Mentre i titoli si concentrano sul regolamento IA dell'UE e sulle sue scadenze scaglionate 2026–2027, si sta svolgendo una storia più silenziosa: le autorità europee per la protezione dei dati non stanno aspettando. Stanno usando una norma pienamente applicabile dal 2018 — il GDPR — per punire esattamente il tipo di errori legati all'IA che le piccole e medie imprese potrebbero commettere con altrettanta facilità.
Tre casi recenti mostrano come appare in pratica questa applicazione, e nessuno di essi ha avuto bisogno che il regolamento IA esistesse.
Clearview AI — 30,5 milioni di € per aver raccolto volti senza chiedere
Nel settembre 2024, l'autorità olandese per la protezione dei dati (Autoriteit Persoonsgegevens) ha multato per 30,5 milioni di € l'azienda statunitense di riconoscimento facciale Clearview AI — con la minaccia di ulteriori 5,1 milioni di € se non avesse smesso. Clearview aveva costruito il proprio business raccogliendo miliardi di foto dal web pubblico e trasformandole in «impronte facciali» biometriche vendute a forze dell'ordine e altri clienti.
L'autorità olandese non ha accettato la difesa di Clearview secondo cui serviva solo clienti extra-UE. Ha accertato che l'azienda aveva trattato dati biometrici di residenti europei su «scala massiva», senza base giuridica, senza informare le persone che le loro foto erano state raccolte, e senza alcun modo per queste persone di opporsi o richiederne la cancellazione.
La lezione non riguarda davvero il riconoscimento facciale in sé — riguarda l'assunto di fondo che Clearview ha fatto: che se un dato è pubblicamente visibile online, sia lecito raccoglierlo e riutilizzarlo. Il GDPR non ha mai condiviso questo assunto, e le autorità ora stanno mettendo attivamente alla prova le aziende di IA proprio su questo punto.
Una fintech tedesca — 492.000 € per aver lasciato che l'algoritmo decidesse da solo
Nel 2025, l'autorità per la protezione dei dati di Amburgo (HmbBfDI) ha multato per 492.000 € un fornitore di servizi finanziari, dopo che il suo sistema automatizzato aveva respinto richieste di carte di credito — anche di richiedenti con affidabilità creditizia dimostrabilmente buona — senza alcuna revisione umana. Quando i clienti respinti hanno chiesto perché, l'azienda non è stata in grado di fornire una spiegazione significativa.
Questa combinazione ha fatto scattare due violazioni distinte del GDPR: una violazione dell'articolo 22, che dà alle persone il diritto di non essere sottoposte a una decisione interamente automatizzata con effetti significativi su di esse, e una violazione degli articoli 13–15, che impongono alle aziende di spiegare, in termini concreti, come è stata raggiunta una decisione automatizzata. È significativo che la multa avrebbe potuto essere più alta — l'autorità di Amburgo l'ha esplicitamente ridotta perché l'azienda ha collaborato e corretto il processo una volta segnalato il problema.
La lezione per qualsiasi azienda che usa l'IA per selezionare, valutare o filtrare i clienti — controlli del credito, candidati al lavoro, preventivi assicurativi, persino segnalazioni automatiche di frode — è che «ha deciso l'algoritmo» non è uno scudo legale. Se la decisione ha un effetto reale su qualcuno, deve poter intervenire una persona, e l'azienda deve poter spiegare il perché.
Replika — 5 milioni di € per aver saltato le basi
Nell'aprile 2025, l'autorità italiana Garante ha multato per 5 milioni di € Luka Inc., produttrice dell'app di compagnia IA Replika. I problemi di fondo erano tutt'altro che eclatanti: l'azienda non è stata in grado di indicare una base giuridica valida per il trattamento dei dati degli utenti, le sue informative privacy non spiegavano chiaramente cosa accadesse a quei dati e — nonostante il divieto tecnico di accesso ai minori — non disponeva di un meccanismo reale per verificare l'età di nessuno.
Questo caso è un utile promemoria del fatto che gran parte dell'applicazione del GDPR contro i prodotti IA non riguarda danni algoritmici esotici. Riguarda gli stessi principi fondamentali validi per qualsiasi sito o app: conoscere la propria base giuridica, scrivere informative privacy che le persone possano davvero capire, e non dichiarare restrizioni d'età che non si ha modo di far rispettare.
Cosa hanno in comune questi tre casi
Paesi diversi, settori diversi, tecnologie diverse — ma lo schema è coerente:
- Nessuna di queste multe aveva bisogno del regolamento IA. Tutte e tre si basano interamente su obblighi GDPR in vigore dal 2018: una base giuridica valida per il trattamento (articoli 5–6), una trasparenza sostanziale (articoli 12–15), il diritto a una revisione umana delle decisioni automatizzate (articolo 22) e la protezione dei dati fin dalla progettazione (articolo 25). Le autorità stanno semplicemente applicando la legge esistente a nuovi prodotti.
- Le mancanze erano di base, non esotiche. Nessuno è stato multato perché un modello sofisticato ha fallito in modo imprevedibile. Sono stati multati per aver saltato passaggi fondamentali: nessuna base giuridica, nessuna informativa chiara, nessun intervento umano di riserva, nessun controllo dell'età funzionante.
- La collaborazione ha contato. La riduzione della multa di Amburgo è un dettaglio piccolo ma rivelatore — le autorità reagiscono diversamente alle aziende che correggono rapidamente i problemi rispetto a quelle che resistono.
GDPRChat è un widget di chat con i clienti basato su IA, costruito con gate di consenso conformi all'art. 7 e cancellazione automatica dei dati — la conformità è integrata nell'architettura, non aggiunta in seguito quando un'autorità inizia a fare domande.
Cosa significa questo se sei una piccola impresa
È allettante leggere questi casi come storie di «big tech» — Clearview, una banca tedesca, un produttore di chatbot della Silicon Valley. Ma gli obblighi che li hanno fatti inciampare si applicano a qualsiasi dimensione aziendale. Se la tua azienda usa un chatbot IA, uno strumento di scoring, un motore di raccomandazione, o qualsiasi cosa che tratti dati dei clienti, le stesse domande valgono anche per te:
- Hai una base giuridica documentata per ciò che l'IA fa con i dati dei clienti?
- Puoi spiegare, in linguaggio chiaro, cosa succede a quei dati e per quanto tempo?
- Se l'IA prende una decisione che riguarda un cliente, c'è una persona reale che può rivederla?
- Se il tuo prodotto non è destinato ai minori, hai davvero un modo per verificarlo — o solo una casella da spuntare?
L'applicazione del GDPR contro l'IA non sta aspettando che una nuova normativa la raggiunga. È già qui, e sta già facendo pagare il conto. Integrare la conformità fin dall'inizio — invece di rincorrerla dopo che un'autorità inizia a fare domande — costa molto meno dell'alternativa.
Prenota una consulenza gratuita con GDPRGard →
Fonti
- Autorità olandese per la protezione dei dati — multa a Clearview per raccolta illegale di dati per il riconoscimento facciale
- Clyde & Co — Lezioni dalla multa di 492.000 € di Amburgo
- EDPB — l'autorità italiana multa il produttore del chatbot Replika
- Financier Worldwide — Applicazione del GDPR: come le autorità UE stanno plasmando la governance dell'IA
Leggi anche:
- Il regolamento IA si applica ai sistemi ad alto rischio: ora hai due autorità
- Perché ogni azienda SaaS ha bisogno di una DPIA prima delle funzioni IA
- L'IA è il più grande rischio GDPR del 2026