NicFab BlogHub GDPR e AI — Intersezioni operative
Dove l'AI Act e il GDPR si sovrappongono: basi giuridiche, diritti degli interessati, DPIA, profilazione, dati di addestramento, trasferimenti. Mappa operativa per professionisti.
Sviluppo o addestro un modello AI
Basi giuridiche per il training, data governance, anonimizzazione, conseguenze del trattamento illecito.
Uso un sistema AI per decisioni
DPIA, Art. 22, human oversight, profilazione, obblighi di trasparenza verso gli interessati.
Voglio capire i miei diritti
Informativa, accesso, rettifica, cancellazione, opposizione, spiegazione del funzionamento.
Fonte strutturante: EDPB Opinion 28/2024 — Trattamento dei dati personali nel contesto dei modelli AI (17 dicembre 2024)
Intersezioni chiave tra AI Act e GDPR
L'AI Act e il GDPR operano su piani distinti ma convergenti. Questa sezione mappa le 9 aree principali di sovrapposizione e coordinamento tra i due regolamenti.
Trasparenza e diritti degli interessati
Quando un sistema AI tratta dati personali, il GDPR garantisce agli interessati un insieme di diritti che devono essere effettivamente esercitabili — anche quando i dati entrano in pipeline di addestramento o in processi decisionali automatizzati.
Basi giuridiche: training, fine-tuning, deployment
L'Opinion 28/2024 dell'EDPB distingue chiaramente le fasi di sviluppo e di distribuzione/uso di un modello AI. I problemi giuridici cambiano significativamente tra raccolta e riuso di dati per l'addestramento e uso operativo del sistema AI.
Art. 22 GDPR e human oversight AI Act
L'Art. 22 GDPR e gli obblighi di human oversight dell'AI Act affrontano lo stesso problema da angolature diverse: garantire che le decisioni automatizzate non sfuggano al controllo umano.
DPIA e FRIA: coordinamento operativo
La DPIA (Art. 35 GDPR) e la FRIA (Art. 27 AI Act) sono valutazioni d'impatto con ambiti distinti ma complementari. L'AI Act prevede espressamente il loro coordinamento.
Profilazione e inferenze
Molti sistemi AI effettuano profilazione ai sensi del GDPR, anche quando non sono progettati esplicitamente per farlo.
Dati di addestramento, minimizzazione, retention, accuracy
I principi GDPR si applicano integralmente ai dati personali utilizzati per l'addestramento, la validazione e il test di modelli AI.
Trasferimenti internazionali e catena dei fornitori
Per i sistemi AI, il tema dei trasferimenti internazionali di dati raramente è astratto. Il problema concreto coinvolge provider, subprocessor, API esterne, logging, telemetria, prompt routing e hosting distribuito.
Orientamenti istituzionali chiave
Le istituzioni europee hanno prodotto orientamenti specifici sull'intersezione tra protezione dei dati e intelligenza artificiale.
Digital Package — impatto sulle intersezioni GDPR-AI Act
La proposta di Digital Package include modifiche che toccano direttamente le intersezioni tra AI Act e GDPR.
Risorse e fonti
Fonti istituzionali, orientamenti EDPB e strumenti operativi per approfondire le intersezioni tra GDPR e intelligenza artificiale.
AI Act Self-Assessment Tool
Verifica in autonomia se il tuo sistema AI rientra nell'AI Act, in quale categoria di rischio si colloca e quali obblighi si applicano.
Avvia Self-Assessment →