DPIA e intelligenza artificiale: quando serve e come la misura tecnica riduce il rischio

Una DPIA (Data Protection Impact Assessment) serve quando l’uso dell’AI generativa su dati personali presenta un rischio elevato per i diritti delle persone: è obbligatoria ai sensi dell’ art. 35 GDPR . La valutazione d’impatto va condotta prima di avviare il trattamento e spetta al titolare. Le misure tecniche di minimizzazione riducono il rischio residuo che la DPIA deve stimare.

Questa guida è lo spoke operativo per DPO del cluster AI Act e GDPR per le aziende: quando la valutazione d’impatto è dovuta, come si struttura in breve e dove si collocano le misure tecniche.

Risposta rapida: DPIA e AI in 4 punti

1. La DPIA per l’intelligenza artificiale è dovuta quando il trattamento è a rischio elevato (art. 35 GDPR).
2. L’uso di AI generativa su dati personali — soprattutto su larga scala o su dati particolari — rientra spesso tra questi casi.
3. Va condotta preventivamente, prima di avviare o modificare in modo sostanziale il trattamento.
4. La minimizzazione a monte (mascherare i dati identificativi prima dell’invio all’AI) è una misura tecnica che riduce il rischio residuo, non un modo per saltare la valutazione.

Cos’è la DPIA

La valutazione d’impatto sulla protezione dei dati è il processo con cui il titolare analizza, prima di iniziare, i rischi che un trattamento comporta per i diritti e le libertà delle persone, e individua le misure per ridurli. Non è un adempimento formale da archiviare: è uno strumento di accountability che documenta le scelte e le rende dimostrabili all’autorità di controllo.

La DPIA descrive il trattamento e le sue finalità, ne valuta necessità e proporzionalità, stima i rischi e definisce le misure tecniche e organizzative per affrontarli. Quando usi assistenti AI come ChatGPT, Claude o Gemini su dati di clienti, dipendenti o pazienti, questi passaggi diventano concreti: dove finiscono gli input, chi può accedervi, per quanto restano.

Quando è obbligatoria per l’AI

La valutazione d’impatto è obbligatoria quando il trattamento può presentare un rischio elevato. L’art. 35 GDPR indica casi tipici, e le liste del Garante e dell’EDPB li specificano. Per l’uso dell’AI, gli indicatori più ricorrenti sono:

• valutazione o scoring di persone (profilazione), incluse decisioni automatizzate con effetti significativi;
• trattamento su larga scala di dati personali;
• trattamento di dati particolari ( art. 9 GDPR ): salute, dati giudiziari, convinzioni;
• uso innovativo di nuove tecnologie — e l’AI generativa lo è per definizione;
• combinazione o incrocio di dataset, monitoraggio sistematico.

Quando ricorrono due o più di questi criteri, la DPIA è di norma dovuta. Un dipendente che incolla in un assistente AI l’anagrafica clienti, referti o fascicoli tocca spesso più criteri insieme. Anche il fenomeno della Shadow AI — l’uso non autorizzato di strumenti AI da parte del personale — è rilevante: se non è mappato, il titolare non può nemmeno stabilire se una DPIA serva. La valutazione finale resta comunque del titolare del trattamento.

Come si fa (in breve)

Una DPIA per un trattamento che coinvolge l’AI segue quattro momenti:

1. Descrivi il trattamento. Quali dati entrano nell’AI, per quale finalità, con quale strumento (piano consumer, business, API), dove risiedono i dati del fornitore, per quanto sono conservati.
2. Valuta necessità e proporzionalità. Servono davvero tutti quei dati identificativi per il compito richiesto all’AI? Qui entra in gioco il principio di minimizzazione ( art. 5(1)(c) GDPR ): tratta solo i dati adeguati, pertinenti e limitati allo scopo.
3. Stima i rischi. Esposizione dei dati verso il fornitore, uso per l’addestramento, accessi non previsti, trasferimenti extra-UE, re-identificazione.
4. Definisci le misure tecniche e organizzative che riducono ciascun rischio, e valuta il rischio residuo. Se resta elevato nonostante le misure, va consultata l’autorità di controllo prima di procedere (art. 36 GDPR).

La verifica di liceità del trattamento a monte — la base giuridica e i principi in gioco — è un presupposto: se hai dubbi, parti da è lecito trattare dati personali con l’AI.

Il ruolo delle misure tecniche

Il punto 4 è dove una misura tecnica di minimizzazione incide direttamente sul risultato della DPIA. Se maschera i dati identificativi prima che il testo raggiunga l’AI, il fornitore non riceve nome, codice fiscale, IBAN o indirizzo: l’esposizione cala e con essa il rischio residuo che la valutazione deve stimare.

Attenzione al confine, che la DPIA deve rendere esplicito: anonimizzazione e pseudonimizzazione non sono equivalenti. Se il dato è reso realmente anonimo — non più riconducibile a una persona con mezzi ragionevoli — il GDPR non si applica più a quella parte del trattamento. Se invece è sostituito con segnaposto reversibili tramite una chiave, resta un dato personale pseudonimizzato: la protezione aumenta, ma gli obblighi permangono. La distinzione è approfondita in pseudonimizzazione e anonimizzazione: la differenza che conta.

Ecco cosa cambia, in concreto, mascherare i dati prima dell’invio:

Analizza la posizione debitoria di Mario Rossi
(CF RSSMRA80A01H501U), residente in Via Roma 1, Milano.
Fattura n. 214 insoluta, IBAN IT60X0542811101000000123456.
Suggerisci un piano di rientro.

Analizza la posizione debitoria di [NOME_1]
(CF [CF_1]), residente in [INDIRIZZO_1].
Fattura n. [DOC_1] insoluta, IBAN [IBAN_1].
Suggerisci un piano di rientro.

Il testo mascherato resta pienamente utilizzabile — l’assistente AI produce la stessa analisi — ma i dati identificativi non escono in chiaro dal dispositivo. Nella logica della DPIA, questo è un fattore che abbassa il rischio residuo, non un timbro di conformità.

In pratica con PrivActa

Documentare nella DPIA una misura di minimizzazione è una cosa; renderla eseguibile ogni giorno, su ogni documento, da ogni collega, è un’altra. PrivActa è uno strumento di supporto all’anonimizzazione: riconosce e maschera automaticamente nomi, codici fiscali, IBAN, P.IVA e indirizzi italiani, sostituendoli con segnaposto coerenti, sul dispositivo, prima che il testo raggiunga qualunque motore AI — ChatGPT, Claude, Gemini o altri. Il documento originale non esce dal computer.

Per un DPO questo significa poter indicare, nella valutazione d’impatto, una misura tecnica concreta e ripetibile a riduzione dell’esposizione. Non sostituisce la DPIA né il giudizio del titolare: riduce il rischio residuo che la valutazione deve comunque stimare. Puoi vedere il funzionamento su come funziona PrivActa o inquadrare le misure per l’organizzazione nella pagina conformità.

Domande frequenti

Serve sempre una DPIA per usare l’AI generativa in azienda? Non sempre, ma spesso sì. È obbligatoria quando il trattamento presenta un rischio elevato per i diritti delle persone (art. 35 GDPR). L’uso di AI generativa su dati personali, in particolare su larga scala o su dati particolari, rientra tipicamente tra i casi che la richiedono. La valutazione spetta al titolare.

La DPIA va fatta prima o dopo aver iniziato a usare l’AI? Prima. Va condotta preventivamente, perché serve a decidere se e come procedere. Se l’uso dell’AI è già in corso, a rischio elevato e senza DPIA, va effettuata senza indugio.

Anonimizzare i dati prima di darli all’AI elimina l’obbligo di DPIA? Se i dati sono resi realmente anonimi, il GDPR non si applica più a quella parte e la DPIA non è dovuta per essa. In pratica la minimizzazione riduce il rischio e il perimetro dei dati personali trattati: è una misura tecnica che abbassa il rischio residuo, non un modo automatico per azzerare gli obblighi. La valutazione resta del titolare.

Una misura tecnica come PrivActa mi mette a norma con il GDPR? No. PrivActa è uno strumento di supporto all’anonimizzazione, una misura tecnica di minimizzazione (art. 5(1)(c) GDPR): riduce l’esposizione e il rischio residuo che la DPIA valuta. La conformità dipende dal titolare del trattamento.

Da leggere dopo

Inquadra il tema nella pillar AI Act e GDPR per chi usa l’AI in azienda, verifica le scadenze in AI Act: cosa devono fare le aziende dal 2 agosto 2026 e, per le aziende che vogliono governare l’uso reale dell’AI, definisci le misure tecniche a supporto della DPIA.