Guida operativa al riallineamento dell'informativa privacy e della documentazione GDPR quando l'azienda introduce sistemi di intelligenza artificiale nei propri processi.
L'integrazione di un sistema di intelligenza artificiale nei flussi aziendali non è quasi mai neutra rispetto al GDPR. Nella maggior parte dei casi configura un nuovo trattamento di dati personali — o la modifica sostanziale di un trattamento già esistente — con conseguenti obblighi di trasparenza ex artt. 13 e 14 del Regolamento (UE) 2016/679. Eppure, nella prassi, molte imprese italiane continuano a integrare strumenti AI senza toccare un'informativa redatta anni prima per finalità del tutto diverse, esponendosi a rischi sanzionatori e a contenziosi con gli interessati.
Il principio: ogni nuovo trattamento esige nuova trasparenza
L'art. 13, par. 3, e l'art. 14, par. 4, GDPR sono netti: quando il titolare intende trattare ulteriormente i dati per una finalità diversa da quella originaria, deve fornire informazioni preventive aggiornate. La Corte di Giustizia UE, nella sentenza 4 luglio 2023, C-252/21 (Meta Platforms v. Bundeskartellamt), ha rafforzato il principio della valutazione autonoma di compatibilità delle finalità ulteriori.
La Legge 23 settembre 2025, n. 132 sull'intelligenza artificiale, all'art. 3, comma 2, e all'art. 4, ha tipizzato per i sistemi AI un obbligo rinforzato di trasparenza, richiedendo informazioni «con linguaggio chiaro e semplice» sulla logica di funzionamento e sui rischi del trattamento. Anche l'EDPB, con l'Opinion 28/2024 del 17 dicembre 2024, ha chiarito che i principi del GDPR — accountability, minimizzazione, limitazione delle finalità — si applicano lungo l'intero ciclo di vita del modello AI, dall'addestramento al deployment.
I cinque eventi-trigger che obbligano alla revisione
Sono cinque le circostanze più ricorrenti che rendono giuridicamente necessaria la revisione dell'informativa privacy aziendale.
01. Adozione di un nuovo strumento AI che processa dati personali
L'attivazione di un chatbot generativo per il customer care, di un sistema di scoring per la concessione di credito o di un assistant AI integrato nel CRM costituisce un nuovo trattamento da dichiarare all'interessato.
02. Passaggio dalla versione consumer a quella enterprise
Le versioni consumer dei principali LLM utilizzano gli input degli utenti per il training; quelle enterprise/business lo escludono contrattualmente. Il passaggio modifica destinatari, finalità e tempi di conservazione: tutti elementi obbligatori dell'informativa.
03. Estensione delle finalità (training, profilazione, scoring)
Quando il titolare decide di utilizzare i dati raccolti per addestrare o ottimizzare un modello, scatta una nuova finalità. Lo dimostrano le recenti vicende Meta (comunicato Garante del 29 aprile 2025) e LinkedIn (comunicato Garante in vista del 3 novembre 2025), in cui l'Autorità ha richiesto opt-out preventivi e informazione granulare.
04. Nuovo trasferimento di dati extra-UE
Molti fornitori AI hanno server fuori dallo Spazio Economico Europeo. Vanno verificate le decisioni di adeguatezza (es. Data Privacy Framework UE-USA), aggiunte le Clausole Contrattuali Standard e dichiarati nell'informativa i Paesi di destinazione e le garanzie ex artt. 44-49 GDPR.
05. Cambio di base giuridica
Il passaggio dal consenso al legittimo interesse (o viceversa), tipico nei progetti AI, va sempre dichiarato e supportato da un Legitimate Interest Assessment documentato, secondo le indicazioni delle Guidelines EDPB 1/2024.
Quando aggiornare la privacy con un sistema AI
I cinque eventi-trigger che, ai sensi degli artt. 13 e 14 GDPR, impongono la revisione dell'informativa
Provv. n. 755/2024
annullato Trib. Roma 3/2026
Provv. n. 130/2025
10 aprile 2025
Provv. 30 gennaio 2025
blocco trattamento IT
Fonti: Reg. (UE) 2016/679 · Reg. (UE) 2024/1689 · L. 132/2025 · EDPB Opinion 28/2024 · CGUE C-252/21 · Garante Privacy
Cosa va concretamente integrato negli artt. 13-14
Una privacy policy «AI-aware» deve esplicitare almeno i seguenti elementi, riferiti specificamente al trattamento attraverso il sistema AI introdotto:
- identità del sistema AI utilizzato e ruolo del fornitore (responsabile del trattamento o autonomo titolare);
- logica di funzionamento essenziale e tipo di output prodotto;
- categorie di dati trattati nei prompt e generati come output;
- basi giuridiche distinte per ogni finalità (uso operativo, training, miglioramento del servizio);
- destinatari (fornitore AI, sub-processor) e relativi accordi ex art. 28 GDPR;
- trasferimenti extra-UE con indicazione delle garanzie applicate;
- periodi di conservazione di prompt, output e log;
- diritti degli interessati, con menzione esplicita del diritto di opposizione (art. 21) e dei diritti rafforzati ex art. 22 per le decisioni automatizzate.
Non basta l'informativa: la documentazione collegata
L'aggiornamento corretto coinvolge l'intero impianto privacy aziendale e richiede di rivedere in modo coordinato:
› il Registro dei trattamenti ex art. 30 GDPR, con nuova voce dedicata al sistema AI;
› la DPIA ex art. 35 GDPR, integrabile con la FRIA ex art. 27 AI Act per i sistemi ad alto rischio;
› il DPA (Data Processing Agreement) con il fornitore AI, con clausole specifiche su training e conservazione;
› la Cookie Policy, se l'AI è integrata in un chatbot frontend con script tracker;
› la AI Policy interna, vincolante per dipendenti e collaboratori esterni.
Il rischio di non aggiornare: la giurisprudenza recente
Il Provvedimento del Garante n. 755 del 2 novembre 2024 nei confronti di OpenAI ha contestato l'inadeguatezza dell'informativa di ChatGPT ex artt. 5, 12 e 13 GDPR (sanzione di 15 milioni di euro annullata dal Tribunale di Roma con sentenza del marzo 2026 per ragioni di proporzionalità, ma con conferma del principio della centralità della trasparenza). Il Provvedimento n. 130 del 10 aprile 2025 verso Replika (Luka Inc.) ha sanzionato la mancanza di una privacy policy in lingua italiana e priva di indicazione granulare di basi giuridiche e finalità per il chatbot generativo. Il provvedimento del 30 gennaio 2025 ha portato al blocco di DeepSeek in Italia, anche per opacità informativa. Le tre vicende dimostrano che l'Autorità giudica nel merito la completezza sostanziale dell'informativa: non bastano formule generiche.
La procedura di aggiornamento corretta
1. Mappare preventivamente il sistema AI introdotto, i flussi di dati e i fornitori coinvolti;
2. Redigere la nuova informativa integrando ogni elemento sopra elencato;
3. Versionare il documento (data, numero di versione, cronologia modifiche);
4. Comunicare in modo prominente la modifica agli interessati già censiti (e-mail, banner, area riservata);
5. Conservare le versioni precedenti per documentare la conformità storica;
6. Coordinare la nuova policy con Consent Management Platform e cookie banner.
Hai introdotto sistemi AI in azienda?
Aggiornare la privacy non è un adempimento formale: è la prima linea di difesa rispetto a sanzioni amministrative, contenziosi con interessati e perdita di fiducia. Lo Studio Legale Celotti, nell'area Diritto e Innovazione Digitale, assiste imprese e professionisti nella revisione completa della documentazione privacy dopo l'adozione di sistemi AI.
RICHIEDI UNA CONSULENZA →Fonti normative e giurisprudenziali: Reg. (UE) 2016/679 (GDPR), artt. 5, 12, 13, 14, 21, 22, 28, 30, 35, 44-49 · Reg. (UE) 2024/1689 (AI Act), artt. 27, 50 · L. 23 settembre 2025 n. 132, artt. 3 e 4 · CGUE 4 luglio 2023, C-252/21 · EDPB Opinion 28/2024 del 17 dicembre 2024 · EDPB Guidelines 1/2024 sull'art. 6(1)(f) GDPR · Provv. Garante n. 755 del 2.11.2024 (OpenAI) · Provv. Garante n. 130 del 10.4.2025 (Replika) · Provv. Garante 30.1.2025 (DeepSeek) · Comunicati Garante 29.4.2025 (Meta) e 30.10.2025 (LinkedIn).
