«Le decisioni le prende sempre una persona, l'IA suggerisce soltanto.» È la frase che sentiamo più spesso nelle aziende che usano sistemi di intelligenza artificiale per valutare candidati, clienti, fornitori o dipendenti. Il 21 agosto 2026 l'Autorità olandese per la protezione dei dati ha spiegato a Uber, con una sanzione da quasi 825 milioni di euro, perché quella frase da sola non basta. La domanda giusta non è se c'è una persona nel processo, ma se quella persona può davvero cambiare l'esito. Vediamo cosa richiede la legge e come organizzare una sorveglianza umana che regga a un'ispezione.
Perché «c'è sempre una persona che controlla» non basta
Secondo l'Autorità olandese (AP), Uber sospendeva gli account dei conducenti quando i sistemi rilevavano sospetti di frode e, in alcuni casi, li disattivava in modo permanente sulla base di valutazioni basse dei clienti. Gli effetti erano immediati — perdita del reddito — e, per l'AP, mancava un controllo umano significativo e mancavano informazioni adeguate ai conducenti. La sanzione è di 824.990.000 euro, la seconda più alta mai inflitta sotto il GDPR; Uber sostiene che le disattivazioni permanenti non erano interamente automatizzate e ha annunciato ricorso, quindi la decisione non è definitiva. Ma la lezione è già chiara.
Il criterio non è nuovo. Le linee guida del Gruppo di lavoro art. 29 sulle decisioni automatizzate (WP251rev.01, 2018), ancora il riferimento delle autorità europee, dicono che il coinvolgimento umano deve essere «significativo, non un gesto simbolico», affidato a qualcuno che ha l'autorità e la competenza per cambiare la decisione, e che il titolare «non può aggirare l'art. 22 fabbricando un coinvolgimento umano». Chi approva duecento pratiche l'ora senza vedere i dati di partenza non sta sorvegliando nulla: sta dando una firma a una macchina.
Le tre fonti che la impongono, e da quando
| Fonte | Cosa chiede | Da quando |
|---|---|---|
| GDPR, art. 22 | Nessuna decisione basata unicamente su trattamento automatizzato con effetti giuridici o «significativi» sulla persona; se ammessa (contratto, legge, consenso esplicito), diritto a intervento umano, a esprimere la propria opinione e a contestare | 25 maggio 2018 |
| AI Act, artt. 14 e 26 (Regolamento UE 2024/1689) | Il fornitore progetta il sistema ad alto rischio per una sorveglianza efficace (art. 14); il deployer la affida a persone con competenza, formazione, autorità e sostegno (art. 26, par. 2) | 2 dicembre 2027 (Allegato III) e 2 agosto 2028 (Allegato I), dopo il Regolamento UE 2026/1744 |
| Diritto italiano | Legge 132/2025: nelle professioni intellettuali l'IA è solo strumentale e di supporto, con prevalenza del lavoro intellettuale (art. 13); nella PA la persona resta l'unica responsabile dei provvedimenti (art. 14). DM 180/2025: le decisioni sui lavoratori non possono essere interamente automatizzate. Art. 1-bis D.Lgs. 152/1997: informativa ai lavoratori sui sistemi decisionali o di monitoraggio interamente automatizzati | 10 ottobre 2025 (L. 132/2025); 17 dicembre 2025 (DM 180); 2022-2023 (informativa) |
Due precisazioni sul GDPR, perché sono quelle che spostano il perimetro. Con la sentenza SCHUFA (C-634/21, 7 dicembre 2023) la Corte di giustizia ha stabilito che anche chi produce un punteggio su cui un terzo si basa in modo determinante prende una decisione automatizzata ai sensi dell'art. 22. Con Dun & Bradstreet (C-203/22, 27 febbraio 2025) ha chiarito che la persona ha diritto a informazioni significative sulla logica seguita (art. 15, par. 1, lett. h), in modo da poter contestare la decisione. Il segreto commerciale non azzera questo diritto.
Cosa deve poter fare chi sorveglia: i cinque poteri dell'art. 14
L'art. 14, par. 4 dell'AI Act è la descrizione operativa più precisa che la legge offra di cosa significa «sorvegliare». Le persone incaricate devono poter:
- capire le capacità e i limiti del sistema e monitorarne il funzionamento, individuando anomalie e prestazioni inattese;
- restare consapevoli della distorsione dell'automazione (automation bias), cioè della tendenza a fidarsi in automatico dell'output;
- interpretare correttamente l'output, con gli strumenti di interpretazione disponibili;
- decidere di non usare il sistema, o di ignorare, annullare o ribaltare l'output in una situazione concreta;
- intervenire o fermare il sistema con un «pulsante di arresto» o una procedura equivalente che lo porti in uno stato sicuro.
Il fornitore deve rendere tutto questo possibile (misure integrate nel sistema o indicate nelle istruzioni per l'uso); il deployer deve renderlo reale, affidando la sorveglianza a persone con competenza, formazione, autorità e sostegno (art. 26, par. 2). Quanto può essere specifica la norma lo mostra l'art. 14, par. 5: per l'identificazione biometrica remota serve la verifica separata di almeno due persone. Anche se la tua azienda non usa sistemi ad alto rischio, questi cinque poteri sono la migliore checklist per qualunque decisione assistita dall'IA.
Come organizzarla in una PMI: sei passi
- Mappa le decisioni, non gli strumenti. Partendo dall'inventario dei sistemi IA, elenca gli output che alimentano decisioni con effetti giuridici o significativi su persone: affidamenti, assunzioni e valutazioni, sospensioni di account, prezzi o condizioni personalizzate, controlli antifrode.
- Scegli il modello di sorveglianza per ciascuna. Approvazione prima dell'effetto (nessun esito si produce senza una revisione) per tutto ciò che rientra nell'art. 22 GDPR; monitoraggio con potere di veto per le decisioni a basso impatto; arresto sempre disponibile.
- Nomina persone con i quattro requisiti dell'art. 26, par. 2. L'autorità è il punto critico: chi viene valutato sul numero di pratiche chiuse, o deve giustificarsi ogni volta che contraddice il sistema, non ha autorità reale.
- Dai loro gli strumenti. Le istruzioni per l'uso del fornitore, i motivi e i dati alla base di ogni output, l'accesso ai log, una checklist di revisione e un percorso di escalation. Senza queste informazioni la revisione è cieca.
- Misura. Tasso di override, tempo medio per pratica, campionamento periodico delle decisioni confermate. Un tasso di override pari a zero per mesi non dimostra che il sistema è perfetto: dimostra che nessuno lo contraddice.
- Documenta e comunica. Procedura scritta, registro delle revisioni e delle decisioni ribaltate, evidenze di formazione; informativa ai lavoratori prima della messa in servizio (art. 26, par. 7 e art. 1-bis D.Lgs. 152/1997) e alle persone soggette alla decisione (art. 26, par. 11); un canale per chiedere l'intervento umano e contestare (art. 22, par. 3 GDPR).
Gli errori più comuni
- Il timbro. Un pulsante «approva» con centinaia di casi al giorno: l'AP ha ragionato sulla sostanza, non sull'esistenza di un passaggio umano.
- Il revisore senza autorità. Chi non può ribaltare l'output senza conseguenze non sta sorvegliando.
- Il revisore senza informazioni. Se vede solo il punteggio finale, non può esercitare i poteri 1 e 3 dell'art. 14.
- La sorveglianza una tantum. Fatta al momento dell'adozione e mai più: i sistemi cambiano (aggiornamenti, dati diversi) e la sorveglianza deve seguirli.
- Nessuna traccia. Se non puoi mostrare chi ha rivisto cosa e quante decisioni ha cambiato, davanti all'autorità la sorveglianza non esiste.
- Delegare al fornitore. L'obbligo dell'art. 26 e l'art. 22 GDPR gravano su chi usa il sistema e decide, non su chi lo vende.
Da dove partire
La sorveglianza umana non si dichiara: si progetta e si dimostra. Il primo passo è una fotografia onesta delle decisioni in cui l'IA entra già oggi — con quali effetti, chi le rivede e con quali poteri reali. Un gap assessment indipendente confronta questa fotografia con l'art. 22 GDPR, con gli artt. 14 e 26 dell'AI Act e con le norme italiane, e restituisce un piano per persona, processo e strumento: chi sorveglia, cosa vede, cosa può fermare. Prima che a chiederlo sia un'autorità.