2025 (obblighi per i modelli di IA per finalità generali e norme sulle sanzioni, tranne l'articolo 101); 2 agosto 2026 (sanzioni dell'articolo 101 ai fornitori di modelli di IA per finalità generali)
Si applicano gli obblighi principali (Regolamento UE sull'IA: sistemi ad alto rischio)25 maggio 20182 dicembre 2027 (allegato III) e 2 agosto 2028 (allegato I, esclusi i prodotti della sezione B; articolo 2, paragrafo 2)
Sanzione massima (% fatturato)20 milioni di EUR o 4 % del fatturato mondiale annuo, se superiore (articolo 83, paragrafo 5)Pratiche vietate: 35 milioni di EUR o 7 % del fatturato mondiale annuo, se superiore (articolo 99, paragrafo 3). Obblighi ad alto rischio di fornitori e deployer: 15 milioni di EUR o 3 %, se superiore (articolo 99, paragrafo 4). PMI: l'importo più basso tra i due (articolo 99, paragrafo 6). Piccole imprese a media capitalizzazione (articolo 3, punto 14 ter): lo stesso per le sanzioni dell'articolo 99, paragrafi 4 e 5 (articolo 99, paragrafo 6 bis).
Si applica fuori dall'UESì (articolo 3, paragrafo 2)Sì (articolo 2, paragrafo 1, lettere a) e c))

Letture correlate

Fonti e riferimenti

Domande frequenti

Come si è tradotta in pratica l'applicazione del GDPR?

Il regolamento generale sulla protezione dei dati (GDPR) si applica dal 25 maggio 2018. Sono seguite queste sanzioni. Google, 50 milioni di EUR (autorità francese per la protezione dei dati CNIL, gennaio 2019). Il Conseil d’État ha confermato la sanzione a giugno 2020. Amazon, 746 milioni di EUR (autorità lussemburghese per la protezione dei dati CNPD, luglio 2021). Il 12 marzo 2026 la Cour administrative del Lussemburgo ha annullato la decisione e l'ha rinviata alla CNPD. La Corte ha ritenuto che la CNPD non avesse valutato la colpa e non avesse scelto correttamente la misura correttiva. La Corte ha confermato in gran parte le violazioni accertate dalla CNPD. WhatsApp, 225 milioni di EUR (Commissione irlandese per la protezione dei dati, DPC, agosto 2021). La pagina delle sanzioni della DPC (aggiornata il 21 settembre 2026) riporta la sanzione come «Pending Appeal» (ricorso pendente). Meta, 1,2 miliardi di EUR (DPC irlandese, maggio 2023). La pagina delle sanzioni della DPC (aggiornata il 21 settembre 2026) riporta la sanzione come «Pending Appeal» (ricorso pendente). Stato al 26 ottobre 2026; le fonti sono elencate in questa pagina.

Il Regolamento UE sull'IA sostituisce il GDPR?

No. Fatti salvi gli articoli 4 bis e 59, il Regolamento UE sull'IA non incide sul GDPR (articolo 2, paragrafo 7). Il GDPR disciplina il trattamento dei dati personali. Il Regolamento UE sull'IA disciplina i sistemi di IA e i modelli di IA per finalità generali. Un sistema di IA che tratta dati personali deve rispettare entrambi.

Quanto sono simili i processi di conformità al GDPR e al Regolamento UE sull'IA?

Si sovrappongono sulle valutazioni d'impatto. Ove applicabile, un deployer di un sistema ad alto rischio deve usare le informazioni dell'articolo 13 fornite dal fornitore. Le usa per la propria valutazione d'impatto sulla protezione dei dati (GDPR, articolo 35; Regolamento UE sull'IA, articolo 26, paragrafo 9). Qualsiasi obbligo dell'articolo 27 può essere già soddisfatto mediante questa valutazione. In tal caso il deployer può richiamarla o includerne parti nella valutazione d'impatto sui diritti fondamentali (articolo 27, paragrafo 4).

Quanto tempo c'è prima che si applichino gli obblighi del Regolamento UE sull'IA?

Gli obblighi per i sistemi ad alto rischio dell'allegato III (articoli da 8 a 27) si applicano dal 2 dicembre 2027. Per i sistemi dell'allegato I si applicano dal 2 agosto 2028 (articolo 113). Il regolamento (UE) 2026/1744 ha spostato queste date; le date precedenti erano il 2 agosto 2026 e il 2 agosto 2027. La sezione B dell'allegato I elenca altra normativa di armonizzazione dell'Unione. Ai sistemi di IA ad alto rischio relativi a tali prodotti si applicano solo alcuni articoli (articolo 2, paragrafo 2). Sono l'articolo 6, paragrafo 1, l'articolo 60 bis e gli articoli da 102 a 112. Gli articoli 57, 58 e 59 si applicano solo nella misura in cui i requisiti per i sistemi di IA ad alto rischio sono stati integrati in tale normativa.

Chi fa applicare il Regolamento UE sull'IA?

Le autorità nazionali di vigilanza del mercato fanno applicare il Regolamento UE sull'IA (articoli 70 e 74). Sono le autorità nazionali che agiscono a norma del regolamento (UE) 2019/1020 (articolo 3, punto 26, del Regolamento UE sull'IA). La Commissione ha poteri esclusivi per sorvegliare e far rispettare le norme sui modelli di IA per finalità generali. Affida questi compiti all'Ufficio per l'IA (articolo 88, paragrafo 1). L'Ufficio per l'IA ha inoltre competenza esclusiva sui sistemi di IA basati su un modello di IA per finalità generali. Vale quando lo stesso fornitore, o fornitori della stessa impresa, hanno sviluppato il modello e il sistema. L'articolo 75, paragrafo 1, lettera a), sostituito dal regolamento (UE) 2026/1744, elenca quattro eccezioni. L'Ufficio per l'IA ha inoltre competenza esclusiva su un secondo gruppo di sistemi di IA (articolo 75, paragrafo 1, lettera b)). Sono i sistemi che costituiscono una piattaforma online o un motore di ricerca online di dimensioni molto grandi, o vi sono integrati. La piattaforma o il motore deve essere designato a norma del regolamento (UE) 2022/2065. Gli Stati membri decidono come si applicano le sanzioni alle autorità pubbliche (articolo 99, paragrafo 8).

Scanara prepara evidenze dai vostri repository

Scanara legge i vostri repository GitHub collegati ed esegue scansioni basate su regole per individuare pattern comuni di IA e machine learning. Può non rilevare il codice non standard. Separatamente genera bozze di documentazione a partire da modelli e dalle vostre risposte alle valutazioni, come evidenze per il vostro lavoro di conformità. La classificazione la decidete voi.