Intelligenza artificiale e privacy: le sanzioni del Garante e cosa insegnano alle aziende

Dal 23 ottobre 2026 entrano in vigore in Italia poteri e sanzioni dell'AI Act. Ma chi pensa che l'intelligenza artificiale sia stata finora una "terra di nessuno" si sbaglia: da anni il Garante per la protezione dei dati personali interviene sui sistemi di AI con il GDPR, con multe milionarie, blocchi e ammonimenti. Rileggere questi casi è il modo più concreto per capire cosa rischia un'azienda che usa l'AI senza regole, e cosa conviene fare subito.

I provvedimenti più importanti, in ordine di tempo

Comune di Trento: 50.000 euro per l'AI sulle telecamere (gennaio 2024)

Il Comune aveva partecipato a due progetti di ricerca europei, Marvel e Protector, che analizzavano con l'intelligenza artificiale le immagini delle telecamere cittadine, l'audio di microfoni in strada e commenti pubblicati sui social. Il Garante ha contestato la mancanza di una base giuridica (la ricerca scientifica non rientra tra i compiti del Comune), tecniche di anonimizzazione insufficienti, informative incomplete e l'assenza di una valutazione d'impatto prima di partire. Oltre alla multa, ha ordinato la cancellazione dei dati.

La lezione: un progetto "innovativo" o finanziato non è automaticamente lecito. Se l'AI osserva persone in modo sistematico, la valutazione d'impatto (DPIA) va fatta prima, non dopo.

Foodinho (Glovo): 5 milioni di euro per l'algoritmo dei rider (novembre 2024)

Il sistema che assegnava punteggi ai rider e decideva priorità di turni e consegne funzionava senza le garanzie previste dal GDPR per le decisioni automatizzate: nessun vero intervento umano e nessuna possibilità di contestare. In più la geolocalizzazione restava attiva anche fuori dall'orario di lavoro. Il Garante ha imposto di avvisare il rider quando il GPS è attivo e di spegnerlo quando l'app è in background.

La lezione: se un algoritmo decide qualcosa che pesa sulle persone (lavoratori, clienti, candidati), serve sempre una persona in grado di rivedere la decisione e un modo semplice per contestarla.

OpenAI (ChatGPT): 15 milioni di euro, poi annullati in tribunale (dicembre 2024 – marzo 2026)

A dicembre 2024 il Garante ha sanzionato OpenAI per aver addestrato ChatGPT senza una base giuridica adeguata, per la scarsa trasparenza verso gli utenti, per l'assenza di verifica dell'età, per le risposte inesatte sulle persone e per non aver notificato una violazione di dati. A marzo 2026 il Tribunale di Roma ha annullato la sanzione, dopo averla sospesa nel 2025.

La lezione: l'esito giudiziario riguarda quella multa, non le regole. Le aziende che usano chatbot e assistenti restano responsabili di cosa ci inseriscono: dati di clienti, dipendenti o pazienti caricati in uno strumento di AI sono un trattamento di cui risponde chi li carica.

DeepSeek: stop immediato in Italia (gennaio 2025)

Pochi giorni dopo il boom del chatbot cinese, il Garante ha disposto la limitazione urgente del trattamento dei dati degli utenti italiani. Le risposte delle società erano state giudicate insufficienti su quali dati venissero raccolti, da quali fonti, con quale base giuridica e con quale conservazione su server in Cina.

La lezione: prima di far usare al team uno strumento di AI, soprattutto se il fornitore è fuori dall'Unione europea, bisogna sapere dove finiscono i dati. "È gratis e funziona bene" non è una valutazione del rischio.

Replika: 5 milioni di euro al chatbot "amico virtuale" (maggio 2025)

Luka Inc., la società statunitense che gestisce Replika, è stata sanzionata per carenze nell'informativa e nei sistemi di verifica dell'età, con un'istruttoria separata sulle basi giuridiche usate per sviluppare il modello.

La lezione: se un servizio basato sull'AI può essere usato da minori, la verifica dell'età e le tutele devono funzionare davvero, non solo esistere sulla carta.

Deepfake: limitazioni, avvertimenti e ammonimenti (2025 – 2026)

Il Garante è intervenuto più volte sui contenuti generati a partire da volti e voci di persone reali: una limitazione provvisoria a un servizio di "spogliazione" di foto (ottobre 2025), un avvertimento generale a chiunque usi servizi che creano contenuti dalla voce o dall'immagine di terzi (dicembre 2025) e un ammonimento a un programma televisivo per il deepfake di un giornalista (luglio 2026).

La lezione: usare l'AI per creare immagini, video o voci di persone reali (anche colleghi o clienti, anche "per scherzo" o per un video promozionale) richiede il loro consenso e il rispetto della loro dignità.

Character.AI: 158.000 euro e obblighi sui minori (luglio 2026)

È il caso più recente: la piattaforma di chat con personaggi virtuali è stata sanzionata per un'informativa carente, per aver svolto in ritardo la valutazione d'impatto, per aver nominato in ritardo il proprio rappresentante nell'Unione europea e per le falle nella verifica dell'età. Il Garante ha imposto profili privati di default per i minorenni e un blocco efficace delle nuove iscrizioni di chi era già stato sospeso.

La lezione: le carte vanno in ordine prima del lancio. Informativa, DPIA e, per i fornitori extra-UE, il rappresentante nell'Unione non sono formalità da sistemare "quando arriva il controllo".

Cosa cambia dal 23 ottobre 2026

Con il decreto legislativo 179/2026 l'Italia ha completato l'adeguamento all'AI Act. Le autorità sono più d'una: l'Agenzia per la Cybersicurezza Nazionale (ACN) vigila sul mercato, l'AgID si occupa degli organismi che certificano i sistemi, Banca d'Italia, CONSOB e IVASS seguono i rispettivi settori e il Garante privacy resta competente sui dati personali e su alcuni ambiti ad alto rischio.

Le sanzioni massime previste dall'AI Act sono a scaglioni: fino a 35 milioni di euro o al 7% del fatturato mondiale per le pratiche vietate, fino a 15 milioni o al 3% per la violazione degli altri obblighi principali (compresa la trasparenza, come dire alle persone che stanno parlando con un chatbot), fino a 7,5 milioni o all'1% per informazioni false o fuorvianti alle autorità. Per PMI e startup si applica il valore più basso tra i due.

Attenzione: le sanzioni dell'AI Act si sommano a quelle del GDPR. Un uso scorretto dell'AI con dati personali può violare entrambe le normative.

Cosa fare in azienda, in sei mosse

Fai l'inventario degli strumenti di AI usati davvero dal team, compresi quelli gratuiti installati "di nascosto" (lo shadow AI).
Scrivi una policy aziendale: quali strumenti sono ammessi, quali dati non si caricano mai, chi controlla i risultati.
Forma il personale: l'AI Act chiede già dal 2025 che chi usa sistemi di AI abbia competenze adeguate.
Fai la valutazione d'impatto quando l'AI tratta dati personali in modo esteso o sistematico, prima di partire.
Aggiorna informative e contratti: le persone devono sapere se e come l'AI tratta i loro dati, e i fornitori vanno nominati responsabili del trattamento.
Lascia sempre l'ultima parola a una persona quando l'AI incide su lavoratori, clienti o candidati, e documenta come si può contestare una decisione.

Vuoi sapere a che punto è la tua azienda?

Con il check-up AI gratuito di Exaora verifichiamo quali strumenti di intelligenza artificiale usate, dove finiscono i dati e cosa sistemare prima, in linea con AI Act e GDPR. Scopri il servizio di intelligenza artificiale per le aziende oppure prenota la consulenza gratuita.