L'AEPD e l'AI Act ridefiniscono la governance dell'IA: non basta più il visto finale. Analisi sugli obblighi di supervisione umana e i rischi per le aziende.

Immaginate un ispettore dell'Agencia Española de Protección de Datos (AEPD) che entra in un ufficio e, analizzando il flusso di lavoro, non chiede solo quali dati siano conservati, ma come l'azienda controlli l'autonomia di un agente di intelligenza artificiale. Non è uno scenario ipotetico. L'autorità spagnola ha chiarito, in una nota del 15 luglio 2025, di possedere già le competenze per intervenire contro i sistemi di IA proibiti che trattano dati personali, senza attendere che ogni singolo ingranaggio del nuovo regolamento europeo sia a regime.

Il punto di rottura è netto: l'innovazione tecnologica non può giustificare la violazione dei diritti fondamentali. Quando un algoritmo decide, agisce o filtra informazioni senza un controllo umano reale, il problema smette di essere un bug tecnico e diventa una vulnerabilità giuridica. Per l'imprenditore, questo significa che l'adozione di strumenti di IA generativa o agéntica non è più una scelta puramente operativa, ma una decisione di compliance strategica.

Il perimetro normativo del Regolamento (UE) 2024/1689

Il Regolamento (UE) 2024/1689, noto come AI Act, non è un blocco monolitico che si attiverà in un unico istante, ma un quadro di limiti progressivi. La sua architettura si basa sulla classificazione del rischio. Per i sistemi catalogati come ad alto rischio, la supervisione umana non è un suggerimento, ma un obbligo esplicito volto a prevenire errori sistemici, bias discriminatori o danni ai diritti fondamentali.

L'analisi incrociata tra le direttive dell'AEPD e il testo del regolamento rivela un allineamento stretto con il principio di accountability (responsabilità proattiva) già presente nel RGPD. Non è più sufficiente dichiarare di rispettare la norma; l'azienda deve essere in grado di dimostrare come lo faccia. L'AEPD ha sottolineato che l'infrazione del RGPD tramite sistemi di IA permette l'intervento immediato dell'autorità, rendendo l'AI Act un acceleratore di sanzioni per chi ignora la protezione dei dati.

Analisi strategica: Per il business, questo implica che il rischio legale non è più legato solo alla perdita di dati (data breach), ma alla logica stessa con cui l'IA processa tali dati. Un'azienda che utilizza un'IA per il recruiting o la valutazione del credito senza una supervisione documentata si espone a sanzioni che uniscono le penalità del RGPD a quelle del nuovo AI Act.

Perché il visto finale non è più sufficiente

Per anni, la supervisione dei sistemi automatizzati è stata intesa come un controllo di fine processo: l'algoritmo produceva un output, un umano lo guardava e apponeva un visto di approvazione. Questo modello è oggi obsoleto, specialmente con l'avvento dell'IA agéntica.

Gli agenti di IA non si limitano a rispondere a prompt; pianificano task, si connettono a tool esterni e prendono decisioni a catena in modo autonomo. In questo contesto, una verifica a posteriori è inutile se l'agente ha già eseguito azioni irreversibili in tempo reale su database o interfacce clienti. La supervisione deve trasformarsi in un meccanismo vivo di governance.

Secondo le orientazioni dell'AEPD, l'operatore umano non può essere un semplice spettatore, ma deve possedere i mezzi reali per:

• Comprendere la logica operativa e il ragionamento seguito dall'agente.
• Intervenire in qualsiasi momento del flusso di lavoro per correggere una deviazione.
• Interrompere immediatamente l'azione del sistema prima che l'impatto diventi irreversibile.

Chi delega l'ultima parola all'algoritmo, pensando di ottimizzare i tempi, sta in realtà delegando la responsabilità legale a un software che non può rispondere davanti a un giudice. La supervisione effettiva è l'unico scudo che separa l'efficienza operativa dalla sanzione amministrativa.

Governance dell'IA: non delegare l'anima all'agente

L'IA generativa è entrata nelle aziende per redigere testi, analizzare documenti e supportare decisioni. Tuttavia, l'AEPD avverte che l'uso improvvisato di questi strumenti è un rischio organizzativo. La guida pubblicata dall'autorità, sebbene rivolta inizialmente alla Pubblica Amministrazione, stabilisce uno standard di riferimento per ogni impresa privata.

Il principio cardine è che l'IA deve agire come supporto, non come sostituto. Questo significa che l'interfaccia deve essere comprensibile e l'utente deve essere consapevole dei limiti, dei bias e dei rischi del modello utilizzato. Se un manager accetta un report generato da un'IA senza conoscerne le allucinazioni potenziali, la responsabilità della decisione errata ricade interamente sul manager, non sul fornitore del software.

'La responsabilidad final siempre recae en las personas'

Questa citazione, estratta dalle linee guida dell'AEPD, chiude ogni porta a scuse basate sull'opacità dell'algoritmo (la cosiddetta black box). L'imprenditore deve quindi implementare meccanismi di rilevamento errori e valutazioni periodiche delle performance del sistema.

Il dietro le quinte: i nuovi obblighi aziendali

Passare dalla teoria alla pratica richiede una ristrutturazione della governance interna. Non basta più un contratto di servizio con il fornitore di IA; serve un'infrastruttura di controllo interna. L'integrazione dell'IA deve seguire lo stesso rigore di qualsiasi altro sistema critico aziendale.

Le aziende devono ora implementare una serie di processi documentali rigorosi. La guida dell'AEPD suggerisce un approccio basato sulla tracciabilità totale.

Obbligo di Governance	Azione Concreta Richiesta	Obiettivo di Compliance
Identificazione Responsabili	Nomina di referenti funzionali e tecnici per ogni uso di IA	Accountability chiara
Documentazione Casi d'Uso	Approvazione formale di ogni scenario di applicazione dell'IA	Prevenzione usi non autorizzati
Inventario Sistemi	Mantenimento di un registro aggiornato di tutte le IA attive	Trasparenza e controllo asset
Gestione Ciclo di Vita	Protocolli dal design iniziale fino alla dismissione del sistema	Riduzione rischi obsoleti/bias

Analisi di business: Questo carico burocratico può sembrare un freno, ma in realtà è un asset. Un'azienda che possiede un inventario chiaro e responsabili definiti è più resiliente ai cambiamenti normativi e più attraente per investitori che valutano i rischi ESG e di compliance.

Supervisione umana tra AI Act e responsabilità civile

Il dibattito si sposta ora sul piano della responsabilità civile, specialmente nel contesto europeo e italiano. Se l'AI Act impone la supervisione umana per i sistemi ad alto rischio, il diritto civile dovrà stabilire chi paga quando la supervisione fallisce. Se l'operatore umano era presente ma non ha interrotto l'algoritmo, la colpa è dell'umano o del sistema che non ha segnalato l'errore in modo comprensibile?

In Italia, l'integrazione tra AI Act e normative locali richiederà un aggiornamento dei modelli di gestione del rischio. La sfida sarà definire cosa costituisca una supervisione effettiva e non meramente formale. Un dipendente che clicca OK su cento decisioni al minuto non sta supervisionando; sta validando un automatismo.

Per le imprese italiane, l'impatto sarà duplice. Da un lato, l'allineamento con l'AI Act e la direttiva NIS2 richiederà investimenti in formazione per rendere il personale capace di comprendere i bias dell'IA. Dall'altro, le aziende che sapranno implementare una governance trasparente potranno utilizzare la compliance come vantaggio competitivo nei mercati UE, garantendo ai clienti una gestione etica e sicura dei dati.

Gli scenari futuri dipenderanno da come le autorità nazionali interpreteranno il concetto di intervento umano. Un indicatore verificabile sarà la pubblicazione delle prime sanzioni basate non sulla violazione della privacy, ma sulla mancanza di supervisione effettiva di un sistema di IA, evento che ridefinirà il concetto di negligenza professionale nell'era digitale.

Domande frequenti

---

Fonti: Adaptacion-rgpd, Prodat, Academiadeia ·

glacom · IA per studi legali: i fascicoli non escono dallo studio →