Usare dati sintetici per addestrare o testare sistemi AI non esonera il titolare del trattamento dagli obblighi GDPR né dalla conformità all’AI Act. Il rischio di re-identificazione persiste e la responsabilità si sposta sulla qualità della governance interna. Uno studio legale che consiglia clienti su progetti AI deve verificare che l’adozione di dati sintetici sia accompagnata da una valutazione d’impatto (DPIA) e da presidi di controllo documentati.
Punti chiave
- Punto 1 — I dati sintetici non azzerano il rischio di re-identificazione e restano soggetti al GDPR.
- Punto 2 — L’AI Act impone obblighi di qualità del dato anche quando i dati di training sono sintetici.
- Punto 3 — La governance interna del cliente diventa il principale fronte di responsabilità da presidiare.
Se un cliente vi chiede se può usare dati sintetici per addestrare il suo sistema AI senza preoccuparsi del GDPR, la risposta breve è: no. I dati sintetici spostano il problema, non lo eliminano. Il titolare del trattamento resta esposto a rischi di re-identificazione, bias strutturali nei modelli e violazioni degli obblighi di qualità del dato previsti dall’AI Act. Come consulente, dovete essere in grado di mappare questi rischi prima che diventino contestazioni del Garante o eccezioni in giudizio.
Lo segnala un’analisi pubblicata da Agenda Digitale, che ricostruisce come l’uso di dati sintetici nello sviluppo di sistemi AI riduca solo alcune categorie di rischio privacy, lasciandone intatte altre — in particolare quelle legate alla governance, alla qualità del dato e alla conformità regolatoria.
Il contesto normativo
Il Regolamento UE 2016/679 (GDPR) non distingue tra dati reali e sintetici ai fini dell’applicabilità: l’art. 4 n. 1 definisce «dato personale» qualsiasi informazione che consenta, anche indirettamente, l’identificazione di una persona fisica. Se un dato sintetico è statisticamente correlabile a individui reali — il che accade frequentemente nei dataset generati da modelli addestrati su dati originali — ricade nell’ambito del Regolamento. L’art. 35 GDPR impone inoltre la DPIA ogni volta che il trattamento presenta rischi elevati, e l’uso di dati sintetici in sistemi AI ad alto rischio non fa eccezione.
Sul versante AI Act (Regolamento UE 2024/1689, applicabile a partire da agosto 2026 per i sistemi ad alto rischio), l’art. 10 stabilisce obblighi precisi sulla qualità, rappresentatività e assenza di bias nei dati di training, validazione e test — indipendentemente dalla loro natura sintetica o reale. Il provider del sistema AI rimane responsabile della conformità anche quando i dati originali sono stati sostituiti con versioni sintetiche.
Cosa cambia per lo studio
- Aggiornate i contratti di sviluppo AI: inserite clausole esplicite sulla natura dei dati di training e sull’obbligo del fornitore di documentare i processi di sintesi e de-identificazione.
- Richiedete sempre una DPIA: se il cliente adotta dati sintetici in un sistema ad alto rischio ai sensi dell’AI Act, la valutazione d’impatto ex art. 35 GDPR non è facoltativa. Va svolta prima del deployment.
- Verificate il rischio di re-identificazione: chiedete al cliente o al suo fornitore tecnico di documentare i test di re-identificazione effettuati sul dataset sintetico. Questo diventa prova in caso di ispezione del Garante.
- Presidiate il bias nel dato: un dataset sintetico costruito su dati storici distorti replica e amplifica i bias originali. In ambito giuslavoristico o creditizio, questo può tradursi in discriminazioni algoritmiche contestabili ex art. 22 GDPR e art. 9 AI Act.
- Aggiornate i registri dei trattamenti: l’art. 30 GDPR richiede che il registro rifletta la natura effettiva dei dati trattati. Un trattamento basato su dati sintetici va descritto con precisione, inclusa la metodologia di generazione.
Attenzione a
Non confondere anonimizzazione e sintesi. I dati sintetici non sono dati anonimizzati nel senso tecnico-giuridico del Considerando 26 GDPR. Il Garante europeo per la protezione dei dati (EDPB) non ha ancora adottato linee guida definitive sui dati sintetici, ma le posizioni espresse in materia di anonimizzazione (Opinion 5/2014) indicano una soglia molto alta per escludere il rischio di re-identificazione. Trattare i dati sintetici come automaticamente anonimi espone il cliente a sanzioni fino al 4% del fatturato globale ex art. 83 par. 5 GDPR.
Non sottovalutate la catena di responsabilità. Se lo studio assiste un’azienda che fornisce dati sintetici a un terzo sviluppatore di AI, occorre chiarire contrattualmente chi è titolare e chi è responsabile del trattamento ai sensi dell’art. 28 GDPR. Un accordo di data processing mal redatto può far ricadere sull’azienda cliente le sanzioni per violazioni commesse dal fornitore tecnico.
Domande frequenti
I dati sintetici sono considerati dati personali ai sensi del GDPR?
Dipende dal grado di correlabilità con persone fisiche identificabili. Se il dato sintetico è generato da un modello addestrato su dati reali e consente — anche indirettamente — la re-identificazione, ricade nella definizione di dato personale ex art. 4 n. 1 GDPR. Non esiste un’esenzione automatica per la natura sintetica del dato.
Un sistema AI che usa solo dati sintetici deve comunque rispettare l’AI Act?
Sì. L’art. 10 del Regolamento UE 2024/1689 impone obblighi di qualità, rappresentatività e assenza di bias sui dati di training a prescindere dalla loro natura. Il provider di un sistema ad alto rischio resta responsabile della conformità anche se ha utilizzato esclusivamente dati sintetici nel processo di sviluppo.
Serve la DPIA se si usano dati sintetici invece di dati reali in un progetto AI?
In linea generale sì, se il sistema rientra nelle categorie ad alto rischio previste dall’AI Act o presenta rischi elevati ai sensi dell’art. 35 GDPR. L’uso di dati sintetici non riduce automaticamente il livello di rischio del trattamento complessivo, che dipende anche dalle finalità, dal contesto e dalle categorie di soggetti coinvolti.
Fonte di riferimento: AgendaDigitale