Un cliente si vede negare un finanziamento, un candidato viene scartato, un assicurato riceve un premio più alto. Dietro c'è un sistema di scoring o un modello di IA. La persona scrive: "Perché?". La domanda per l'impresa non è se rispondere, ma cosa spiegare, entro quando e con quale profondità. La risposta breve: il GDPR la impone già oggi per le decisioni interamente automatizzate, la Corte di giustizia ha alzato l'asticella nel 2025, e l'AI Act aggiunge un secondo binario per i sistemi ad alto rischio.
Due norme, due perimetri diversi
| GDPR (Reg. UE 2016/679) | AI Act (Reg. UE 2024/1689) | |
|---|---|---|
| Norma | artt. 13-15 e 22 | art. 86 |
| Quando scatta | decisione basata unicamente su trattamento automatizzato, con effetti giuridici o analogamente significativi | decisione del deployer basata sull'output di un sistema ad alto rischio dell'Allegato III (escluso il punto 2, infrastrutture critiche), con effetti giuridici o analogamente significativi |
| Intervento umano | lo esclude dall'art. 22, se è reale | il diritto vale anche se decide una persona |
| Chi risponde | il titolare del trattamento | il deployer |
| Cosa spiegare | informazioni significative sulla logica, importanza e conseguenze previste | ruolo del sistema nel processo decisionale e principali elementi della decisione |
| Da quando | già in vigore | 2 agosto 2026, con classificazione operativa dal 2 dicembre 2027 |
Il punto chiave è il rapporto fra le due norme. L'art. 86, par. 3 stabilisce che il diritto dell'AI Act si applica solo nella misura in cui non sia già previsto dal diritto dell'Unione. Dove il GDPR copre la decisione, vale il GDPR; l'art. 86 chiude il vuoto delle decisioni "assistite", quelle in cui il sistema propone e una persona firma.
Cosa impone il GDPR oggi
Per le decisioni dell'art. 22 il titolare deve:
- Informare in anticipo dell'esistenza del processo decisionale automatizzato, con informazioni significative sulla logica utilizzata, sull'importanza e sulle conseguenze previste (artt. 13, par. 2, lett. f, e 14, par. 2, lett. g).
- Rispondere alla richiesta di accesso con le stesse informazioni (art. 15, par. 1, lett. h), di norma entro un mese, prorogabile di due mesi se necessario (art. 12, par. 3).
- Garantire le tutele dell'art. 22, par. 3 quando la decisione si fonda sul contratto o sul consenso: diritto di ottenere l'intervento umano, di esprimere la propria opinione e di contestare la decisione.
Attenzione al perimetro: con la sentenza C-634/21 (SCHUFA, 7 dicembre 2023) la Corte di giustizia ha ritenuto che anche il solo calcolo di un punteggio sia una decisione automatizzata quando il terzo che lo riceve vi si basa in modo determinante. E un "umano nel processo" che conferma sempre l'esito non basta a uscire dall'art. 22.
Cosa significa "spiegare": la sentenza Dun & Bradstreet
Con la sentenza C-203/22 (Dun & Bradstreet Austria, 27 febbraio 2025) la Corte ha chiarito il contenuto della spiegazione:
- va descritta la procedura e i principi effettivamente applicati, in modo che la persona capisca quali suoi dati sono stati usati e come;
- la spiegazione deve permettere di comprendere e contestare la decisione;
- consegnare l'algoritmo non basta: non è una spiegazione concisa e comprensibile;
- può essere opportuno indicare in che misura una variazione dei dati avrebbe portato a un esito diverso;
- se entrano in gioco segreti commerciali o dati di terzi, le informazioni vanno fornite all'autorità di controllo o al giudice, che bilancia gli interessi. Il segreto non è un rifiuto automatico.
Tradotto: serve una spiegazione controfattuale e leggibile ("il fattore che ha pesato di più è X; con un valore Y l'esito sarebbe stato diverso"), non un PDF tecnico del modello.
Cosa aggiunge l'AI Act (e quando)
L'art. 86 dà alla persona interessata il diritto di ottenere dal deployer spiegazioni chiare e significative sul ruolo del sistema di IA nella procedura decisionale e sui principali elementi della decisione adottata. Vale quando la persona ritiene che la decisione incida negativamente su salute, sicurezza o diritti fondamentali.
Sulla data serve precisione. L'art. 86 segue la data generale di applicazione, il 2 agosto 2026. Ma presuppone un sistema ad alto rischio dell'Allegato III, e dopo il Regolamento UE 2026/1744 le regole di classificazione e gli obblighi dell'alto rischio (Capo III, sezioni 1-3) si applicano dal 2 dicembre 2027. Prima di quella data la portata concreta dell'art. 86 resta incerta: impostare il processo adesso costa poco e mette al riparo da entrambe le letture.
Dal 2 dicembre 2027 si aggiunge anche l'obbligo per il deployer di informare le persone che sono soggette a un sistema ad alto rischio dell'Allegato III che decide o assiste nelle decisioni che le riguardano (art. 26, par. 11).
Una nota: la Commissione ha proposto di riscrivere l'art. 22 GDPR nel Digital Omnibus sui dati. È una proposta ancora in negoziato, contestata da EDPB ed EDPS: non è diritto vigente e non va usata come presupposto.
La checklist operativa
- Mappa le decisioni, non solo i sistemi: dove un output di IA incide su credito, lavoro, assicurazione, accesso a servizi?
- Qualifica ciascuna decisione: interamente automatizzata (art. 22 GDPR) o assistita (potenziale art. 86 per i sistemi dell'Allegato III)?
- Verifica che l'intervento umano sia reale: competenza, tempo, autorità e tracce documentali dei casi in cui l'operatore si è discostato.
- Ottieni dal fornitore ciò che serve per spiegare: fattori principali, pesi, logica dei punteggi. Mettilo nel contratto.
- Prepara un modello di risposta con fattori determinanti, dati usati, spiegazione controfattuale e canale per contestare.
- Aggiorna le informative (artt. 13-14 GDPR) e il registro dei trattamenti.
- Fissa un processo con responsabile e scadenza di un mese, e conserva le risposte date.
Da dove partire
Saper spiegare una decisione è la prova più concreta che la si governa. Un gap assessment indipendente individua le decisioni automatizzate o assistite in uso, verifica cosa sei oggi in grado di spiegare e trasforma i due binari, GDPR e AI Act, in un unico processo con responsabili e tempi.