Sentenza TJUE del 27 febbraio: stop al segreto commerciale sullo scoring
- Il TJUE (sentenza Dun & Bradstreet) stabilisce che il segreto commerciale non giustifica l'opacità dei sistemi di credit scoring.
- I consumatori hanno diritto a una spiegazione comprensibile su quali dati hanno influenzato la decisione di credito, non solo al punteggio finale.
- Entra in vigore la Direttiva (UE) 2023/2225 che pone l'evaluación de solvencia automatizada al centro della regolamentazione dei crediti al consumo.
- Si configura un triangolo normativo tra RGPD, AI Act e Direttiva 2023/2225 per governare l'automazione finanziaria.
Una consumatrice austriaca richiede un contratto di telefonia mobile dal costo contenuto, dieci euro al mese. La risposta è un rifiuto immediato. Non c'è stato un colloquio con un consulente, né l'analisi manuale di una busta paga. La decisione è stata presa in pochi secondi da un algoritmo di una società di informazioni creditizie che ha stabilito che la richiedente non fosse sufficientemente solvente.
Quando la donna ha chiesto le motivazioni di tale diniego, si è scontrata con un muro di silenzio. L'azienda ha giustificato l'assenza di spiegazioni invocando il segreto commerciale. Questo caso, apparentemente marginale, è diventato il fulcro di una disputa legale arrivata davanti al Tribunale di Giustizia dell'Unione Europea (TJUE), trasformando un semplice abbonamento telefonico in un precedente fondamentale per l'intero settore fintech e bancario.
Il diritto a una spiegazione comprensibile e la fine della scatola nera
La sentenza Dun & Bradstreet Austria (causa C-203/22) del 27 febbraio 2025 ha sancito che le persone hanno un 'genuino derecho a una explicación' quando un sistema automatizzato decide sulla loro solvibilità. Il Tribunale ha chiarito che non è sufficiente comunicare il punteggio ottenuto (lo scoring) o fornire descrizioni generiche del processo di analisi. Il responsabile del trattamento deve spiegare, in termini che l'interessato possa comprendere, quali dati personali siano stati utilizzati e in che modo abbiano influenzato la decisione finale.
Analisi strategica: Per le imprese che utilizzano modelli di machine learning, questo significa che l'efficacia predittiva del modello non può più prescindere dalla sua interpretabilità. Il passaggio è netto: dal concetto di 'black box' (dove l'output è accettato perché statisticamente accurato) al concetto di 'explainable AI'. Le aziende devono ora essere in grado di tradurre pesi matematici e correlazioni algoritmiche in motivazioni giuridicamente e logicamente valide per l'utente finale.
Il TJUE ha suggerito una modalità pratica per soddisfare questo obbligo: informare l'interessato su come una variazione dei suoi dati avrebbe potuto portare a un risultato diverso. Questo approccio del 'cosa accadrebbe se' permette di rivelare la logica interna del sistema senza necessariamente consegnare il codice sorgente dell'algoritmo ai concorrenti.
La sentenza Dun & Bradstreet e il crollo del segreto commerciale
Per anni, le società di credit scoring hanno utilizzato il segreto commerciale come scudo per proteggere i propri modelli proprietari. La logica era semplice: rivelare i criteri di valutazione significherebbe permettere agli utenti di 'manipolare' i propri dati per ottenere punteggi più alti, erodendo il valore commerciale del software.
La lettura critica della sentenza del TJUE indica che il segreto commerciale non è più un muro infrangibile. Il diritto alla trasparenza e alla protezione dei dati personali, sancito dall'articolo 15.1.h del RGPD, prevale sull'interesse economico dell'azienda a mantenere opachi i propri processi. Se un algoritmo condiziona l'accesso a servizi essenziali o a finanziamenti, la trasparenza cessa di essere un optional tecnologico per diventare un'esigenza di giustizia.
Questo spostamento di paradigma espone le fintech a un rischio operativo: la necessità di documentare ogni iterazione del modello di scoring. Errori nei database di morosità, dati obsoleti o l'uso di variabili indirette che generano bias possono ora essere contestati con maggiore facilità, poiché l'utente ha gli strumenti per comprendere il 'perché' del rifiuto e, di conseguenza, per impugnarlo.
RGPD, AI Act e Direttiva 2023/2225: il triangolo normativo della solvibilità
L'attuale scenario regolatorio europeo non si basa su un unico testo, ma su un'intersezione di tre pilastri normativi che agiscono in modo coordinato. L'analisi di Jose María Baños Raventós evidenzia come queste tre norme definiscano l'operatività di banche, piattaforme di 'buy now pay later' e società di micro-credito.
Il primo pilastro è il RGPD, che garantisce tutele contro le decisioni basate esclusivamente su trattamenti automatizzati che producono effetti significativi. Esso conferisce all'utente il diritto di esprimere il proprio punto di vista e di richiedere l'intervento umano per rivedere la decisione.
Il secondo pilastro è l'AI Act, che inasprisce i requisiti di trasparenza e supervisione per i sistemi di intelligenza artificiale utilizzati per valutare la solvibilità o l'accesso a servizi essenziali. Tali sistemi sono considerati ad alto rischio, richiedendo una gestione rigorosa dei rischi e un controllo umano effettivo.
Il terzo pilastro è la Direttiva (UE) 2023/2225 sui crediti al consumo, le cui disposizioni devono essere applicate a partire dal 20 novembre. Questa direttiva pone la valutazione della solvibilità automatizzata come uno dei suoi assi centrali, integrando le logiche di protezione dei dati con quelle della tutela del consumatore finanziario.
Per visualizzare l'interazione tra queste norme, si consideri la seguente sintesi:
| Normativa | Focus Principale | Obbligo per l'Impresa |
|---|---|---|
| RGPD | Protezione Dati Personali | Diritto alla spiegazione della logica applicata e intervento umano. |
| AI Act | Sicurezza e Trasparenza IA | Supervisione umana e gestione dei rischi per sistemi ad alto rischio. |
| Dir. 2023/2225 | Tutela Consumatore Credito | Standard rigorosi per l'evaluación de solvencia automatizada. |
La sfida della trasparenza algoritmica per le fintech e le banche in UE
L'implementazione di questi requisiti rappresenta una sfida tecnica e legale senza precedenti per gli istituti finanziari. La rapidità con cui si ottiene un prestito oggi — spesso in pochi secondi durante il checkout di un e-commerce — è garantita da modelli che combinano dati del richiedente, consultazioni a file di solvibilità e tecniche di machine learning. Il riconoscimento del diritto a una spiegazione da parte del TJUE obbliga queste aziende a ripensare l'architettura stessa dei loro sistemi.
Il rischio per le imprese è duplice. Da un lato, l'incapacità di fornire spiegazioni comprensibili espone a sanzioni amministrative e a un aumento del contenzioso legale. Dall'altro, l'apertura eccessiva della logica algoritmica potrebbe esporre l'azienda a rischi di gaming, dove i richiedenti ottimizzano artificialmente il proprio profilo per ingannare il sistema.
Analisi di scenario:
Il futuro della solvibilità automatizzata si muoverà verso l'adozione di standard di 'Audit Algoritmico'. Le banche non si limiteranno a implementare l'IA, ma dovranno sottoporre i propri modelli a verifiche periodiche di terze parti per certificare l'assenza di bias e la conformità alla Direttiva 2023/2225.
Indicatore verificabile: L'emergere di certificazioni ISO o standard tecnici europei specifici per l'interpretabilità del credit scoring entro il 2027.
In questo contesto, l'intervento umano non può più essere una mera formalità. Come sottolineato in diverse analisi giuridiche, l'algoritmo deve aiutare a decidere, ma non può sostituire le garanzie giuridiche. La supervisione umana deve essere reale e capace di sovvertire la decisione della macchina se questa si rivela basata su dati errati o criteri opachi.
Implicazioni per le imprese italiane e l'UE
Per le imprese italiane, specialmente nel settore fintech e nel credito al consumo, l'allineamento alla Direttiva 2023/2225 e alla giurisprudenza del TJUE è urgente. L'Italia, con un mercato creditizio tradizionalmente prudente ma in rapida digitalizzazione, deve integrare i requisiti dell'AI Act e della NIS2 per garantire che la resilienza tecnologica vada di pari passo con la trasparenza legale.
Le aziende che investiranno oggi in sistemi di IA spiegabili (XAI) acquisiranno un vantaggio competitivo, riducendo il rischio di sanzioni e aumentando la fiducia del cliente. La conformità non è più un costo di compliance, ma un elemento di differenziazione strategica in un mercato europeo che non accetta più la 'scatola nera' come risposta a un rifiuto di credito.
Domande frequenti
Cosa stabilisce concretamente la sentenza Dun & Bradstreet?
Stabilisce che i cittadini hanno diritto a una spiegazione comprensibile sulle ragioni di un rifiuto di credito automatizzato, superando l'invocazione del segreto commerciale da parte delle aziende di scoring.
Quali sono le tre norme che regolano oggi la solvibilità automatizzata in UE?
Il RGPD (per la protezione dei dati e il diritto alla logica), l'AI Act (per la trasparenza e la supervisione dei sistemi ad alto rischio) e la Direttiva (UE) 2023/2225 (specifica per i crediti al consumo).
È sufficiente fornire il punteggio di scoring al cliente?
No, secondo il TJUE non basta comunicare il numero finale o descrizioni generiche; occorre spiegare quali dati personali sono stati usati e come hanno influenzato il risultato.
Fonti: Economistjurist, Abogadotenerife, Domingomonforte ·
glacom · IA per studi legali: i fascicoli non escono dallo studio →Scrivila qui: Susanna, l assistente AI di glacom, ti risponde via email con un approfondimento gratuito.
Nessuna consulenza personalizzata (finanziaria, legale o medica): solo informazione e fonti. Email usata solo per rispondere.
oppure scrivile su: WhatsApp · Telegram · SimpleX · Delta Chat · Email
