La maggior parte degli utenti non conosce i diritti che il GDPR e la normativa AI garantiscono sul trattamento dei dati nei sistemi automatizzati. Questo gap tra norma scritta e pratica reale crea un’opportunità concreta per gli studi legali: assistere clienti esposti a decisioni automatizzate senza che ne siano consapevoli. Chi presidia oggi questa area acquisisce un vantaggio competitivo misurabile in termini di mandati e consulenze stragiudiziali.
Punti chiave
- Punto 1 — Il GDPR garantisce il diritto di non essere sottoposti a decisioni automatizzate vincolanti senza intervento umano.
- Punto 2 — L’AI Act (Reg. UE 2024/1689) introduce obblighi di trasparenza per i sistemi ad alto rischio già applicabili.
- Punto 3 — Lo studio legale può offrire audit preventivi ai clienti esposti a profilazione o scoring automatizzato.
Chi assiste clienti aziendali nel 2026 non può più trattare la privacy come adempimento formale: l’intersezione tra GDPR e AI Act genera diritti azionabili che i destinatari quasi mai conoscono e quindi non esercitano. Questo vuoto è terreno fertile per consulenze stragiudiziali, reclami al Garante e, nei casi più gravi, azioni risarcitorie. Lo studio che presidia questa area oggi intercetta una domanda che crescerà in modo esponenziale.
Il tema è emerso con forza al Privacy Symposium 2026, dove esperti e autorità hanno discusso il divario tra diritti digitali formalmente garantiti e loro effettivo esercizio da parte di utenti e imprese. L’analisi completa è disponibile su Diritto.it.
Il contesto normativo
L’art. 22 del Reg. UE 2016/679 (GDPR) vieta le decisioni basate esclusivamente su trattamento automatizzato che producano effetti giuridici significativi sull’interessato, salvo eccezioni tassative. Il diritto di opposizione ex art. 21 GDPR si applica anche ai trattamenti per finalità di profilazione. Sul fronte AI, il Reg. UE 2024/1689 (AI Act) — applicabile per i sistemi ad alto rischio a partire dall’agosto 2026 — impone agli operatori obblighi di trasparenza, registrazione e supervisione umana documentata. Il Garante Privacy italiano ha già sanzionato nel 2024 condotte di profilazione automatizzata non comunicata agli interessati, confermando che l’enforcement è operativo e non teorico.
Cosa cambia per lo studio
- Mappatura dei sistemi AI del cliente: prima di qualsiasi consulenza privacy, verifica se il cliente usa strumenti di scoring creditizio, selezione del personale o profilazione commerciale basati su AI. Questi rientrano quasi sempre nelle categorie ad alto rischio dell’AI Act.
- Informativa privacy da aggiornare: l’art. 13 GDPR richiede che l’interessato sia informato dell’esistenza di processi decisionali automatizzati e della logica applicata. Molte informative in circolazione ignorano ancora questo obbligo specifico.
- Diritto di accesso ampliato: l’art. 15 GDPR consente all’interessato di ottenere informazioni significative sulla logica del trattamento automatizzato. Puoi usarlo come strumento offensivo nelle controversie contro piattaforme digitali o datori di lavoro.
- Reclami al Garante come leva stragiudiziale: il reclamo ex art. 77 GDPR non richiede patrocinio obbligatorio ma genera spesso risoluzioni rapide e può precedere un’azione risarcitoria ex art. 82 GDPR con onere probatorio invertito sul titolare.
- AI Act e responsabilità del deployer: dal 2026, il soggetto che mette in uso un sistema AI ad alto rischio risponde in solido con il fornitore per i danni da mancata conformità. I contratti B2B vanno rivisti inserendo clausole di indennizzo e audit rights.
Attenzione a
Il rischio principale è consigliare al cliente di limitarsi a un’informativa generica sull’AI senza verificare se il sistema specifico rientra nelle categorie ad alto rischio dell’Allegato III dell’AI Act: l’elenco comprende recruiting, scoring creditizio, valutazione scolastica e accesso a servizi pubblici essenziali. Un’analisi superficiale espone il cliente a sanzioni fino al 3% del fatturato mondiale annuo.
Secondo rischio: confondere il diritto di opposizione ex art. 21 GDPR con il diritto di non essere sottoposto a decisione automatizzata ex art. 22. Hanno presupposti diversi, si esercitano con modalità diverse e generano obblighi distinti per il titolare. Usarli in modo intercambiabile in un atto formale indebolisce la posizione del cliente.
Domande frequenti
Come si esercita il diritto di opposizione alla profilazione automatizzata?
L’interessato invia una richiesta scritta al titolare del trattamento invocando l’art. 21 GDPR, specificando le ragioni connesse alla propria situazione particolare. Il titolare ha 30 giorni per rispondere e deve cessare il trattamento salvo dimostri motivi legittimi cogenti. In caso di silenzio o rifiuto immotivato, si può procedere con reclamo al Garante o ricorso all’autorità giudiziaria ordinaria.
Quali sistemi AI rientrano nell’alto rischio secondo l’AI Act 2024?
L’Allegato III del Reg. UE 2024/1689 elenca espressamente: sistemi di selezione e valutazione del personale, scoring creditizio, valutazione degli studenti, accesso a prestazioni pubbliche essenziali, gestione delle infrastrutture critiche e strumenti usati in ambito giudiziario. Per ogni sistema rientrante in queste categorie scattano obblighi di registrazione, documentazione tecnica e supervisione umana.
Posso chiedere il risarcimento del danno se un algoritmo ha preso una decisione sbagliata sul mio cliente?
Sì. L’art. 82 GDPR prevede il risarcimento del danno materiale e immateriale causato da trattamento illecito, con onere della prova invertito: è il titolare a dover dimostrare di non essere responsabile. Se la decisione automatizzata ha violato l’art. 22 GDPR, l’illiceità del trattamento è già integrata e rafforza la posizione risarcitoria del cliente in sede civile.
Fonte di riferimento: Diritto.it