L'intelligenza artificiale nelle imprese: profili normativi, responsabilità e governance aziendale

L’impiego dell’intelligenza artificiale nelle imprese si inserisce in un quadro normativo articolato, nel quale la disciplina europea sull’IA si affianca alle disposizioni in materia di protezione dei dati personali, riservatezza e responsabilità nei rapporti con i terzi. La regolamentazione di questi strumenti deve essere, dunque, individuata di volta in volta, alla luce delle concrete modalità di utilizzo e delle attività nelle quali essi vengono impiegati.

Proprio la loro crescente diffusione nella prassi aziendale - spesso accompagnata da un utilizzo privo di una relativa regolamentazione interna circa le modalità ed i limiti di utilizzo - rende particolarmente rilevante interrogarsi sulle conseguenze giuridiche ed economiche che ne possono derivare, specie quando i risultati dell’elaborazione automatizzata vengano assunti a fondamento di decisioni aziendali, ovvero utilizzati per adempiere ad obblighi normativi.

Da qui un’esigenza che assume un rilievo eminentemente pratico per le imprese. L’introduzione di questi strumenti richiede una valutazione preventiva delle condizioni alle quali essi possono essere utilizzati e delle responsabilità connesse al loro impiego. In questa prospettiva, l’esame del quadro normativo europeo e nazionale costituisce il presupposto per definire una policy aziendale e un sistema di governance dedicati, capaci di tradurre gli obblighi applicabili in regole operative coerenti con l’organizzazione dell’impresa.

Il quadro normativo europeo e nazionale e il rapporto con la protezione dei dati personali

Il principale riferimento normativo europeo in materia di intelligenza artificiale è rappresentato dal Regolamento (UE) 2024/1689, meglio conosciuto come AI Act, con il quale il legislatore europeo ha introdotto una disciplina armonizzata volta a regolamentare lo sviluppo, l'immissione sul mercato e l'utilizzo dei sistemi di intelligenza artificiale.

Il Regolamento si fonda su un approccio basato sul rischio, prevedendo obblighi differenti in funzione delle caratteristiche dei sistemi impiegati, delle loro possibili conseguenze sui diritti fondamentali e del ruolo assunto dai soggetti coinvolti. La disciplina, infatti, non si rivolge esclusivamente alle imprese che sviluppano o commercializzano tecnologie di intelligenza artificiale, ma interessa anche quelle che si limitano a utilizzarle nello svolgimento della propria attività, assumendo, in tal caso, la qualifica di deployer.

Ne consegue che anche un'impresa che ricorra a strumenti di intelligenza artificiale forniti da terzi, ad esempio per la gestione del personale, l'analisi di documenti, l'assistenza alla clientela o l'automazione di determinati processi aziendali, può essere destinataria di specifici obblighi normativi, la cui concreta applicabilità deve essere verificata in relazione al sistema utilizzato e alle finalità perseguite.

La regolamentazione europea, tuttavia, non esaurisce il quadro degli obblighi che le imprese sono chiamate a considerare. L'utilizzo dell'intelligenza artificiale si inserisce, infatti, in un contesto normativo più ampio, nel quale assumono particolare rilevanza le disposizioni in materia di protezione dei dati personali.

In questa prospettiva, l'AI Act e il Regolamento (UE) 2016/679 (GDPR) costituiscono due discipline distinte, ma complementari, destinate a trovare applicazione congiunta ogniqualvolta l'impiego di sistemi di intelligenza artificiale comporti il trattamento di dati personali.

Mentre l'AI Act disciplina i rischi connessi ai sistemi di intelligenza artificiale, anche indipendentemente dalla presenza di dati personali, il GDPR si concentra sulla liceità e sulle modalità del trattamento di tali dati, imponendo il rispetto dei principi di correttezza, trasparenza, minimizzazione, limitazione delle finalità e sicurezza.

Pertanto, la conformità di uno strumento alle disposizioni dell'AI Act non comporta automaticamente la liceità dei trattamenti di dati personali effettuati attraverso il suo utilizzo. Allo stesso modo, il rispetto della normativa privacy non è, di per sé, sufficiente a garantire la conformità del sistema di intelligenza artificiale alle ulteriori prescrizioni previste dalla disciplina europea.

Il coordinamento tra le due discipline assume particolare rilevanza nella concreta organizzazione delle attività aziendali, soprattutto laddove l'impiego di sistemi di intelligenza artificiale comporti il trattamento di dati personali riferiti a clienti, dipendenti, collaboratori o altri soggetti interessati.

Ne consegue che l'impresa è tenuta, anzitutto, a verificare la conformità dei trattamenti ai principi stabiliti dal GDPR, con particolare riferimento alla liceità, correttezza e trasparenza, alla limitazione delle finalità, alla minimizzazione dei dati e alla loro conservazione per un periodo non superiore a quello necessario rispetto agli scopi perseguiti. 

Trattasi, dunque, di verifiche che assumono particolare importanza nell'utilizzo di strumenti di intelligenza artificiale generativa, attraverso i quali le informazioni inserite dagli utenti possono essere trasmesse a fornitori esterni ed eventualmente sottoposte ad ulteriori operazioni di trattamento. L'impresa dovrà pertanto accertare le modalità di raccolta, elaborazione e conservazione dei dati, le eventuali finalità ulteriori perseguite dal fornitore, compreso il possibile utilizzo delle informazioni per l'addestramento o il miglioramento dei modelli, nonché l'esistenza di eventuali trasferimenti di dati personali verso Paesi terzi.

Sotto questo profilo, assume rilievo anche la corretta individuazione dei ruoli dei soggetti coinvolti. Qualora il fornitore del sistema di intelligenza artificiale tratti dati personali per conto dell'impresa, quest'ultima, in qualità di titolare del trattamento, dovrà verificare la presenza delle garanzie richieste ai sensi dell’art. 28 GDPR e disciplinare il rapporto mediante un accordo che definisca, tra l'altro, le finalità e le modalità del trattamento, le misure di sicurezza, il ricorso a eventuali sub-responsabili e le condizioni di restituzione o cancellazione dei dati. 

A questi obblighi si affiancano quelli derivanti dal principio di responsabilizzazione (accountability), sancito dall'art. 5, par. 2, GDPR, in forza del quale il titolare deve essere in grado di dimostrare la conformità dei trattamenti effettuati. Ciò richiede, in particolare, l'adozione di misure tecniche e organizzative adeguate anche attraverso meccanismi di controllo degli accessi, limitazione delle informazioni utilizzabili, tracciabilità delle operazioni e procedure interne per la gestione di eventuali violazioni dei dati personali.

Particolarmente significativo è, inoltre, il coordinamento tra gli strumenti di valutazione preventiva dei rischi previsti dai due Regolamenti.

Ai sensi dell'art. 35 GDPR, qualora un trattamento, soprattutto se effettuato mediante nuove tecnologie, possa presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare è tenuto a effettuare, prima del suo avvio, una valutazione d'impatto sulla protezione dei dati personali (Data Protection Impact Assessment o DPIA). A questa si affianca, per le categorie di soggetti e sistemi espressamente individuate dall'art. 27 dell'AI Act, la valutazione d'impatto sui diritti fondamentali (Fundamental Rights Impact Assessment o FRIA), finalizzata ad esaminare le conseguenze che l'impiego di determinati sistemi di intelligenza artificiale ad alto rischio può produrre sulle persone fisiche o sui gruppi potenzialmente interessati.

La FRIA presenta un ambito di analisi più ampio rispetto alla DPIA, non essendo limitata alla protezione dei dati personali, ma comprendendo anche gli ulteriori diritti fondamentali potenzialmente coinvolti dall'impiego del sistema. Le due valutazioni, pertanto, non sono automaticamente sovrapponibili ma allo stesso tempo né sempre cumulativamente obbligatorie. Lo stesso art. 27 dell'AI Act prevede, tuttavia, forme di coordinamento con la valutazione d'impatto prevista dal GDPR, consentendo di integrare le analisi già effettuate con gli elementi ulteriori richiesti dalla normativa sull'intelligenza artificiale.

A livello nazionale, il quadro normativo è stato ulteriormente integrato dalla Legge 23 settembre 2025, n. 132, recante Disposizioni e deleghe al Governo in materia di intelligenza artificiale, che ha introdotto principi e disposizioni specifiche in relazione all'impiego dell'IA in diversi settori. Con particolare riferimento all'ambito lavorativo, l'art. 11 richiama la necessità di garantire un utilizzo dell'intelligenza artificiale che sia sicuro, affidabile e trasparente, nel rispetto della dignità umana, della riservatezza dei dati personali e dei diritti dei lavoratori, prevedendo altresì specifici obblighi informativi nei confronti di questi ultimi. 

Ne emerge un quadro regolatorio nel quale l'adozione di sistemi di intelligenza artificiale non può essere ricondotta a una scelta esclusivamente tecnologica, ma richiede una preventiva valutazione delle implicazioni giuridiche, delle responsabilità dei soggetti coinvolti e dei rischi connessi ai diversi contesti di utilizzo.

Dalla conformità normativa alla governance aziendale

Il rispetto del quadro normativo appena delineato richiede, dunque, che le imprese adottino un approccio consapevole e strutturato all'utilizzo dell'intelligenza artificiale, superando una gestione occasionale dei singoli strumenti tecnologici.

In questo senso, l'esperienza maturata nell'ambito della protezione dei dati personali può rappresentare un utile riferimento. Così come l'adeguamento al GDPR ha progressivamente portato le aziende a individuare procedure interne, responsabilità, misure di sicurezza e strumenti di controllo, anche l'impiego dell'intelligenza artificiale rende opportuna la definizione di un sistema organizzativo che ne disciplini l'utilizzo.

Una policy aziendale può costituire il primo elemento di questo sistema, prevedendo, ad esempio, criteri per la selezione e l'autorizzazione degli strumenti, regole sulla tipologia di informazioni che possono essere inserite, modalità di verifica dei risultati generati e procedure per la gestione di eventuali anomalie o utilizzi non conformi.

Non si tratta, tuttavia, di introdurre indistintamente nuovi adempimenti per tutte le imprese. L'AI Act non impone, in via generale, a ogni azienda di dotarsi di una specifica policy interna, ma stabilisce obblighi differenziati, che devono essere individuati in concreto. La predisposizione di regole organizzative rappresenta, pertanto, uno strumento attraverso il quale l'impresa può favorire il rispetto degli obblighi applicabili, prevenire utilizzi impropri e documentare le scelte adottate nella gestione dei rischi.

Fabiola Masotta
Studio Legale de Capoa