L’edizione di marzo 2026 della rassegna stampa si concentra sull’intersezione sempre più stretta tra protezione dei dati e Intelligenza Artificiale, evidenziando le nuove sfide normative e di sicurezza. Gli articoli approfondiscono i rischi di Purpose Creep e Data Drift, sull’evoluzione del ruolo del DPO in ottica AI Act, e sulle sfide del settore bancario e sanitario.  

Importanti gli articoli sul rafforzamento della compliance con l’avvio delle verifiche europee su informazione e trasparenza (CEF 2026) e la diffusione di standard come la ISO 27701 nel settore professionale. Buona lettura.

RISPETTO DELLA LEGISLAZIONE SULLA PRIVACY

Prima di condividere dati particolari, anche noti pubblicamente, devono essere attentamente verificate le condizioni di liceità del trattamento

L’articolo “​Anche se nella scuola è noto che uno studente è affetto da disabilità i suoi dati sono comunque tutelati dal GDPR” asserisce che il fatto che in una scuola tutti sappiano che uno studente è disabile non autorizza nessuno a formalizzare e diffondere quell’informazione. La notorietà di un dato non lo rende disponibile. Anche ciò che è di dominio comune, se riguarda dati personali – e a maggior ragione dati sulla salute – resta soggetto alle regole sulla protezione dei dati.

​[Pur nella condivisione sul fatto che detta specifica informazione sensibile non debba essere diffusa, ci sono alcuni casi generali in cui il GDPR ammette il trattamento senza consenso di dati di dominio pubblico, specie se res​i manifestamente pubblico dall’interessato​: il legittimo e reale interesse del titolare, che non leda i diritti dell’interessato, l’esecuzione di un compito di interesse pubblico, finalità giornalistiche, espressione accademica o artistica. Ma va comunque sempre rispettato il principio di proporzionalità tra la finalità del trattamento e i diritti e le libertà degli interessati. Ndr]

​​Una guida ai commercialisti per il rispetto della protezione dei dati personali secondo ISO 27701
 L’articolo “​Commercialisti, pubblicato un documento sulla gestione della privacy negli studi professionali alla luce della norma ISO/IEC 27701:2025” riporta la pubblicazione del documento “​La gestione della privacy negli studi professionali alla luce della normativa ISO/IEC 27701:2025“, elaborato dal Consiglio Nazionale dei Dottori Commercialisti e degli Esperti Contabili (CNDCEC).

Il documento nasce per guidare i professionisti nell’adozione di un sistema strutturato di gestione dei dati personali, superando l’approccio puramente burocratico. Ecco i punti salienti:

1. Il Modello PIMS (Privacy Information Management System)

Il fulcro del documento è l’integrazione della norma ISO/IEC 27701:2025, che evolve da semplice estensione della ISO 27001 a standard autonomo.

  • Lo studio professionale viene invitato a implementare un PIMS, un sistema che applica il ciclo Plan-Do-Check-Act (PDCA) alla protezione dei dati.
  • L’obiettivo è trasformare la compliance al GDPR in un modello di governance organizzativa solido e verificabile.

2. Punti chiave della versione 2025

Il documento sottolinea come la nuova versione dello standard internazionale rafforzi alcuni aspetti critici:

  • Integrazione del Rischio: La gestione della privacy deve essere fusa con il risk management complessivo dello studio.
  • Tracciabilità e Documentazione: Maggiore enfasi sulla capacità di dimostrare (Accountability) il perché di determinate scelte tecniche o organizzative.
  • Gestione Terze Parti: Regole più stringenti per il monitoraggio dei fornitori IT e dei software in cloud.

3. Vantaggi per lo Studio Professionale

L’adozione di questo framework non serve solo a evitare sanzioni, ma offre vantaggi competitivi:

  • Fiducia del cliente: Dimostra un impegno di alto livello nella protezione dei dati contabili e fiscali sensibili.
  • Riduzione dei rischi operativi: Identifica le vulnerabilità prima che si trasformino in violazioni (data breach).
  • Certificabilità: Il documento prepara il terreno per quegli studi che desiderano ottenere una certificazione ufficiale, sempre più richiesta nei rapporti con grandi aziende e pubblica amministrazione.

4. Il ruolo del Commercialista

Il CNDCEC evidenzia come il professionista stia diventando un consulente multidisciplinare. Non gestisce più solo numeri, ma deve possedere competenze giuridiche, informatiche e organizzative per garantire la continuità e la sicurezza del dato.

​Verifiche dei Garanti sull’informazione e la trasparenza dei trattamenti di dati personali
 L’articolo “Garanti per la protezione dei dati europei, focus sugli obblighi di informazione e trasparenza” riporta l’avvio di un’importante iniziativa a livello europeo dedicata alla verifica del rispetto del GDPR (Regolamento UE 2016/679) per quanto concerne la chiarezza delle informazioni fornite ai cittadini.

Ecco un riassunto sintetico dei punti principali:

1. Il Quadro di Applicazione Coordinata (CEF) 2026

L’EDPB (Comitato Europeo per la Protezione dei Dati) ha lanciato ufficialmente il Coordinated Enforcement Framework (CEF) per l’anno 2026. Si tratta di un’azione congiunta che vede coinvolte tutte le autorità nazionali di controllo (inclusa quella italiana) per esaminare come le aziende e gli enti pubblici applicano le norme sulla trasparenza.

2. Focus sugli Artt. 12, 13 e 14 del GDPR

L’iniziativa si concentra specificamente sugli obblighi informativi:

  • Art. 12: Requisiti di forma (le informazioni devono essere concise, trasparenti, intelligibili e facilmente accessibili).
  • Art. 13 e 14: Contenuto delle informative (chi raccoglie i dati, perché, per quanto tempo e quali sono i diritti dell’utente).

3. Obiettivi dell’Azione Comune

  • Verifica delle prassi: Valutare se le informative fornite agli interessati siano effettivamente comprensibili o se siano ancora troppo complesse e scritte in gergo legale (“legalese”).
  • Armonizzazione: Garantire che gli standard di trasparenza siano omogenei in tutta l’Unione Europea.
  • Individuazione di criticità: Rilevare eventuali lacune ricorrenti nel modo in cui i titolari del trattamento comunicano con gli utenti.

4. Impatto per le Aziende (come Wondersys)

L’articolo evidenzia che la trasparenza non è un semplice adempimento formale, ma la base della fiducia tra organizzazione e interessato. Per le aziende, questo significa che:

  • Le autorità effettueranno controlli mirati (tramite questionari o ispezioni) sulle Privacy Policy di siti web e applicazioni.
  • È necessario revisionare le informative per assicurarsi che siano adeguate ai nuovi canali digitali e facilmente leggibili da un utente medio.

GESTIONE DEI RISCHI E MISURE DI CONTRASTO

Nella verifica automatica dell’età sono insiti rischi significativi

​L’articolo “​Verifica età sui social, lettera aperta firmata da 371 esperti lancia l’allarme per la privacy dei minori” discute la lettera aperta firmata da 371 esperti di sicurezza e privacy (provenienti da 30 Paesi) che chiedono di sospendere l’adozione dei sistemi automatici di verifica dell’età sui social, sollevando seri dubbi sulla loro fattibilità tecnica e sui rischi correlati.

Ecco i punti principali con un focus sulla fattibilità dei sistemi:

Criticità sulla fattibilità tecnica

  • Metodi invasivi e inaffidabili: Molte delle soluzioni proposte (come l’analisi biometrica dei selfie o il caricamento di documenti d’identità) sono giudicate rischiose. Gli esperti sottolineano che questi metodi creano database centralizzati di informazioni sensibilissime, che diventano bersagli primari per attacchi hacker e furti d’identità.
  • Mancanza di standard globali: La fattibilità è ostacolata dalla necessità di infrastrutture crittografiche estremamente complesse e da una interoperabilità tra diversi provider che, al momento, è difficilmente realizzabile su scala globale.
  • Efficacia vs Sicurezza: Senza l’uso di crittografia end-to-end e di sistemi di controllo decentralizzati, la sicurezza dei dati raccolti non può essere garantita. Gli esperti avvertono che, allo stato attuale, non esiste un consenso scientifico che confermi che i benefici di tali sistemi superino i rischi tecnologici.

Il modello del “Doppio Anonimato” (La proposta UE)

L’articolo menziona, come alternativa tecnicamente più avanzata ma ancora in fase di sviluppo, il modello europeo basato sugli European Digital Identity Wallet:

  • Minimizzazione dei dati: Il sistema si basa sul principio per cui il sito web sa solo che l’utente è “18+” senza conoscerne l’identità, e il fornitore dell’identità non sa quale sito l’utente stia visitando.
  • Sfida implementativa: Nonostante sia una soluzione più rispettosa della privacy, la sua reale fattibilità dipende dall’adozione di massa di questi portafogli digitali e dalla capacità tecnica delle piattaforme di integrarli correttamente.

Conclusioni degli esperti

La lettera sottolinea che, prima di rendere obbligatori questi controlli, serve una valutazione scientifica rigorosa. La preoccupazione è che la fretta normativa porti all’adozione di soluzioni tecniche “impreviste” che normalizzino la sorveglianza digitale e creino barriere d’accesso per chi non possiede documenti facilmente verificabili, senza risolvere realmente il problema della protezione dei minori.

Un’enorme numero di vulnerabilità proprio nelle app che devono trattare dati personali sensibili

​L’articolo “​Analizzate 10 app per la salute mentale: scoperte oltre 1.500 vulnerabilità che mettono a rischio privacy e sicurezza degli utenti” riassume i risultati di un’indagine condotta dalla società di sicurezza informatica Oversecured su 10 popolari applicazioni Android per la salute mentale (con un totale di circa 14,7 milioni di installazioni).

Ecco i punti principali dell’analisi:

  • Oltre 1.500 vulnerabilità rilevate: Lo studio ha scoperto una quantità enorme di falle di sicurezza, alcune delle quali classificate come “gravi”. Queste vulnerabilità permettono, in alcuni casi, di accedere agli account degli utenti senza password o di estrarre dati salvati “in chiaro” (non criptati) sul dispositivo.
  • Dati estremamente sensibili a rischio: A differenza di altre app, queste trattano informazioni intime: stati d’ansia, crisi depressive, pensieri autolesivi e progressi terapeutici. Sebbene siano dati sanitari protetti dall’Art. 9 del GDPR, spesso queste app vengono commercializzate come prodotti di “lifestyle”, inducendo una falsa percezione di sicurezza negli utenti.
  • Rischi di ricatto e discriminazione: Le informazioni sulla salute mentale sono appetibili per gli hacker non solo per fini finanziari, ma anche per profilazione aggressiva, manipolazione, phishing mirato o ricatti. Possono inoltre causare discriminazioni in ambito lavorativo o assicurativo.
  • Geopolitica dei dati: Molti di questi servizi trasmettono e archiviano i dati su server situati fuori dall’Unione Europea, in paesi dove le normative sulla privacy sono meno stringenti o assenti.
  • Consigli per gli utenti: L’articolo suggerisce di scaricare app solo da sviluppatori affidabili, aggiornarle costantemente, leggere con attenzione l’informativa privacy e limitare il rilascio di autorizzazioni (come accesso ai contatti o microfono) non strettamente necessarie. La regola d’oro rimane quella di inserire meno informazioni riservate possibili per ridurre l’esposizione al rischio.

Due rischi indotti dall’Intelligenza Artificiale

L’articolo “​I rischi per la protezione dei dati nei sistemi AI e le misure di compliance”, analizza i rischi per la protezione dei dati legati all’Intelligenza Artificiale, proponendo misure di mitigazione basate sul GDPR, sull’AI Act e sulla norma ISO/IEC 42001:2023​ (Information technology — Artificial intelligence — Management system​).

L’analisi si concentra su due rischi specifici e spesso sottovalutati:

1. Il rischio “Purpose Creep” (Riutilizzo non autorizzato)

Si verifica quando i dati raccolti per una finalità specifica vengono riutilizzati per addestrare modelli di IA con obiettivi diversi, senza una base giuridica adeguata.

  • Esempio: Dati raccolti per analisi statistica di un sito web usati poi per addestrare un algoritmo di credit scoring.
  • Misure di compliance:
    • Condurre un’analisi di compatibilità delle finalità (Art. 6.4 GDPR).
    • Aggiornare il Registro dei Trattamenti includendo la fase di addestramento.
    • Eseguire la valutazione d’impatto richiesta dalla ISO 42001 (requisito 8.4).

2. Il rischio “Data Drift” (Deriva dei dati)

Si verifica quando un modello, addestrato su una “fotografia” del passato, continua a operare in un contesto mutato (cambiamenti demografici, economici o sociali), portando a decisioni errate o discriminatorie.

  • Esempio: Un modello di merito creditizio vecchio di anni che nega prestiti a determinati segmenti perché non riflette le attuali condizioni economiche.
  • Misure di compliance:
    • Definire metriche tecniche di monitoraggio della deriva (es. Population Stability Index).​ [Il “monitoraggio della deriva” (in inglese drift monitoring o model drift) è un processo fondamentale nell’ambito dell’Intelligenza Artificiale (IA) e del Machine Learning (ML) che consiste nel controllare costantemente le prestazioni di un modello predittivo nel tempo per rilevare cali di accuratezza causati da cambiamenti nei dati reali rispetto a quelli utilizzati per l’addestramento.​ Ndr]
    • Documentare le versioni dei modelli e notificare agli interessati cambiamenti significativi.
    • Implementare procedure formali di ri-addestramento e ri-validazione periodica.

​Per i sistemi ad alto rischio, l’AI Act impone che la gestione del rischio sia un processo iterativo e continuo lungo tutto il ciclo di vita del sistema (Art. 9.2).

​Sebbene queste misure possano sembrare costose o eccessive, esse rappresentano gli “anticorpi” necessari per garantire che l’innovazione tecnologica sia responsabile e non leda i diritti degli individui.

LIMITI E RISCHI NEL MONITORAGGIO DELLE PERSONE

Una chatbox di IA appare particolarmente invasiva

Secondo l’articolo “​Usa: Burger King mette nelle orecchie dei dipendenti un chatbot che li obbliga a essere gentili con i clienti”, Negli Stati Uniti Burger King sta introducendo un chatbot di intelligenza artificiale nelle cuffie utilizzate dal personale. Si chiama Patty, è basato sulla tecnologia di OpenAI e fa da voce della piattaforma BK Assistant, che combina dati provenienti dalle conversazioni al drive-thru​ (servizio commerciale che permette ai clienti di acquistare prodotti o usufruire di servizi senza dover scendere dalla propria automobile​), dalle attrezzature di cucina, dall’inventario e da altre aree dell’attività del noto fast food.

​L’obiettivo dichiarato sarebbe quello di fornire supporto operativo nelle attività, migliorando il servizio; ma lo strumento appare molto invasivo. La raccolta di conversazioni tra personale e clienti pone interrogativi: i dati sono utilizzati unicamente per fini migliorativi o possono essere impiegati per influenzare valutazioni, incentivi o addirittura procedimenti disciplinari? [E come la mettiamo con la difesa della privacy dei clienti, le cui conversazioni sono ascoltate dall’intelligenza artificiale? Ndr]

In caso di corresponsabilità, le sanzioni sono comunque applicate per intero a ciascun soggetto e non suddivise in proporzione alle rispettive responsabilità

​L’articolo “Telecamere, targhe e alibi istituzionali: il Garante Privacy smonta la “compartecipazione neutra”” commenta il provvedimento n. 532 del 25 settembre 2025 del Garante per la protezione dei dati personali, che ha sanzionato la Provincia autonoma di Trento in merito a un sistema di lettura automatizzata delle targhe.

Ecco le conclusioni generali e il principio giuridico stabilito dal Garante:

  • Fine dell’alibi del “capofila”: Il Garante ha smontato l’idea che un ente pubblico possa considerarsi “neutro” o estraneo alle responsabilità privacy solo perché si limita a finanziare un progetto o non accede direttamente ai dati tecnici.
  • La contitolarità è sostanziale, non tecnica: Non conta chi possiede fisicamente il server o chi gestisce il software. Se un ente partecipa alla decisione politica e amministrativa che rende possibile il trattamento e ne trae un’utilità istituzionale, è considerato contitolare del trattamento (ai sensi dell’art. 26 del GDPR).
  • Il criterio dell’indissociabilità: Se un sistema di sorveglianza (come quello delle 124 telecamere per la lettura targhe tra Trento e Bolzano) ​n​on avrebbe potuto essere stato stato realizzato nello stesso modo senza il contributo coordinato di più enti, tutti gli attori coinvolti condividono la responsabilità della governance.
  • Obbligo di accordi preventivi: La mancanza di un accordo formale che ripartisca chiaramente le responsabilità tra i vari enti non è un mero vizio burocratico, ma una violazione del principio di accountability. Senza tale accordo, la tutela dei diritti dei cittadini (gli interessati) viene compromessa.
  • Responsabilità condivisa integralmente: Una volta accertata la contitolarità, le violazioni sostanziali (informative carenti, assenza di valutazione d’impatto – DPIA, basi giuridiche deboli) ricadono su tutti i partecipanti. La responsabilità non si divide in base alle “quote” di partecipazione, ma si condivide per intero.

In sintesi, la conclusione generale è che la compliance non è subappaltabile: chi abilita un trattamento di dati ad alto impatto (come il tracciamento dei veicoli su larga scala) ne assume la piena responsabilità legale, indipendentemente dal ruolo tecnico svolto.

IN BREVE, DALL’ITALIA E DAL MONDO

Il Governo è delegato a recepire e adottare un’ampia lista di direttive e regolamenti europei

​L’articolo “​Via libera alla legge di delegazione europea 2025: le novità in materia di privacy e cybersicurezza” riporta l’​approvazione definitiva da parte del Senato della Legge di delegazione europea 2025. Si tratta del provvedimento annuale con cui l’Italia recepisce le direttive e adegua il diritto interno ai regolamenti dell’Unione Europea.

Ecco i punti salienti che riguardano privacy e cybersicurezza, di particolare rilievo per una PMI:

1. Dati Personali e Indagini Penali (Articolo 5)

La legge delega il Governo ad adeguare la normativa italiana a una sentenza della Corte di Giustizia UE (ottobre 2024).

  • Nuovi paletti: L’accesso delle autorità giudiziarie ai dati contenuti in dispositivi elettronici (smartphone, PC, memorie digitali) dovrà essere più circoscritto, rispettare il principio di proporzionalità e, salvo urgenze, essere autorizzato preventivamente da un giudice o un organo indipendente.
  • Obiettivo: Proteggere le libertà civili ed evitare accessi indiscriminati ai dati privati durante le indagini.

2. Cybersicurezza: Attuazione del Cyber Resilience Act (CRA)

È la parte più corposa della delega in termini di sicurezza informatica.

  • Standard per i prodotti digitali: La legge recepisce il Regolamento UE 2024/2847 [Cyber Resilience Act], che impone requisiti di sicurezza per tutti i prodotti con elementi digitali (hardware e software) immessi sul mercato.
  • Ruolo dell’ACN: L’Agenzia per la Cybersicurezza Nazionale viene designata come autorità di notifica e di vigilanza del mercato. Sono stati stanziati fondi crescenti (da 2,1 milioni nel 2026 a 5,8 milioni nel 2027) per potenziare l’Agenzia.

3. Cyber Solidarity Act e Servizi Gestiti

Vengono introdotte norme per rafforzare la cooperazione europea in caso di crisi informatiche:

  • Cyber Solidarity Act: Istituisce un sistema di allerta condivisa e una “riserva di capacità” per rispondere alle emergenze. L’Italia designerà l’ACN come polo informatico nazionale.
  • Servizi di Sicurezza Gestiti: Regolamentazione specifica per i fornitori di servizi cyber.

4. Tempistiche e Sanzioni

  • Sanzioni: La legge prevede la possibilità di adottare nuove sanzioni penali e amministrative per le violazioni degli obblighi europei.
  • Attuazione: Il Governo ha tempi compresi tra 3 e 12 mesi dalla pubblicazione in Gazzetta Ufficiale per emanare i decreti legislativi attuativi.

Il Digital Omnibus rischia di fare più danni che benefici

L’articolo “​Dal dato personale al dato relativo: il Digital Omnibus e l’eclissi dell’universalismo europeo nella protezione dei dati” analizza la proposta di regolamento europeo denominata Digital Omnibus, evidenziando un profondo cambiamento di paradigma nella protezione dei dati: il passaggio da una visione “ontologica” (universale) a una “prospettica” (relativa).

​Si passa dalla natura del dato alla conoscenza del titolare​. Mentre con il GDPR un dato è considerato “personale” in base alla sua capacità intrinseca di identificare qualcuno (visione universale), il Digital Omnibus introduce l’idea che un dato sia personale solo se il titolare ha i mezzi concreti per identificare l’interessato​ (visione relativa). La protezione, quindi, non dipende più da cos’è il dato, ma da cosa sa chi lo gestisce.

​Con questo approccio “relativo” ​lo stesso dato potrebbe essere considerato “personale” per un operatore e “non personale” per un altro, creando frammentazione e incertezza giuridica​, il tutto a scapito dei diritti fondamentali (privacy) degli interessati. La credibilità globale dell’Europa come modello normativo per i diritti digitali​ potrebbe risultarne indebolita, a favore delle grandi piattaforme tecnologiche extraeuropee, che da sempre considerano il GDPR un ostacolo ai propri modelli di business, invece che delle piccole e medie imprese europee.

Un caso di licenziamento legittimo, probabilmente a fronte dei controlli sui log

L’articolo “​Legittimo il licenziamento del lavoratore che in un giorno di ferie mette le mani sui dati aziendali senza alcun motivo” riferisce che la Corte di Cassazione ha ritenuto legittimo il licenziamento di un lavoratore che, durante un giorno di ferie e alle 6 del mattino, aveva effettuato la movimentazione e sincronizzazione di numerosi file aziendali senza alcuna ragione connessa alle proprie mansioni.

​E’ stato infatti considerato che i file trattati riguarda​vano la configurazione e il funzionamento degli impianti, i programmi di produzione, l’organizzazione del personale e i contenuti formativi​, informazioni​, ​quindi, che costituiscono un vero e proprio asset aziendale, parte integrante del patrimonio immateriale dell’impresa.

[Da questo evento si trae la fondata ipotesi che l’abuso sia stato rilevato grazie ai log degli accessi e sulle operazioni effettuate e dalla verifica, automatica o manuale, degli stessi. Si evidenzia anche come l’adozione di una policy del Principio del Minimo Privilegio, non avrebbe consentito il perpetrarsi della violazione delle informazioni aziendali. Ndr]

INTELLIGENZA ARTIFICIALE

L’utilizzo dell’IA da parte delle banche ,​ richiede la verifica dei requisiti del GDPR e dell’IA Act

L’articolo “​Privacy e intelligenza artificiale nel settore bancario: tra opportunità di innovazione e sfide della compliance” analizza il complesso equilibrio tra l’adozione dell’Intelligenza Artificiale nel settore bancario e il rispetto della rigorosa normativa sulla protezione dei dati (GDPR) e del nuovo AI Act.​ Le banche devono operare affinché l’utilizzo dell’IA non diventi uno strumento di esclusione o una fonte di violazioni sistematiche della privacy.Ecco una sintesi dei punti principali:

1. Opportunità di Innovazione

L’IA sta trasformando le banche da semplici custodi di capitali a gestori avanzati di dati:

  • Esperienza Cliente: Utilizzo di IA conversazionale e assistenti virtuali per un supporto 24/7 e una personalizzazione estrema dell’offerta.
  • Efficienza Operativa: Automazione dei processi ripetitivi e ottimizzazione del back-office, riducendo i costi e l’errore umano.
  • Financial Technology (Fintech): Ricorso a modelli di IA per analizzare il merito creditizio in modo più dinamico, permettendo di raggiungere segmenti di clientela precedentemente esclusi.

2. Le Sfide della Compliance

L’adozione dell’IA in banca non è priva di rischi legali e sanzionatori (come dimostra la recente sanzione di 17,6 milioni di euro a Intesa Sanpaolo per illeciti nel trattamento dati):

  • Trasparenza e Spiegabilità (Explainability): Le banche non possono più limitarsi a rifiutare un servizio (come un mutuo) tramite un algoritmo “black box”. Devono essere in grado di spiegare logicamente come l’IA è arrivata a quella decisione e quali dati ha pesato​ [e, soprattutto, deve essere un operatore umano che avalla la decisione proposta dall’IA. Ndr].​​
  • Principi di Privacy by Design: Ogni nuovo sistema di IA deve integrare la protezione dei dati fin dalla sua progettazione, garantendo che la raccolta massiva di informazioni sia sempre pertinente e limitata allo scopo.
  • Valutazione d’Impatto (DPIA e FRIA): È obbligatorio condurre valutazioni d’impatto non solo sulla protezione dei dati (DPIA), ma anche sui diritti fondamentali (FRIA) degli utenti, specialmente per sistemi classificati come “ad alto rischio” dall’AI Act.

3. Evoluzione delle Figure Professionali

L’articolo sottolinea come il ruolo dei professionisti della privacy debba evolvere:

  • Dal DPO al Data Manager: Il Data Protection Officer (DPO) non è più un semplice supervisore tecnico-legale, ma deve diventare un “catalizzatore di visioni” capace di bilanciare i vincoli normativi con le strategie di business.
  • Gap di Competenze: Nonostante l’82% delle aziende investa in IA, mancano esperti capaci di governare questi strumenti in modo consapevole e responsabile.

4. Il Quadro Sanzionatorio e Reputazionale

La regolamentazione europea si basa sull’autorevolezza e sul rigore. Le sanzioni per violazioni della privacy nel settore bancario stanno diventando esemplari, non solo per il danno economico ma anche per l’impatto sulla fiducia del cliente, asset fondamentale nel mercato digitale.

Le immagini generate dall’IA possono comportare rischi enormi: allarme dei garanti della privacy

​L’articolo “​Le autorità per la protezione dei dati di tutto il mondo lanciano allarme su immagini generate dall’AI e rischi sulla privacy” riporta i dettagli di una significativa ​dichiarazione congiunta pubblicata il 23 febbraio 2026 da 61 autorità per la protezione dei dati di tutto il mondo (tra cui il Garante italiano e l’EDPB).

L’obiettivo del documento è lanciare un allarme globale sui rischi legati ai sistemi di IA capaci di generare immagini e video iperrealistici (deepfake). Ecco i punti salienti del riassunto:

1. Oggetto dell’allarme

Le autorità esprimono forte preoccupazione per la capacità dell’IA di creare rappresentazioni visive di individui identificabili senza il loro consenso o la loro conoscenza. Questo fenomeno sta assumendo dimensioni globali grazie alla crescente accessibilità di tali tecnologie.

2. Principali rischi identificati

L’uso non regolamentato di queste tecnologie comporta minacce concrete:

  • Violazione della privacy: Utilizzo non autorizzato dell’immagine di persone reali.
  • Danni reputazionali: Diffusione di contenuti manipolati o falsi che colpiscono la dignità degli individui​ [o che condizionano in modo distorto orientamenti politici e atteggiamenti sociali dei cittadini. Ndr].
  • Difficoltà di distinzione: L’impossibilità per il pubblico di distinguere tra contenuti autentici e generati artificialmente.

3. Focus sulla tutela dei minori

Un intero capitolo della dichiarazione è dedicato ai più giovani. Le autorità evidenziano come queste tecnologie possano essere usate per creare contenuti abusivi o dannosi che coinvolgono minori, con gravissime ripercussioni psicologiche e sociali.

4. Richieste alle aziende sviluppatrici

La dichiarazione invita le aziende di IA, le piattaforme online e i fornitori di servizi ad adottare misure rigorose:

  • Privacy by Design: Integrare protezioni contro la generazione di immagini non autorizzate fin dalla progettazione.
  • Trasparenza dei dati: Essere chiari sui dataset utilizzati per l’addestramento.
  • Strumenti di controllo: Implementare sistemi di prevenzione degli abusi, meccanismi di watermarking (per identificare i contenuti IA) e procedure rapide per la segnalazione e rimozione di contenuti illeciti.

5. Messaggio politico e normativo

Il documento rappresenta una delle prese di posizione internazionali più forti sul tema. Le autorità sottolineano che l’innovazione tecnologica deve necessariamente convivere con la tutela dei diritti fondamentali e richiedono una cooperazione globale per stabilire regole condivise e responsabilizzare tutti gli attori dell’ecosistema digitale.

Il DPO deve ampliare i propri ambiti anche a quello dell’Intelligenza Artificiale

​L’articolo​ “​Con l’intelligenza artificiale il Data Protection Officer non sarà un semplice supervisore tecnico, ma un catalizzatore di visioni” sostiene che nell’era dell’intelligenza artificiale il ruolo del Data Protection Officer (DPO) debba evolvere profondamente.

Ecco i punti chiave sintetizzati:

  • Oltre la tecnica: Il DPO non deve limitarsi a una supervisione burocratica o tecnica, ma deve diventare un “catalizzatore di visioni”, capace di interpretare il senso e l’etica dell’innovazione.
  • Pragmatismo contro Filosofia: Citando il Test di Turing e la “Stanza Cinese” di Searle [Vedi questo link. Ndr], l’autore distingue tra la capacità dell’IA di manipolare simboli (sintassi) e la reale comprensione (semantica). Il DPO deve colmare questo gap fornendo il significato umano e il giudizio etico.
  • Approccio basato sul rischio (Risk-based): L’IA non va temuta perché può sbagliare (anche gli umani sbagliano), ma va governata. La supervisione umana non deve essere un freno, ma una leva per garantire decisioni sagge e non solo statisticamente corrette.
  • La Conformità come valore: La compliance non è un ostacolo all’innovazione, ma il metodo necessario per costruire fiducia, specialmente in settori delicati come quello bancario.

In sintesi, il nuovo DPO è chiamato a guidare l’adozione consapevole dell’IA, bilanciando l’efficienza tecnologica con la responsabilità e la tutela dei diritti fondamentali.

​Alcuni principi per l’utilizzo dell’IA nell’ambito della sanità

L’articolo “​Intelligenza artificiale nella sanità, dalla CNIL una guida per i Data Protection Officer” riassume la consultazione pubblica avviata nel marzo 2026 dal CNIL (l’Autorità francese per la protezione dei dati) e dalla Haute Autorité de Santé su una guida dedicata al corretto utilizzo dell’Intelligenza Artificiale in ambito sanitario.

Sebbene il documento sia francese, i principi operativi sono validi per tutte le strutture sanitarie europee, specialmente alla luce dell’AI Act. Ecco i punti fondamentali:

1. Governance e Responsabilità Organizzativa

L’adozione dell’IA non è una scelta puramente tecnica, ma una decisione strategica che richiede:

  • Ruoli chiari: Coinvolgimento della direzione, dei medici, degli uffici legali, della sicurezza IT e del DPO.
  • Mappatura dei sistemi: Le strutture devono censire quali sistemi di IA utilizzano (o intendono utilizzare) per gestire meglio rischi e adempimenti.

2. Il Ciclo di Vita del Sistema AI

La guida è strutturata in schede pratiche che accompagnano l’organizzazione in ogni fase:

  • Acquisizione del sistema.
  • Messa in esercizio e utilizzo quotidiano.
  • Eventuale dismissione del sistema.

3. Informazione e Consenso del Paziente

L’approccio è pragmatico:

  • Consenso ordinario: In genere, l’uso dell’IA nel percorso di cura non richiede un consenso aggiuntivo rispetto a quello già prestato per l’atto medico.
  • Informazione chiara: Il paziente deve però essere informato che un’IA sta supportando il medico, garantendo (ove possibile) il diritto di opposizione.
  • Casi speciali: Il consenso esplicito torna necessario per trattamenti che coinvolgono voce o immagini identificative.

4. Supervisione Umana ed Etica (Il punto chiave)

Il documento è categorico: ogni decisione clinica supportata dall’IA deve rimanere soggetta a un controllo umano effettivo e documentabile.

  • Validazione dei referti: Se l’IA aiuta a scrivere referti o documentazione, la validazione finale deve spettare al medico che ha eseguito l’atto sanitario. Non può essere delegata a terzi (che non hanno visto il paziente), perché non saprebbero identificare eventuali “allucinazioni” o errori del sistema.

VIOLAZIONI DI DATI PERSONALI E SANZIONI, IN BREVE

  • ​Contratti attivati da agenti porta a porta all’insaputa dei clienti: il Garante Privacy sanziona Acea Energia per 2 milioni di euro​.
  • Il Garante della privacy sanziona ITA Airways e Alitalia per 1,25 milioni di euro per violazione del GDPR sui dati dei lavoratori. Nel passaggio dei lavoratori dalla vecchia alla nuova società, sono state trasferite tutte le informazioni personali, anche appartenenti a categorie particolari, prima che i lavoratori stessi si candidassero per l’assunzione.
  • ​Il Garante Privacy sanziona Intesa Sanpaolo per 17,6 milioni di euro per trattamento illecito di dati personali di 2,4 milioni di clienti, trasferiti unilateralmente alla controllata al 100% Isybank Spa, banca interamente digitale.

ing. Michele Lopardo

Responsabile Qualità @ Wondersys