AI Act e GDPR per chi usa l'AI in azienda: la guida

Chi usa l’AI in azienda deve rispettare due normative insieme: il GDPR, che regola i dati personali, e l’AI Act, che regola i sistemi di intelligenza artificiale. Non si sostituiscono: usare l’AI su dati personali fa scattare entrambe. Dal 2 agosto 2026 l’AI Act aggiunge nuovi obblighi, e la minimizzazione a monte resta la misura tecnica più concreta per ridurre il rischio.

Questa è la guida di riferimento su AI Act e GDPR per le aziende: cosa cambia, come coordinare le due normative senza contraddizioni e quale ruolo hanno le misure tecniche. È l’hub del tema: da qui trovi le guide specifiche, dagli obblighi dell’AI Act dal 2 agosto 2026 alle differenze pratiche tra AI Act e GDPR.

Il problema in breve

L’AI generativa è già entrata nei processi aziendali, spesso senza che l’organizzazione lo sappia. Secondo il Data Breach Investigations Report 2026 di Verizon, il 45% dei dipendenti usa regolarmente strumenti di AI al lavoro, e la maggior parte con account personali fuori da ogni controllo. Ogni volta che uno di loro incolla un nome, un codice fiscale o un contratto in ChatGPT, Claude o Gemini, l’azienda tratta dati personali con un fornitore terzo — e attiva obblighi sia del GDPR sia dell’AI Act.

Il punto non è vietare l’AI, ma governarne l’uso riducendo ciò che le viene dato. Coordinare le due normative e adottare misure tecniche di minimizzazione è il modo per usare l’AI senza trasformare ogni prompt in un rischio di violazione.

Due normative, un obiettivo

GDPR e AI Act nascono in momenti diversi ma condividono un obiettivo di fondo: proteggere le persone dagli usi impropri della tecnologia. Cambia l’oggetto.

• Il GDPR — Reg. (UE) 2016/679 regola il trattamento dei dati personali: chi tratta dati di persone fisiche deve avere una base giuridica, informare gli interessati, limitare i dati a quanto necessario e garantirne la sicurezza.
• L’ AI Act — Reg. (UE) 2024/1689 regola i sistemi di intelligenza artificiale: li classifica per livello di rischio (inaccettabile, alto, limitato, minimo) e impone obblighi proporzionati, dalla trasparenza alla governance dei modelli.

La conseguenza pratica è netta: quando usi un assistente AI su dati personali, si applicano entrambi. Essere conforme all’uno non ti mette al riparo dall’altro. La differenza tra le due normative è approfondita in AI Act e GDPR: due normative, come coordinarle.

AI Act: cosa cambia dal 2 agosto 2026

L’AI Act è entrato in vigore nel 2024, ma i suoi obblighi si applicano a scaglioni. Alcune date contano per chi usa l’AI in azienda.

• 2 febbraio 2025 — divieto dei sistemi di IA a rischio inaccettabile e obbligo di alfabetizzazione del personale (art. 4): chi impiega sistemi di IA deve assicurarsi che chi li usa abbia un livello adeguato di competenza. È l’obbligo di AI literacy, spiegato in AI literacy: l’obbligo dell’art. 4 dell’AI Act.
• 2 agosto 2026 — diventano applicabili le regole su governance, autorità competenti e regime sanzionatorio, insieme a gran parte degli obblighi per i sistemi ad alto rischio. È la scadenza che rende l’AI Act “operativo” per la maggior parte delle organizzazioni.

Cosa devi fare in concreto per prepararti è il tema della guida dedicata: AI Act: cosa devono fare le aziende dal 2 agosto 2026. Qui basti tenere il principio: dal 2026 l’AI Act non è più solo un testo di legge, ha strumenti di enforcement.

GDPR e AI: i principi che restano

Quando l’AI tratta dati personali, il GDPR non fa eccezioni. I principi dell’ GDPR art. 5 valgono identici:

• Base giuridica. Serve una ragione lecita per trattare i dati (consenso, contratto, legittimo interesse…). Il tema è approfondito in è lecito trattare dati personali con ChatGPT?.
• Minimizzazione. GDPR art. 5(1)(c) impone di trattare solo i dati necessari. All’AI serve il contenuto di un documento, non l’identità delle persone: dare più dati del necessario viola questo principio.
• Trasparenza e diritti. Gli interessati vanno informati e possono esercitare i loro diritti; il trasferimento dei dati fuori dall’UE va valutato.

Nessuno di questi obblighi scompare perché “lo fa l’AI”. Anzi: la natura opaca dei modelli in cloud li rende più delicati.

Come coordinarle

AI Act e GDPR non vanno gestiti come due adempimenti separati, ma come un unico sistema di governance. Ecco i punti di raccordo che contano per chi usa l’AI generativa.

Il coordinamento pratico si regge su tre mosse: mappare dove l’AI tratta dati personali, valutare il rischio con una DPIA quando serve (vedi DPIA e intelligenza artificiale), e ridurre a monte i dati che entrano nell’AI. Quest’ultima è la leva più diretta.

La minimizzazione come misura tecnica

Tra tutte le misure, la minimizzazione a monte è quella che agisce prima del rischio, non dopo. L’idea è semplice: se il dato identificativo non esce dal dispositivo, non c’è violazione da gestire a valle.

In pratica significa individuare i dati che identificano una persona e sostituirli con segnaposto coerenti prima di inviarli all’AI. All’assistente arriva un testo che conserva senso e struttura, ma non contiene più le persone reali.

Esempio prima/dopo

Le parti: TechNova Srl, nella persona di Mario Rossi
(CF RSSMRA80A01H501U), con sede in Via Roma 1, Milano,
IBAN IT60X0542811101000000123456,
email mario.rossi@technova.it

Le parti: [AZIENDA_1], nella persona di [NOME_1]
(CF [CF_1]), con sede in [INDIRIZZO_1],
IBAN [IBAN_1],
email [EMAIL_1]

La versione a destra riduce l’esposizione: l’AI può analizzare le clausole del contratto senza vedere chi sono le parti né il loro IBAN. Non è “anonima al 100%” in senso assoluto — è un testo minimizzato, coerente con il principio di minimizzazione, con molti meno appigli per re-identificare qualcuno.

Cosa NON basta

Diverse misure aiutano, ma nessuna, da sola, esaurisce gli obblighi. Saperlo evita un falso senso di sicurezza.

• La versione Enterprise di un assistente AI migliora le garanzie contrattuali, ma non riduce i dati che i tuoi dipendenti immettono: quella parte resta a carico dell’organizzazione.
• Una policy interna (“non incollare dati in chiaro”) stabilisce la regola ma non la rende eseguibile ogni giorno, su ogni documento — serve una misura che la renda praticabile. Vedi come governare la Shadow AI senza vietarla.
• Un solo adempimento (solo la DPIA, solo la formazione, solo il registro) non copre l’insieme: AI Act e GDPR richiedono un sistema, non un singolo timbro.
• Nessuno strumento — PrivActa incluso — “ti mette a norma”. La conformità dipende dal titolare del trattamento e dalle sue valutazioni.

Ripetiamolo con chiarezza, perché è il punto che più spesso viene frainteso: usare una misura tecnica riduce il rischio, non lo azzera e non sostituisce gli obblighi dell’organizzazione.

Le guide del cluster

Questa pillar è il punto di partenza sul tema AI Act e GDPR. A seconda di cosa ti serve, prosegui con la guida dedicata:

• Gli adempimenti pratici — cosa fare dalla scadenza: AI Act: cosa devono fare le aziende dal 2 agosto 2026.
• Il coordinamento tra le due norme — perché conforme all’una ≠ conforme all’altra: AI Act e GDPR: come coordinarli.
• L’obbligo di formazione — l’art. 4 spiegato semplice: AI literacy: l’obbligo dell’art. 4.
• La liceità del trattamento — base giuridica e principi: è lecito trattare dati personali con ChatGPT?.

Per il quadro d’insieme sull’uso dell’AI con dati sensibili, parti dalla guida madre: usare l’AI generativa con dati sensibili.

Domande frequenti

AI Act e GDPR sono la stessa cosa? No. Il GDPR regola il trattamento dei dati personali; l’AI Act regola i sistemi di intelligenza artificiale in base al rischio. Si applicano insieme: usare l’AI su dati personali fa scattare entrambi, e la conformità all’uno non basta per l’altro.

Cosa cambia dal 2 agosto 2026 con l’AI Act? Dal 2 agosto 2026 diventano applicabili nuovi obblighi previsti dall’AI Act, tra cui quelli sui modelli di IA per finalità generali e il regime sanzionatorio e di governance. L’obbligo di alfabetizzazione del personale (art. 4) è già applicabile dal 2 febbraio 2025.

Usare uno strumento di anonimizzazione mi mette a norma con AI Act e GDPR? No. Ridurre i dati identificativi prima di inviarli all’AI è una misura tecnica di minimizzazione che abbassa l’esposizione, non un timbro di conformità. Gli obblighi di AI Act e GDPR restano in capo al titolare del trattamento e all’organizzazione.

È lecito trattare dati personali con ChatGPT, Claude o Gemini? Può esserlo se hai una base giuridica valida e rispetti i principi del GDPR, tra cui la minimizzazione. Molto dipende da come usi lo strumento: inviare solo dati necessari e mascherare gli identificativi riduce sensibilmente il rischio.

Serve una DPIA per usare l’AI generativa in azienda? Spesso sì, quando il trattamento presenta un rischio elevato per i diritti delle persone. Le misure tecniche di minimizzazione, come mascherare i dati prima dell’invio, riducono il rischio residuo che la valutazione d’impatto deve considerare.

Metti la minimizzazione al centro della tua governance AI

AI Act e GDPR chiedono all’organizzazione di governare l’AI, non di subirla. La minimizzazione a monte è la misura tecnica più concreta per farlo: PrivActa ti aiuta a mascherare nomi, codici fiscali, IBAN e indirizzi sul dispositivo, prima che il testo raggiunga l’AI — l’elaborazione resta offline, il documento originale non esce mai. Vedi PrivActa per le aziende, approfondisci il tema conformità o scarica PrivActa e valutalo sui tuoi documenti.