TL;DR per il DPO
L'Italia si dota della governance nazionale prevista dall'AI Act. Il Garante vigilera' sull'alto rischio in cinque settori sensibili e chiede di estendere il divieto di decisioni interamente automatizzate alle valutazioni su prestazioni, premi e progressioni di carriera. Se un cliente usa strumenti di IA nella gestione del personale, e' il passaggio da monitorare.
Cosa prevede lo schema di decreto
Il provvedimento definisce il sistema nazionale di governance e vigilanza sull'intelligenza artificiale e designa il Garante quale autorita' di vigilanza del mercato per i sistemi ad alto rischio impiegati nei settori piu' sensibili per i diritti fondamentali: giustizia, attivita' di contrasto, immigrazione, gestione delle frontiere e processi democratici. Introduce inoltre regole per i settori finanziario e assicurativo e promuove percorsi di alfabetizzazione digitale e di formazione sull'uso consapevole dell'IA nelle scuole, nelle universita' e nei percorsi professionali.
La scelta non e' scontata. In molti Stati membri la vigilanza sull'alto rischio e' stata affidata ad autorita' di nuova istituzione o ad agenzie tecniche; qui una parte rilevante resta all'autorita' di protezione dei dati, che porta con se' un metodo istruttorio gia' rodato e una giurisprudenza amministrativa consolidata. Per chi fa il DPO significa che l'interlocutore su AI Act e GDPR, almeno in quei settori, sara' lo stesso.
Le condizioni poste dal Garante
- Riconoscere all'Autorita' il potere di adottare linee guida, raccomandazioni e buone pratiche, al pari delle altre autorita' competenti per l'IA. E' la richiesta che incide di piu' sul lavoro quotidiano: senza quel potere mancherebbe la fonte interpretativa a cui un DPO puo' appoggiarsi.
- Chiarire le regole per l'applicazione delle sanzioni di sua competenza, secondo quanto previsto dal Codice privacy.
- Coinvolgere il Garante nelle attivita' dello Spazio di sperimentazione italiano per l'intelligenza artificiale.
- Chiarire il ruolo dell'Autorita' nelle procedure di valutazione della conformita' dei sistemi ad alto rischio, per i quali l'AI Act le attribuisce specifiche funzioni di vigilanza.
- Estendere il divieto di decisioni basate esclusivamente su sistemi automatizzati anche alle valutazioni che possono incidere in modo significativo sul rapporto di lavoro, come quelle relative alle prestazioni, all'attribuzione di premi o alle progressioni di carriera.
- Adeguare le risorse finanziarie dell'Autorita' alle nuove competenze attribuitele dalla normativa europea.
La condizione che riguarda tutti i clienti
L'ultima richiesta e' quella con l'impatto piu' ampio. Oggi il divieto dell'art. 22 GDPR copre le decisioni che producono effetti giuridici o incidono in modo analogamente significativo. Se il decreto recepisse la proposta del Garante, la valutazione della prestazione, l'attribuzione di un premio e la progressione di carriera sarebbero coperte in modo esplicito. Molte aziende usano gia' strumenti di scoring interno per queste finalita' senza averli mai qualificati: vale la pena censirli adesso, prima che la qualificazione diventi obbligata.
Il secondo parere: biometria e forze di polizia
Con un parere distinto, sempre del 14 luglio 2026, il Garante si e' pronunciato sui titoli dello schema che disciplinano l'impiego dell'IA da parte delle Forze di polizia, definendo limiti e garanzie per il trattamento dei dati biometrici e per l'identificazione biometrica da remoto. L'Autorita' ha ritenuto il testo complessivamente coerente con l'AI Act e con la legge delega n. 132/2025, indicando pero' alcuni profili da integrare: chiarire il ruolo della supervisione umana, definire meglio le responsabilita' nei progetti di ricerca e sperimentazione, e rafforzare le garanzie sulla qualita' delle banche dati biometriche.
Il passaggio piu' netto riguarda il trattamento automatizzato e generalizzato dei dati biometrici di chi accede a luoghi o eventi pubblici: secondo il Garante non e' coerente con l'AI Act, che consente il riconoscimento facciale ex post solo per ricerche mirate. L'elaborazione dovrebbe avvenire esclusivamente sulle registrazioni gia' acquisite e in presenza di una specifica esigenza operativa, evitando raccolte massive e preventive. L'Autorita' chiede infine che sia previsto il divieto espresso di utilizzare banche dati ottenute mediante scraping indiscriminato o in violazione della normativa sulla protezione dei dati.
Perche' conta adesso
Il calendario dell'AI Act e' stato modificato dal pacchetto Digital Omnibus: gli obblighi per i sistemi ad alto rischio dell'Allegato III decorrono dal 2 dicembre 2027 e quelli dell'Allegato I dal 2 agosto 2028. Il rinvio riguarda le date, non il contenuto. Un decreto attuativo che definisce chi vigila, con quali poteri e con quali sanzioni e' esattamente il tipo di infrastruttura che serve prima, non dopo: quando gli obblighi diventeranno esigibili, l'autorita' competente sara' gia' operativa.
Fonte ufficiale:Garante per la protezione dei dati personali - Newsletter n. 550 del 29 luglio 2026; pareri del 14 luglio 2026 [doc-web 10275626 e 10275606]Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
