AEPD: i reclami salgono a 30.931 e cresce il rischio sanzioni AI Act
- Smentita la cifra di 147 procedimenti AEPD specifici per IA; l'Agenzia non classifica i dati per tecnologia.
- Aumento reale della pressione: i reclami totali AEPD sono passati da 18.855 (2024) a 30.931 (2025).
- L'AI Act è già in vigore dal 2024; le sanzioni più severe colpiscono le pratiche proibite.
- Nuove linee guida AEPD sull'IA agéntica pongono l'accento sull'autonomia decisionale dei sistemi.
Un numero che non esiste
Nel panorama della consulenza legale e della stampa specializzata circola con insistenza un dato preciso: 147. Sarebbe questo il numero di procedimenti sanzionatori aperti dall'Agencia Española de Protección de Datos (AEPD) contro le aziende che utilizzano l'intelligenza artificiale. Una cifra che, per molti imprenditori, suona come un campanello d'allarme immediato.
La realtà è diversa. Quel numero non è stato pubblicato dall'Agenzia. Jonathan Izquierdo, in un'analisi approfondita per Digitalperito, chiarisce un punto fondamentale: la AEPD non classifica i propri procedimenti in base alla tecnologia impiegata. Di conseguenza, l'autorità non potrebbe nemmeno pubblicare un simile scomposizione.
Molte delle liste che circolano, citando multe precise a banche per il credit scoring o ad assicurazioni per discriminazione algoritmica, non trovano riscontro nel motore di ricerca delle risoluzioni ufficiali dell'Agenzia. Esiste dunque un divario tra la percezione del rischio, alimentata da note di studi legali, e l'attività documentabile dell'autorità.
30.931 reclami in un anno
Se il numero 147 è un mito, l'aumento della pressione regolatoria è un fatto matematico. I dati della Memoria 2025 della AEPD mostrano un trend di crescita che non può essere ignorato: i reclami presentati sono saliti a 30.931, contro i 18.855 del 2024.
Si tratta di un incremento del 64%, il volume più alto mai registrato nella serie storica pubblicata dall'Agenzia. Questo dato indica che, indipendentemente dalla classificazione tecnologica, l'attenzione dei cittadini e degli utenti verso il trattamento dei propri dati è ai massimi storici.
Analisi strategica: Per un imprenditore, questo significa che il rischio non deriva necessariamente da un'ispezione mirata all'IA, ma da un aumento sistemico della litigiosità e della vigilanza. L'IA, essendo spesso il motore invisibile di processi di automazione, diventa il bersaglio naturale in caso di reclami per opacità o errori nel trattamento dei dati.
L'equivoco sulle date dell'AI Act
Esiste una convinzione diffusa secondo cui l'AI Act inizierebbe a produrre effetti sanzionatori solo nell'agosto del 2026. È un errore di lettura dei tempi normativi che può costare caro.
Il regolamento è in vigore dal 2024 e la sua applicazione avviene per tranches, come stabilito dall'articolo 113. Non si tratta di un'unica data di attivazione, ma di un calendario scaglionato in base alla gravità e alla tipologia di sistema.
La distinzione cruciale riguarda le pratiche proibite. Mentre alcune norme hanno tempi di implementazione più lunghi, le violazioni dell'articolo 5 (pratiche proibite) sono soggette ai regimi sanzionatori più severi fin dalle prime fasi di applicazione. L'illusione di avere due anni di tempo per adeguarsi è un rischio operativo che le aziende non possono permettersi.
Aena, BBVA e l'università di Valencia
Se i procedimenti "di massa" sono difficili da tracciare, esistono casi specifici, con numeri di procedura verificabili, che delineano i confini del lecito. Le risoluzioni della AEPD su sistemi di IA sono attualmente poche, ma significative.
Il caso della Universidad Europea de Valencia (procedimento PS/00447/2025, expediente EXP202405320) è emblematico: l'istituto è stato sanzionato per l'implementazione di un sistema di esami che integrava IA e riconoscimento facciale. Qui il problema non è l'IA in sé, ma l'intrusività della modalità di controllo.
Accanto a questo, figurano i casi di Aena e BBVA. Questi tre esempi rappresentano l'attuale "giurisprudenza" dell'Agenzia spagnola. Il filo conduttore non è l'uso della tecnologia, ma il difetto di trasparenza e la mancanza di una base giuridica solida per il trattamento dei dati biometrici o comportamentali.
Le sanzioni per le pratiche proibite
Il regime sanzionatorio dell'AI Act è progettato per essere deterrente, superando in severità molti precedenti normativi. La struttura delle multe è legata alla gravità dell'infrazione.
| Tipologia di Violazione | Sanzione Massima Prevista | Riferimento Normativo |
|---|---|---|
| Pratiche Proibite (Art. 5) | 35 milioni di € o 7% del fatturato mondiale annuo (il maggiore tra i due) | Art. 99.3 AI Act |
| Altre violazioni del Regolamento | Sanzioni graduate in base alla tipologia di sistema e all'entità dell'impresa | Art. 113 AI Act |
L'autonomia dell'IA agéntica
Il 18 febbraio 2026, la AEPD ha pubblicato nuove orientazioni sull'IA agéntica. Questo passaggio segna l'evoluzione del dibattito: non si parla più solo di modelli che rispondono a domande (chatbot), ma di sistemi capaci di interagire autonomamente per raggiungere obiettivi prefissati.
L'IA agéntica può operare autonomamente, arricchire le proprie conoscenze attingendo dall'ambiente digitale ed eseguire task complessi senza l'intervento umano costante. Questa capacità introduce sfide senza precedenti per la protezione dei dati.
Lettura critica: Il rischio per l'impresa è lo slittamento della responsabilità. Se un agente autonomo decide di raccogliere dati non previsti o di interagire con terze parti in modo non conforme per raggiungere l'obiettivo assegnato, chi risponde? La AEPD chiarisce che la conoscenza della tecnologia è fondamentale per prendere decisioni informate, ma suggerisce di usare l'IA agéntica per implementare una protezione dei dati "by design" più efficace.
Chi controlla l'agente autonomo?
Il protagonista di questa nuova fase non è più il programmatore, ma il Responsabile del Trattamento (Data Controller). Nelle linee guida della AEPD, emerge la figura dell'imprenditore o del manager che decide di implementare l'IA agéntica come strumento operativo.
L'Agenzia sottolinea che l'autonomia del sistema non esonera il responsabile dalle obbligazioni normative. Al contrario, l'uso di agenti autonomi richiede un monitoraggio più stretto e una definizione precisa dei perimetri d'azione del sistema. Il "controllo" non è più l'esecuzione del task, ma la definizione dei vincoli entro cui l'IA può muoversi.
'La capacidad que tienen los sistemas de IA agéntica para operar con autonomía, enriquecerse con la información del entorno digital y ejecutar tareas complejas introduce nuevos retos en muchos aspectos, entre ellos relacionados con la protección de datos personales'
Il rischio sanzionatorio per le imprese italiane tra AI Act e GDPR
Sebbene i casi citati riguardino la Spagna, l'architettura normativa è europea. L'AI Act si sovrappone al GDPR, creando un doppio binario di rischio per le imprese italiane. Un'azienda che implementa un sistema di IA agéntica per il customer service o l'analisi dei dati non deve preoccuparsi solo della conformità al regolamento sull'IA, ma della base giuridica del trattamento dei dati personali.
Il rischio reale per l'imprenditore italiano oggi non è una multa improvvisa per l'uso di un LLM, ma la combinazione di: 1) mancanza di trasparenza verso l'utente; 2) utilizzo di dati biometrici senza consenso (come nel caso dell'università di Valencia); 3) l'adozione di sistemi che rientrano nelle pratiche proibite dell'Art. 5.
Analisi di scenario: L'integrazione tra AI Act e NIS2 sposterà l'attenzione sulla resilienza dei sistemi. Se un agente autonomo causa una fuga di dati o un malfunzionamento critico, l'impresa sarà valutata non solo sulla sanzione amministrativa, ma sulla capacità di governance tecnologica.
Indicatore verificabile: La pubblicazione delle prime sanzioni coordinate tra Garante Privacy e autorità nazionali per l'AI Act entro il 2026 sarà il segnale definitivo della fine della fase di tolleranza.
Domande frequenti
L'AI Act è già applicabile?
Sì, è in vigore dal 2024, ma l'applicazione è scaglionata per tranches (art. 113). Le sanzioni più severe riguardano le pratiche proibite.
Qual è la differenza tra IA tradizionale e IA agéntica secondo la AEPD?
L'IA tradizionale risponde a domande; l'IA agéntica interagisce autonomamente con l'ambiente digitale per raggiungere obiettivi complessi.
Quali sono le sanzioni massime previste per le violazioni più gravi?
Fino a 35 milioni di euro o il 7% del fatturato mondiale annuo, a seconda di quale sia la cifra maggiore.
Fonti: Digitalperito (2), Aepd ·
glacom · IA per studi legali: i fascicoli non escono dallo studio →Scrivila qui: Susanna, l assistente AI di glacom, ti risponde via email con un approfondimento gratuito.
Nessuna consulenza personalizzata (finanziaria, legale o medica): solo informazione e fonti. Email usata solo per rispondere.
oppure scrivile su: WhatsApp · Telegram · SimpleX · Delta Chat · Email
