Nel 2025 il Garante Privacy concentra i controlli su tre aree: uso dell’intelligenza artificiale nel trattamento dei dati, creazione e diffusione di deepfake e gestione dei data breach in ambito lavorativo. Gli studi legali devono aggiornare le clausole privacy nei contratti di lavoro e nei mandati professionali che coinvolgono strumenti di IA. Chi assiste aziende nell’adozione di software basati su IA o nella gestione del personale deve verificare subito la conformità al GDPR e al AI Act.
Punti chiave
- Punto 1 — Il Garante Privacy ha indicato IA, deepfake e data breach come priorità ispettive per il 2025.
- Punto 2 — I trattamenti con IA in ambito lavorativo richiedono una DPIA aggiornata ai sensi dell’art. 35 GDPR.
- Punto 3 — La diffusione di deepfake può integrare violazioni del GDPR e responsabilità penale concorrente.
Se assisti aziende che usano strumenti di intelligenza artificiale nella gestione delle risorse umane o nel marketing, hai un problema pratico immediato: il Garante ha segnalato queste aree come priorità di vigilanza per il 2025. Questo significa ispezioni più probabili, sanzioni più rapide e clienti che ti chiederanno aggiornamenti contrattuali urgenti.
Il Garante Privacy ha pubblicato le proprie linee di intervento per il 2025, con focus esplicito su intelligenza artificiale, deepfake e violazioni di dati in ambito lavorativo. La notizia è riportata da Diritto.it e si inserisce nel contesto del piano ispettivo annuale dell’Autorità.
Il contesto normativo
Il quadro di riferimento è il Regolamento UE 2016/679 (GDPR), in particolare l’art. 35 che impone la Data Protection Impact Assessment per trattamenti ad alto rischio — categoria in cui rientrano per definizione i sistemi di IA che profilano lavoratori o generano contenuti sintetici. A livello europeo, il Regolamento UE 2024/1689 (AI Act), entrato in vigore il 1° agosto 2024, classifica certi usi dell’IA in ambito lavorativo come sistemi ad alto rischio (Allegato III, punto 4), con obblighi di trasparenza e registrazione obbligatoria. Sul fronte penale, la diffusione non consensuale di deepfake a contenuto sessuale è punita dall’art. 612-ter c.p., introdotto dal d.l. 11/2009 e modificato dalla l. 69/2019, con pena fino a 6 anni in caso di diffusione ampia.
Cosa cambia per lo studio
- Aggiorna le DPIA dei clienti che usano strumenti di IA nella selezione del personale, nel monitoraggio delle prestazioni o nell’automazione delle comunicazioni con dipendenti: l’art. 35 GDPR lo richiede ogni volta che cambiano le finalità o gli strumenti di trattamento.
- Inserisci nei contratti di lavoro e nei regolamenti aziendali una clausola specifica sull’uso di strumenti di IA generativa da parte dei dipendenti, con indicazione dei dati che possono essere inseriti nei prompt e di quelli vietati.
- Verifica che i clienti abbiano un registro dei trattamenti aggiornato che includa i nuovi sistemi di IA adottati: il Garante lo richiede durante le ispezioni come primo documento.
- Per i clienti del settore media, comunicazione o intrattenimento, valuta l’esposizione al rischio deepfake: una policy interna sull’uso di contenuti sintetici riduce sia il rischio GDPR sia quello penale ex art. 612-ter c.p.
- Controlla i tempi di notifica dei data breach: l’art. 33 GDPR impone la comunicazione al Garante entro 72 ore dalla scoperta. In ambito lavorativo, i breach più frequenti riguardano accessi non autorizzati a sistemi HR e fughe di dati biometrici.
Attenzione a
Il rischio principale è trattare l’AI Act come una norma ancora lontana. I sistemi ad alto rischio in ambito lavorativo devono essere conformi entro agosto 2026, ma gli obblighi di trasparenza verso i lavoratori scattano prima. Chi consiglia oggi l’adozione di un software HR basato su IA senza segnalare questi vincoli espone il cliente a sanzioni e sé stesso a una responsabilità professionale difficile da gestire.
Un secondo errore frequente è limitare la gestione del data breach alla sola notifica al Garante, dimenticando la comunicazione agli interessati prevista dall’art. 34 GDPR quando il rischio per i diritti degli individui è elevato. In ambito lavorativo, un breach che espone dati sulla salute o sulle opinioni politiche dei dipendenti richiede quasi sempre anche questa seconda comunicazione.
Domande frequenti
Quando è obbligatoria la DPIA per un sistema di IA usato in azienda?
La DPIA è obbligatoria ai sensi dell’art. 35 GDPR ogni volta che il trattamento comporta un rischio elevato per i diritti degli interessati. I sistemi di IA che profilano lavoratori, prendono decisioni automatizzate su assunzioni o valutazioni delle prestazioni, o trattano dati biometrici rientrano sempre in questa categoria. Il Garante può richiederla in sede ispettiva come primo atto.
Un deepfake del volto di un dipendente viola il GDPR?
Sì. Il volto è un dato personale e, se il deepfake è generato a partire da immagini estratte da sistemi aziendali senza consenso, il trattamento è illecito ex art. 6 GDPR. Se il contenuto è a carattere sessuale, si aggiunge la responsabilità penale ex art. 612-ter c.p. con pena da 1 a 6 anni. Il consenso al trattamento delle immagini per scopi lavorativi non copre mai la generazione di contenuti sintetici.
Entro quanto tempo va notificato un data breach al Garante Privacy?
L’art. 33 GDPR fissa il termine in 72 ore dal momento in cui il titolare viene a conoscenza della violazione. Il termine decorre dalla scoperta, non dall’evento. Se l’azienda impiega più di 72 ore per accorgersi del breach a causa di procedure interne inadeguate, il Garante può contestare anche la mancanza di misure tecniche e organizzative appropriate.
Fonte di riferimento: Diritto.it