La domanda piu' frequente che riceviamo dalle imprese che adottano l'intelligenza artificiale e' questa: se i dati dei clienti finiscono in un sistema di intelligenza artificiale, il GDPR si applica? La risposta, dal 2025, e' senza equivoci: si'.
Il fine-tuning non e' escluso
Il GDPR continua a governare qualsiasi dato personale elaborato per addestrare, per fare fine-tuning o per eseguire i modelli linguistici. L'idea che l'IA generativa sia un settore separato dal diritto della privacy non regge: nel momento in cui si addestra un modello su dati che identificano persone, quei dati restano dati personali, con tutti gli obblighi che ne discendono.
La conseguenza operativa e' che le garanzie di base restano le stesse: base giuridica, informativa, diritti degli interessati, e - quando si trasferiscono dati extra SEE - le garanzie del trasferimento internazionale.
Il parere EDPB: anonimizzazione vera o pseudonizzazione
Il punto cardine del dibattito europeo e' il parere EDPB sul training dei modelli AI, che si sofferma sulla questione decisiva: se un dato e' stato reso realmente anonimo, esce dal campo di applicazione del GDPR; se e' soltanto pseudonizzato, resta dato personale, con la protezione integralmente applicabile.
E' la distinzione che decide il confine. Un dataset in cui i nomi sono stati sostituiti con identificatori non e' anonimo: con un elevato rischio di re-identificazione, la pseudonizzazione non fa uscire i dati dal regime. Ogni impresa che addestra modelli deve poter dimostrare quale tecnica ha usato e con quale esito.
L'attivita' sanzionatoria del Garante nel 2026
L'attivita' sanzionatoria del Garante si e' intensificata. Il 9 luglio 2026 e' stata irrogata una multa a Character.AI, e sono in corso provvedimenti sui soggetti che offrono alloggio per le piattaforme generative. Il caso OpenAI resta il precedente piu' noto: una sanzione di 15 milioni di euro con misure correttive, di cui nel 2026 si e' discusso il possibile annullamento.
La direzione e' chiara: l'attenzione del regolatore si e' spostata dall'azione sanzionatoria sul produttore del modello a quella sul soggetto che utilizza il modello (deployer), cioe' sull'organizzazione che lo impiega. Chi adotta strumenti di AI generativa a nome proprio e' oggi il soggetto piu' esposto.
L'incrocio con l'AI Act
L'intersezione tra GDPR e AI Act e' ormai strutturale: l'AI Act introduce regole su rischio, trasparenza e governance; il GDPR sulla base giuridica, sulla minimizzazione e sui diritti. Un chatbot conforme all'AI Act puo' non essere conforme al GDPR, e viceversa: sono regimi autonomi con obblighi cumulativi.
Per il responsabile della conformita' la conseguenza pratica e' che la mappatura non puo' fermarsi al Regolamento sull'AI: va estesa al trattamento dei dati, con un'unica griglia di verifica che copra entrambi.
Usi chatbot o assistenti AI con dati di clienti?
Verifichiamo base giuridica, informativa e trasferimenti extra SEE: sono i tre punti su cui l'attivita' sanzionatoria si e' spostata.
Verifica la conformita'