In sintesi:
- Se la tua azienda usa AI su dati o utenti UE, operi sotto due normative sovrapposte: il GDPR (dal 2018) e l'EU AI Act, che diventa pienamente operativo tra il 2025 e il 2027.
- La maggior parte dei sistemi AI aziendali ricade nelle classi di rischio "limitato" o "alto" — con obblighi concreti di trasparenza, supervisione umana e documentazione.
- La conformità non è un documento: sono cinque controlli tecnici costruiti dentro il sistema — filtraggio PII, supervisione umana, audit trail, minimizzazione dei dati e archiviazione in UE.
Ho costruito sistemi AI conformi per aziende italiane come Holding Morelli (monitoraggio compliance multi-agente), Pellemoda (previsioni di magazzino) e H-Farm (chatbot ammissioni). Ecco come si presenta la conformità quando è fatta nel codice, non solo nei contratti.
Le due normative, senza legalese
Il GDPR governa come tratti i dati personali. Per l'AI i punti critici sono: base giuridica per ogni dato usato, minimizzazione (non dare all'AI dati che non le servono), diritto alla cancellazione (anche nei vector store e nei log), diritto a una revisione umana delle decisioni automatiche e privacy by design.
L'EU AI Act classifica i sistemi AI per livello di rischio:
| Livello | Esempi | Obblighi |
|---|---|---|
| Inaccettabile | Social scoring, AI manipolativa | Vietati (da feb 2025) |
| Alto rischio | Selezione del personale, credito, accesso all'istruzione | Valutazione dei rischi, supervisione umana, documentazione (ago 2026) |
| Rischio limitato | Chatbot, AI generativa | Trasparenza: dichiarare che l'utente parla con un'AI |
| Rischio minimo | Filtri antispam | Nessun obbligo |
La domanda da farsi è semplice: le decisioni del tuo sistema AI toccano l'accesso delle persone a servizi, lavoro o credito? Se sì, sei in alto rischio e gli obblighi sono seri. Se è "solo" un chatbot, hai comunque obblighi di trasparenza.
Controllo 1: filtraggio dei dati personali (PII)
La violazione GDPR più comune nei sistemi AI: dati personali che finiscono nei log. Un utente scrive email, IBAN o codice fiscale nella chat; il sistema di tracciamento li salva in chiaro, e ora hai PII fuori controllo.
La soluzione è un middleware che intercetta input e output del modello: le email vengono oscurate, le carte mascherate, le chiavi API bloccate del tutto. Per Holding Morelli ho aggiunto il riconoscimento del codice fiscale italiano come tipo PII personalizzato — un dettaglio che nessuno strumento estero copre di default.
Importante: il filtro va applicato anche all'output. Il modello può ripetere o "allucinare" dati personali nella risposta anche se l'input era pulito.
Controllo 2: supervisione umana (human-in-the-loop)
L'articolo 22 del GDPR dà agli utenti il diritto a una revisione umana delle decisioni automatizzate; l'AI Act la impone per i sistemi ad alto rischio. In pratica: le azioni consequenziali dell'agente passano da una persona prima di essere eseguite — un punteggio su un candidato, un ordine a un fornitore, un'email a un cliente importante. Con LangGraph questo è un pattern nativo (interrupt), non una toppa.
Controllo 3: audit trail su ogni decisione
Quando un cliente, un auditor o il Garante chiede "perché l'AI ha deciso così?", devi poter rispondere con i fatti: input, contesto recuperato, versione del modello e del prompt, output, chi l'ha approvato. Ogni agente che consegno traccia tutto questo in LangSmith, con i dati personali già filtrati a monte.
Controllo 4: minimizzazione dei dati
Non serve l'intero profilo del cliente nel prompt quando basta il nome. Ogni campo che l'AI riceve va giustificato — è anche il modo più rapido per ridurre costi (meno token) e superficie di rischio insieme.
Controllo 5: dati in regione UE
Modelli, vector store, log e database in regione europea. Tutti i principali provider lo permettono ormai (anche i modelli via API con data residency UE) — va solo configurato dal primo giorno, perché migrare dopo è doloroso.
Checklist per una PMI
- Mappa dove l'AI tocca dati personali (input, log, vector store)
- Classifica il sistema secondo l'AI Act (limitato vs alto rischio)
- Attiva filtraggio PII su input e output
- Metti un approvatore umano sulle azioni consequenziali
- Traccia ogni decisione con audit trail
- Verifica la regione dei dati di ogni componente
- Documenta tutto: è ciò che l'auditor chiederà
Domande frequenti
La mia PMI è troppo piccola perché l'AI Act si applichi? No — gli obblighi dipendono dal rischio del sistema, non dalla dimensione dell'azienda. Un chatbot ha obblighi di trasparenza anche in una ditta di 5 persone.
Posso usare ChatGPT/modelli USA e restare conforme? Sì, con le configurazioni giuste: data residency UE dove disponibile, filtraggio PII prima della chiamata, e clausole contrattuali adeguate. È esattamente il tipo di verifica che faccio in un audit di production-readiness.
Quanto costa rendere conforme un sistema AI esistente? Spesso meno di quanto si tema: i cinque controlli sono middleware e configurazione, non una riscrittura. Un audit da €1.500 ti dice esattamente dove sono le lacune e cosa serve per chiuderle.
Stai costruendo (o hai già) un sistema AI che tocca utenti europei? Parti dall'audit di production-readiness — in una settimana hai l'analisi delle lacune GDPR/EU AI Act e una roadmap che il tuo legale può approvare. Oppure prenota una call gratuita di 30 minuti.