AI Act e GDPR: due normative, come coordinarle

AI Act e GDPR sono due normative distinte che si applicano insieme, non in alternativa. Il GDPR regola il trattamento dei dati personali; l’AI Act regola i sistemi di intelligenza artificiale in base al rischio. Essere conformi all’uno non basta per l’altro: quando un’AI tratta dati personali, valgono entrambi contemporaneamente.

Questa guida chiarisce le differenze tra AI Act e GDPR e come coordinarli. È lo spoke normativo della pillar AI Act e GDPR per le aziende, pensato per DPO e funzioni legal che devono mettere ordine tra i due impianti.

Cosa regola l’AI Act, cosa il GDPR

I due testi partono da presupposti diversi e proteggono cose diverse.

Il GDPR (Regolamento UE 2016/679) disciplina il trattamento dei dati personali: qualunque operazione su informazioni riferite a una persona identificata o identificabile, indipendentemente dalla tecnologia usata. Il suo perno è la tutela della persona rispetto ai suoi dati: base giuridica, informativa, finalità, minimizzazione, sicurezza.

L’AI Act (Regolamento UE 2024/1689) disciplina i sistemi di intelligenza artificiale immessi sul mercato o usati nell’Unione, con un approccio basato sul rischio: pratiche vietate, sistemi ad alto rischio con obblighi stringenti, obblighi di trasparenza per i sistemi a rischio limitato. Regola il sistema — la sua progettazione, documentazione, sorveglianza — anche quando non tratta alcun dato personale.

In sintesi, sono due assi diversi:

Aspetto	GDPR	AI Act
Oggetto	Il trattamento dei dati personali	Il sistema di intelligenza artificiale
Si applica se	Ci sono dati personali	C’è un sistema AI (anche senza dati personali)
Logica	Diritti dell’interessato, liceità del trattamento	Livello di rischio del sistema
Chi risponde	Titolare e responsabile del trattamento	Fornitore, deployer (utilizzatore), importatore
In vigore	Dal 2018	Applicazione scaglionata dal 2025-2026

Dove si sovrappongono

Le due normative si incontrano in un punto molto frequente: un sistema AI che tratta dati personali. È esattamente ciò che succede quando un dipendente incolla in un assistente AI come ChatGPT, Claude o Gemini un contratto, una cartella clinica o una lista clienti con nomi, codici fiscali e IBAN.

In quel momento:

• scatta il GDPR, perché stai trattando dati personali (li trasmetti a un fornitore, che li elabora e può conservarli);
• scatta l’AI Act, perché stai usando un sistema di intelligenza artificiale come deployer, con i relativi obblighi di alfabetizzazione e trasparenza.

L’AI Act stesso lo mette nero su bianco: non deroga al GDPR. Le regole sulla protezione dei dati continuano ad applicarsi integralmente ai trattamenti svolti nell’uso dei sistemi AI. Alcuni concetti sono anche condivisi: la minimizzazione dei dati è un principio GDPR (art. 5(1)(c)) che l’AI Act richiama come buona pratica di governance dei dati per i sistemi ad alto rischio.

Ed è qui che agiscono le misure tecniche: ridurre o mascherare i dati personali prima che raggiungano l’AI attenua sia l’esposizione ai fini GDPR sia il rischio del trattamento sotteso all’uso del sistema.

”Conforme all’AI Act ≠ conforme al GDPR”

L’errore più comune, in azienda, è pensare che aver sistemato un fronte chiuda anche l’altro. Non è così, in nessuna delle due direzioni.

• Un sistema AI perfettamente conforme all’AI Act — documentato, trasparente, correttamente classificato — può comunque violare il GDPR se tratta dati personali senza base giuridica, senza informativa, o senza minimizzazione.
• Al contrario, un trattamento conforme al GDPR non mette al riparo dagli obblighi AI Act legati al sistema in sé (alfabetizzazione del personale, trasparenza verso gli utenti, divieti su certe pratiche).

Il motivo è strutturale: proteggono beni giuridici diversi. Il GDPR protegge la persona e i suoi dati; l’AI Act protegge da un uso rischioso della tecnologia. Coprire uno lascia l’altro scoperto.

Vale anche la regola di fondo del framing: nessuno strumento, da solo, “rende conformi”. La conformità dipende dal titolare del trattamento e dal deployer, dalle loro valutazioni e dalle misure che adottano. Uno strumento di anonimizzazione riduce l’esposizione; non sostituisce l’analisi giuridica.

Come coordinarli

Anziché gestire due percorsi separati, conviene trattare AI Act e GDPR come un unico registro di adempimenti. Un ordine di lavoro pratico per DPO e legal:

1. Parti dal GDPR sul trattamento. Individua base giuridica, finalità e informativa per l’uso dell’AI su dati personali. È il livello che scatta più spesso e più in fretta.
2. Applica la minimizzazione a monte. Riduci o maschera i dati identificativi — nome, codice fiscale, IBAN, indirizzo — prima dell’invio all’AI. È la misura tecnica di minimizzazione (art. 5(1)(c) GDPR) che abbassa l’esposizione in ogni scenario.
3. Valuta se serve una DPIA. Per trattamenti su larga scala o dati particolari con l’AI, la valutazione d’impatto può essere necessaria: vedi DPIA e intelligenza artificiale.
4. Mappa gli obblighi AI Act del sistema. Classifica il rischio del sistema usato, verifica gli obblighi di alfabetizzazione AI del personale e di trasparenza verso gli utenti.
5. Consolida in un unico presidio. Documenta insieme misure GDPR e AI Act, così un audit trova un solo quadro coerente, non due silos.

La distinzione tra ridurre in modo reversibile o irreversibile i dati — pseudonimizzazione e anonimizzazione — pesa su entrambe le normative: la trovi spiegata in pseudonimizzazione e anonimizzazione: la differenza.

Ridurre l’esposizione a monte, in modo ripetibile

Il punto in cui GDPR e AI Act si toccano concretamente è il dato personale che entra nell’AI. Agire lì — prima dell’invio — è la misura che semplifica entrambi i fronti: meno dati identificativi escono, minore è l’esposizione ai fini GDPR e minore il rischio del trattamento sotteso all’uso del sistema.

Farlo a mano su ogni documento, però, è lento e fallace: un codice fiscale in una nota a piè di pagina, un nome in una tabella allegata. PrivActa è uno strumento di supporto all’anonimizzazione: individua e maschera automaticamente nomi, codici fiscali, IBAN, P.IVA e indirizzi italiani, sostituendoli con segnaposto coerenti, sul dispositivo, prima che il testo raggiunga qualunque motore AI — ChatGPT, Claude o Gemini. Il documento originale non esce dal computer.

Non è un timbro di conformità e non esaurisce gli obblighi del titolare: è una misura tecnica di minimizzazione che rende ripetibile un passaggio altrimenti manuale. Per capire come si integra nel flusso di lavoro, scopri come funziona PrivActa; se stai impostando la governance AI a livello aziendale, la pagina conformità inquadra le misure tecniche nel percorso GDPR e AI Act.

Per il quadro completo degli adempimenti azienda per azienda, torna alla pillar AI Act e GDPR per le aziende, e per le scadenze operative vedi gli obblighi AI Act per le aziende nel 2026.

Domande frequenti

Che differenza c’è tra AI Act e GDPR? Il GDPR regola il trattamento dei dati personali, con qualsiasi tecnologia. L’AI Act regola i sistemi di intelligenza artificiale in base al rischio, anche quando non trattano dati personali. Sono due normative distinte che si applicano insieme.

Se sono conforme all’AI Act, sono anche conforme al GDPR? No. Rispettare gli obblighi dell’AI Act non esaurisce quelli del GDPR, e viceversa. Un sistema conforme all’AI Act può violare il GDPR se tratta dati personali senza base giuridica, informativa o minimizzazione adeguate.

AI Act e GDPR possono applicarsi allo stesso tempo? Sì, ed è la situazione più comune. Quando un sistema AI tratta dati personali — come incollando un documento con nomi e codici fiscali in un assistente AI — si applicano contemporaneamente entrambe le normative.

Come si coordinano AI Act e GDPR in pratica? Partendo dal GDPR (base giuridica, informativa, minimizzazione, eventuale DPIA), aggiungendo gli obblighi AI Act del sistema usato (alfabetizzazione, trasparenza, rischio) e trattandoli come un unico registro di adempimenti.