Il GDPR è la normativa europea più strettamente collegata all'AI Act. Il primo protegge i dati personali, il secondo la sicurezza dei sistemi di intelligenza artificiale e i diritti fondamentali. Si applicano insieme, non in alternativa: un sistema di AI che tratta dati personali deve rispettare entrambi. Dove le valutazioni d'impatto si sovrappongono, il regolamento chiede di condurle congiuntamente.
Per un'azienda italiana questa è una buona notizia. Chi ha già fatto il lavoro sul GDPR ha metà del percorso alle spalle, e soprattutto ha già in casa la persona che se ne occupa. Per l'impianto generale del nuovo regolamento, il punto di partenza è la guida all'AI Act per le PMI.
Cosa regola ciascuno
Il GDPR guarda al dato personale: quando può essere trattato, con quale base giuridica, per quanto tempo, con quali diritti per l'interessato. Non gli interessa la tecnologia, gli interessa il dato.
L'AI Act guarda al sistema: quanto rischio produce, quali garanzie servono, chi risponde di cosa. Non gli interessa se ci sono dati personali dentro, gli interessa l'effetto sulle persone.
Un sistema di AI che non tratta dati personali resta soggetto all'AI Act e fuori dal GDPR. Un archivio di dati personali senza AI è il contrario. La maggior parte dei casi reali cade nell'intersezione, e lì valgono entrambi.
I tre punti di sovrapposizione
La base giuridica per addestrare i modelli
Addestrare un modello su dati personali è un trattamento, e come tale richiede una base giuridica ai sensi dell'articolo 6 del GDPR. Nella versione originale del regolamento, l'AI Act non forniva una base giuridica propria per il trattamento dei dati.
Il Digital Omnibus ha cambiato questo punto con il nuovo articolo 4a, che introduce una base giuridica per il trattamento di categorie particolari di dati personali ai fini del rilevamento e della correzione dei bias, estesa a tutti i sistemi di AI e non solo a quelli ad alto rischio, a condizioni stringenti. Per tutti gli altri trattamenti, resta fermo che l'AI Act non autorizza nulla che il GDPR vieti.
È il punto più delicato per chi personalizza modelli su dati aziendali che contengono informazioni su clienti o dipendenti.
Le decisioni automatizzate
L'articolo 22 del GDPR dà alla persona il diritto di non essere sottoposta a una decisione basata unicamente su un trattamento automatizzato che produca effetti giuridici o significativi.
L'AI Act arriva dallo stesso problema per un'altra strada, imponendo la sorveglianza umana sui sistemi ad alto rischio. Le due norme convergono: entrambe pretendono che una persona possa intervenire, e che l'intervento sia reale e non una firma di comodo.
Le valutazioni d'impatto
Il GDPR prevede la DPIA, valutazione d'impatto sulla protezione dei dati, all'articolo 35. L'AI Act prevede la FRIA, valutazione d'impatto sui diritti fondamentali, per alcuni sistemi ad alto rischio.
DPIA e FRIA: dove si toccano
Condividono l'impianto ma cambiano il perimetro.
| DPIA | FRIA | |
|---|---|---|
| Fonte | GDPR, articolo 35 | AI Act |
| Oggetto | rischi per i dati personali | rischi per tutti i diritti fondamentali |
| Quando | trattamenti ad alto rischio | alcuni sistemi ad alto rischio |
| Perimetro | protezione dei dati | non discriminazione, dignità, accesso ai servizi, tutela dei minori |
Il regolamento risolve la sovrapposizione in modo esplicito: la FRIA va effettuata solo per gli aspetti non già coperti da altri obblighi, DPIA compresa. Dove i due documenti chiedono la stessa cosa, la si scrive una volta sola.
Nella pratica conviene costruire un documento unico con due sezioni, invece di due documenti che si ripetono. Riduce il lavoro e, soprattutto, evita che i due dicano cose diverse sullo stesso sistema.
Il Digital Omnibus ha rafforzato questa impostazione: il nuovo articolo 27, paragrafo 4, consente di fare riferimento diretto alle sezioni pertinenti della DPIA all'interno della FRIA. Chi ha già una DPIA strutturata può usarla come base senza riscrivere le parti comuni.
Perché conviene partire dal GDPR
Tre ragioni concrete, per chi deve decidere da dove cominciare.
L'inventario esiste già. Il registro dei trattamenti censisce dove stanno i dati personali. Aggiungere una colonna «quali di questi trattamenti coinvolgono sistemi di AI» costa poco e produce il novanta per cento dell'inventario che serve all'AI Act.
La persona esiste già. Chi si occupa di protezione dati conosce il metodo delle valutazioni d'impatto, ha rapporti con le funzioni aziendali e sa dove sono i documenti. È l'interlocutore naturale.
Il budget esiste già. La conformità al GDPR ha una voce di spesa riconosciuta. Presentare l'AI Act come estensione di un presidio esistente incontra molte meno resistenze che presentarlo come progetto nuovo.
Le differenze da non dimenticare
Il parallelismo è utile fino a un certo punto, e conviene sapere dove finisce.
Il consenso non risolve. Nel GDPR il consenso è una delle basi giuridiche possibili. Nell'AI Act i divieti dell'articolo 5 sono assoluti: nessun consenso rende lecito il riconoscimento delle emozioni sul posto di lavoro. L'elenco intero è in pratiche vietate e sanzioni.
Gli obblighi seguono il ruolo, non il dato. Nel GDPR si è titolari o responsabili del trattamento. Nell'AI Act si è fornitori o utilizzatori. Le due coppie non coincidono: potete essere titolari del trattamento e insieme semplici utilizzatori del sistema, come spiega provider o deployer.
Le sanzioni si sommano. Sono due impianti sanzionatori distinti, con autorità potenzialmente diverse. La stessa vicenda può produrre due procedimenti.
Cosa fare in pratica
Partite dal registro dei trattamenti e segnate dove c'è AI. Per ogni voce, chiedetevi se il sistema ricade nell'alto rischio dell'allegato III. Dove servono entrambe le valutazioni, scrivetele insieme. E coinvolgete dall'inizio chi si occupa di protezione dati: conosce già metà delle risposte.
I passaggi successivi, dall'inventario alla revisione periodica, sono elencati nella checklist di conformità in sette passaggi.
Fonti
- Regolamento (UE) 2024/1689, articoli 5, 14, 26, 27
- Regolamento (UE) 2016/679 (GDPR), articoli 6, 22, 35
- Agenda Digitale, AI Act e GDPR: valutazione d'impatto e DPIA
- Namirial, DPIA e FRIA a confronto
- AssoDPO, interazioni fra AI Act e GDPR per i DPO
Ultimo aggiornamento: 25 agosto 2026.