Guida
Agenti AI nella tua azienda: GDPR e AI Act dell'UE
Cosa chiedono il GDPR e l'AI Act dell'UE a un'azienda che usa agenti AI, cosa si applica ora e cosa arriva nel 2027, dove vanno i tuoi dati e come progettare un agente più facile da mantenere conforme.
Aggiornato: 2026-09-15
Un agente AI legge le tue email, i tuoi ticket e i messaggi dei tuoi clienti. Chiama i tuoi sistemi e a volte agisce da solo. Nell'Unione europea questo chiama in causa due leggi: il GDPR, che si applica già per intero, e l'AI Act, che arriva per fasi.
Questa guida spiega cosa chiede ciascuna a un'azienda che usa agenti, e come progettare un agente più facile da mantenere in regola con entrambe.
L'AI Act: cosa si applica ora
Verificato a settembre 2026. È una panoramica pratica, non una consulenza legale. Per le decisioni importanti, parla con un avvocato o con il tuo responsabile della protezione dei dati.
L'AI Act è entrato in vigore nel 2024 e si applica per fasi. A luglio 2026 l'omnibus digitale sull'IA (regolamento (UE) 2026/1744) ha posticipato le scadenze per i sistemi ad alto rischio. Il calendario oggi:
| Da | Cosa si applica |
|---|---|
| Febbraio 2025 | Le pratiche di IA vietate sono proibite |
| Agosto 2025 | Obblighi per i fornitori di modelli di IA per finalità generali |
| 2 agosto 2026 | Obblighi di trasparenza (articolo 50) |
| 2 dicembre 2026 | Marcatura dei contenuti generati dall'IA, per i sistemi già sul mercato prima di agosto 2026 |
| 2 dicembre 2027 | Obblighi per i sistemi di IA ad alto rischio (allegato III) |
| 2 agosto 2028 | Obblighi per l'IA all'interno di prodotti coperti dalla normativa UE sulla sicurezza dei prodotti (allegato I) |
Trasparenza: si applica a te già oggi
Se le persone parlano con il tuo agente, devono sapere che stanno parlando con un'IA, a meno che non sia evidente. Un bot di assistenza sul tuo sito, un assistente su WhatsApp, un agente che risponde alle email: ognuno dovrebbe dire cos'è.
I contenuti generati dal tuo agente, come audio, immagini o video sintetici, e in alcuni casi testi pubblicati per informare il pubblico, hanno obblighi di etichettatura propri.
Il tuo agente è ad alto rischio?
La maggior parte degli agenti aziendali non lo è. Un agente che smista i ticket di assistenza, esegue i tuoi test, prepara bozze di report o risponde a domande sul tuo prodotto è fuori dall'elenco ad alto rischio.
Le cose cambiano se l'agente aiuta a decidere su aspetti che incidono sulla vita delle persone. Le aree ad alto rischio comprendono:
- Lavoro: selezione dei CV, classificazione dei candidati, valutazione delle prestazioni, decisioni su promozioni o licenziamenti
- Credito: valutazione dell'affidabilità creditizia di una persona
- Assicurazioni: determinazione del prezzo o valutazione del rischio per assicurazioni vita e sanitarie
- Istruzione: ammissioni, valutazioni, sorveglianza degli studenti durante le prove
- Servizi essenziali: decisioni sull'accesso a prestazioni pubbliche e servizi simili
Se il tuo agente opera in una di queste aree, pianifica fin da ora per dicembre 2027. Gestione del rischio, governance dei dati, documentazione tecnica, registrazione dei log, supervisione umana e requisiti di accuratezza richiedono tutti tempo per essere messi in piedi.
Il GDPR: il tuo agente tratta dati personali
Nessun aspetto di un agente è esente dal GDPR. Se legge un nome, un indirizzo email, un numero di telefono o una scheda cliente, tratta dati personali, e valgono le regole di sempre.
Cosa significa per un agente
- Una base giuridica per ogni uso. Il motivo per cui conservi i dati dei clienti non copre automaticamente il fatto di passarli a un modello AI per una nuova finalità.
- Solo i dati che servono al compito. Un agente che risponde a domande sulle fatture non ha bisogno dell'intero storico del cliente in ogni prompt.
- Un accordo sul trattamento dei dati con ogni responsabile. Il tuo fornitore di modelli AI, il tuo fornitore di hosting e la tua piattaforma di messaggistica trattano ciascuno dati personali per tuo conto.
- Trasferimenti fuori dall'UE. Se una richiesta arriva a un fornitore di modelli fuori dall'UE, è un trasferimento internazionale e serve una base valida.
- Una DPIA quando il rischio è elevato. Nuove tecnologie usate su larga scala, dati sensibili o monitoraggio sistematico di solito richiedono una valutazione d'impatto sulla protezione dei dati.
- Persone nelle decisioni importanti. Le persone hanno il diritto di non essere sottoposte a decisioni basate unicamente sul trattamento automatizzato che producano effetti giuridici che le riguardano o che incidano in modo analogo significativamente su di loro.
- Regole di conservazione per trascrizioni e memoria. Gli agenti conservano i log delle conversazioni e file di memoria. Serve un periodo di conservazione come per qualsiasi altro dato registrato.
- I diritti degli interessati includono l'agente. Quando qualcuno chiede l'accesso ai propri dati o la loro cancellazione, i log e la memoria dell'agente fanno parte della risposta.
Segui i dati
Prima di tutto, disegna il percorso di una singola richiesta. Per un agente che risponde ai clienti su WhatsApp, potrebbe essere così:
One request, end to end
- The customer sends a messageAnother company
The messaging platform
- It reaches the agentYour hosting, EU
The machine the agent runs on
- A routine request is handled locallyNobody else
A local model on the same machine
- A hard request goes to a cloud modelMay leave the EU
The provider's servers
- The agent acts in your applicationYou
Your application and database
- The conversation is storedNeeds a retention period
Logs and agent memory
Every step with another company in it needs a processing agreement. Every step that can leave the EU needs a transfer basis.
Ogni riga con un'altra azienda richiede un accordo sul trattamento. Ogni riga fuori dall'UE richiede una base per il trasferimento. Ogni riga che conserva dati richiede un periodo di conservazione.
Scelte di progetto che semplificano la conformità
- Fai vedere i dati personali prima a un modello locale. Un modello piccolo sulla tua macchina può classificare le richieste, estrarre campi e rimuovere nomi o numeri di documento prima che qualcosa venga inviato a un modello cloud.
- Ospita l'agente nell'UE. La macchina che contiene trascrizioni, memoria e credenziali resta soggetta al diritto dell'UE.
- Scegli condizioni API adatte ai dati aziendali. Controlla le condizioni di ogni fornitore su conservazione dei dati e addestramento per l'uso via API, e se è disponibile il trattamento dei dati nell'UE.
- Richiedi un'approvazione per le azioni con conseguenze. Inviare una fattura, modificare un record, rispondere a un reclamo: lascia che l'agente prepari e che una persona confermi.
- Tieni una traccia di audit. Per ogni azione: quale richiesta l'ha avviata, cosa ha deciso l'agente, quale strumento ha chiamato, cosa è cambiato e chi l'ha approvata.
- Dai all'agente credenziali limitate. In sola lettura dove possibile, limitate ai sistemi che servono al lavoro, facili da revocare.
- Modelli AI locali su un Mac mini: cosa gira con ogni taglio di memoria, per il primo di questi punti
Checklist
AI Act
- Gli utenti vengono informati quando interagiscono con l'agente
- I contenuti generati dall'IA sono etichettati dove richiesto
- Hai verificato se qualche uso rientra in un'area ad alto rischio
- Se sì, hai un piano per dicembre 2027
GDPR
- Sai quali dati personali l'agente legge, conserva e invia
- Ogni uso ha una base giuridica
- Gli accordi sul trattamento sono firmati con ogni responsabile
- I trasferimenti fuori dall'UE sono coperti
- Una DPIA è fatta dove il rischio la richiede
- Le decisioni con effetti significativi coinvolgono una persona
- Trascrizioni e memoria hanno un periodo di conservazione
- Le richieste di accesso e cancellazione coprono i dati dell'agente
Operatività
- Ogni azione dell'agente viene registrata
- Le azioni con conseguenze richiedono un'approvazione
- Le credenziali sono limitate e revocabili
- La tua informativa sulla privacy indica i fornitori di AI che usi
Perché MacDuty
- Ospitato nell'UE. Il tuo Mac e tutto ciò che contiene restano nell'Unione europea, gestiti da un'azienda dell'UE.
- Un accordo sul trattamento dei dati su richiesta.
- Un cliente per Mac. Trascrizioni, memoria e credenziali del tuo agente stanno su hardware che nessun altro usa.
- Modelli locali sulla stessa macchina. Tieni le richieste di routine, e i dati personali che contengono, lontano da servizi AI di terzi.
Fonti
Disponibili oggi
Questi sono già nel rack. Scegline uno, guarda cosa include e crea l'account solo quando ordini.
Controllo dei rack in corso
Un Mac mini tutto tuo
Scegli una configurazione. Se non è disponibile, lasciaci la tua email e ti scriviamo il giorno in cui è nel rack.
Annuale: almeno 19% in meno rispetto al pagamento mensile
Avanti