Se la tua organizzazione sviluppa, distribuisce o utilizza IA nella selezione del personale, nella valutazione del merito creditizio, nelle infrastrutture critiche o in contesti di frontiera e di polizia, il 2 agosto 2026 era una scadenza da non mancare. È la data in cui gli obblighi del regolamento IA europeo per i sistemi ad alto rischio sono diventati pienamente applicabili — e il GDPR non è più l'unica norma sui dati capace di far saltare il budget compliance di un anno storto.
Per la prima volta due distinti regimi sanzionatori europei si applicano in parallelo alla stessa attività di fondo: il trattamento di dati personali attraverso un sistema di IA. Capire dove si sovrappongono, dove divergono e dove possono colpire entrambi insieme è la questione di compliance del secondo semestre 2026.
Cosa è cambiato il 2 agosto
I sistemi di IA ad alto rischio — definiti nell'allegato III del regolamento e riferiti a usi come la selezione del personale, la valutazione dell'affidabilità creditizia, la gestione di infrastrutture digitali critiche e il controllo delle frontiere — devono ora disporre, tra le altre cose, di:
- Un sistema di gestione dei rischi mantenuto lungo l'intero ciclo di vita del sistema
- Standard di governance dei dati per i set di addestramento e validazione, inclusa la rilevazione dei bias
- Documentazione tecnica abbastanza solida da reggere un audit dell'autorità
- Registrazione automatica delle operazioni del sistema
- Disposizioni di trasparenza che permettano a deployer e persone interessate di capire cosa fa il sistema
- Meccanismi di sorveglianza umana che consentano di intervenire o fermare il sistema in qualsiasi momento
- Standard di accuratezza, robustezza e cibersicurezza adeguati alla finalità del sistema
Ai fornitori era richiesto di aver completato le valutazioni di conformità, finalizzato la documentazione tecnica, apposto la marcatura CE e registrato il sistema nella banca dati UE entro la scadenza.
Se diversi di questi obblighi suonano familiari, è perché dovrebbero. Il GDPR già richiedeva valutazioni d'impatto sulla protezione dei dati, analisi del rischio documentata, trasparenza verso gli interessati e garanzie sulle decisioni automatizzate. Il regolamento IA non sostituisce nulla di tutto ciò: si aggiunge sopra, con una propria base giuridica, propri requisiti documentali e proprie sanzioni.
Dove le due norme si sovrappongono davvero
I punti di collisione più netti:
Governance dei dati. L'articolo 10 del regolamento IA impone una governance sui set di dati di addestramento e validazione: pertinenza, rappresentatività, rilevazione dei bias. I principi di minimizzazione ed esattezza del GDPR (articolo 5) già disciplinano i dati personali contenuti in quegli stessi set. Un set di addestramento difettoso può ora costituire una violazione simultanea di entrambi i quadri normativi, valutata secondo due test diversi.
Valutazioni d'impatto. Il GDPR richiede una valutazione d'impatto sulla protezione dei dati (DPIA) per i trattamenti ad alto rischio. Il regolamento IA richiede una valutazione d'impatto sui diritti fondamentali (FRIA) per determinati impieghi ad alto rischio, in particolare da parte di enti pubblici e in settori sensibili. Non sono lo stesso documento, ma poggiano in gran parte sulla stessa analisi del rischio — il che significa che una DPIA con un perimetro troppo stretto ha ora una seconda norma pronta a raccogliere ciò che le sfugge.
Trasparenza. Gli articoli da 12 a 14 del GDPR impongono informazioni chiare agli interessati sul trattamento. Il regolamento IA impone separatamente ai fornitori di dare ai deployer istruzioni per un uso sicuro e informazioni su accuratezza e limiti del sistema, e richiede che le persone siano avvisate quando interagiscono con un sistema di IA. Due regimi di trasparenza, due destinatari, due insiemi di obblighi informativi.
Sorveglianza umana e decisioni automatizzate. L'articolo 22 del GDPR limita le decisioni esclusivamente automatizzate con effetti giuridici o similmente significativi. Il requisito di sorveglianza umana del regolamento IA è più ampio e si applica indipendentemente dal fatto che una decisione sia «esclusivamente» automatizzata: un sistema che supera l'asticella dell'articolo 22 perché un umano formalmente rivede gli output può comunque non reggere l'asticella più alta del regolamento IA su cosa sia una sorveglianza effettiva.
Il calcolo delle sanzioni
Qui la cosa si fa più tagliente. L'articolo 99 del regolamento IA fissa una struttura a tre fasce:
- Fino a 35 milioni di euro o il 7 % del fatturato annuo mondiale per violazioni delle pratiche vietate (articolo 5)
- Fino a 15 milioni di euro o il 3 % del fatturato per violazioni relative ai sistemi ad alto rischio
- Fino a 7,5 milioni di euro o l'1 % del fatturato per informazioni inesatte o fuorvianti fornite alle autorità
La fascia superiore supera ora il massimo del GDPR, pari a 20 milioni di euro o il 4 % del fatturato mondiale, rendendo il regolamento IA il più severo dei due regimi al suo tetto.
Fondamentale: l'articolo 99, paragrafo 8, contiene una regola «stessa condotta, una sanzione» — se un unico fatto viola sia il regolamento IA sia un'altra norma europea come il GDPR, le autorità applicano solo la più alta delle due sanzioni. Ma questa protezione è più stretta di quanto sembri. Se un sistema di IA viola le regole di governance dei dati del regolamento IA attraverso un set di addestramento distorto, e viola separatamente i principi di esattezza o minimizzazione del GDPR per il modo in cui quegli stessi dati sono stati raccolti o conservati, si tratta di violazioni distinte — sanzionabili separatamente.
Giuridicamente non è il «ne bis in idem» nel senso che molti team compliance danno per scontato. È una valutazione fatta violazione per violazione — e più le pratiche sui dati del tuo sistema di IA sono intrecciate con dati personali soggetti al GDPR, più superficie offri perché quella separazione ti si ritorca contro.
Cosa significa in pratica
L'istinto di trattare regolamento IA e GDPR come due checklist da percorrere in sequenza è al momento l'errore più costoso a disposizione. Alcune cose da fare invece:
- Metti a confronto DPIA e FRIA invece di commissionarle separatamente. Se un sistema richiede entrambe, l'analisi del rischio sottostante deve essere una base condivisa, non due esercizi scollegati che si contraddicono in silenzio. Se non hai ancora alcun processo DPIA, parti da lì: la FRIA è molto più difficile da costruire sul nulla.
- Verifica le informative di trasparenza GDPR esistenti rispetto agli obblighi informativi del regolamento IA. Coprono informazioni diverse, ma un'informativa costruita solo per il GDPR con ogni probabilità non contiene ciò che il regolamento IA ora richiede in aggiunta — e questo arriva proprio mentre l'EDPB ha reso la trasparenza degli articoli 12-14 la sua priorità di enforcement coordinato per il 2026. Entrambi i fronti stanno guardando le stesse informative quest'anno, per motivi diversi.
- Tratta la sorveglianza umana come un requisito di progettazione, non come una dichiarazione di policy. Sotto entrambi i regimi le autorità chiederanno prova che una persona possa intervenire in modo significativo, non solo che qualcuno sia nominalmente nel processo. La nostra checklist sulla sorveglianza dell'IA descrive che aspetto ha questa prova nella pratica.
- Fai parlare subito i team legali e quelli della documentazione tecnica. I requisiti di documentazione tecnica e logging del regolamento IA diventeranno sempre più la base probatoria con cui le autorità valuteranno anche la conformità al GDPR, perché entrambi si reggono sulla capacità di dimostrare — non solo affermare — come un sistema tratta davvero i dati personali.
Il contesto sanzionatorio rende tutto urgente, non teorico
Tutto questo non atterra in un ambiente tranquillo.
Le sanzioni GDPR hanno già superato i 7,1 miliardi di euro cumulati, con oltre 600 milioni comminati solo nel primo semestre 2026. Le notifiche giornaliere di violazione sono salite del 22 % su base annua fino a 443 al giorno — la prima volta che quel dato supera quota 400 da quando il GDPR è applicabile, nel 2018. E l'enforcement si è spostato nettamente oltre le big tech: da gennaio 2023 sono state comminate più sanzioni a piccole e medie imprese che nei cinque anni precedenti messi insieme.
Sovrapponi a questa traiettoria un secondo regime sanzionatorio con un tetto più alto e il messaggio per i team compliance è netto: il regolamento IA non ha semplicemente aggiunto una norma in più da seguire. Ha aggiunto una seconda autorità con una propria idea di cosa il tuo sistema di IA debba alle persone i cui dati tocca — nello stesso momento, sugli stessi sistemi, spesso sugli stessi fatti.
Se non sai da che parte della linea «alto rischio» cadano i tuoi sistemi, è la prima domanda a cui rispondere: gli obblighi qui sopra mordono solo dentro l'allegato III, ma la classificazione stessa devi averla documentata. Prenota una consulenza gratuita con GDPRGard →
Fonti
- Regolamento IA UE — articolo 99, sanzioni
- Regolamento IA UE — allegato III, sistemi ad alto rischio
- Commissione europea — calendario di attuazione del regolamento IA
- CMS GDPR Enforcement Tracker
- Comitato europeo per la protezione dei dati — quadro di enforcement coordinato
Da leggere anche:
- Il rinvio del regolamento IA non copre il tuo chatbot
- Perché ogni azienda SaaS ha bisogno di una DPIA prima di lanciare funzioni di IA
- Notizie sull'IA: cosa guida davvero la crescita aziendale basata sull'IA