DPIA per un progetto di AI: quando serve e come farla

La valutazione d'impatto sulla protezione dei dati, spesso chiamata DPIA, è lo strumento con cui un'impresa ragiona prima di partire: cosa farà con i dati, quali rischi corrono le persone, come li riduce. Con i progetti di AI la domanda torna spesso, perché questi strumenti combinano molti dati e producono risultati non sempre prevedibili.

Non ogni chatbot richiede una DPIA, ma alcuni progetti sì, e farla bene evita sorprese. Questa pagina spiega quando pensarci e come impostarla. Se e come farla nel tuo caso va deciso con il consulente privacy o il responsabile della protezione dei dati.

Cosa dice la norma

Il GDPR prevede la valutazione d'impatto per i trattamenti che possono presentare un rischio elevato per i diritti e le libertà delle persone, all'articolo 35 del regolamento (UE) 2016/679, che la legge 132/2025 richiama tra le informazioni da comunicare al Garante per la ricerca sanitaria ¹.

Per il lavoro la legge 132/2025 rimanda alla normativa sull'informativa ai lavoratori, il cui testo è riportato nella stessa Gazzetta Ufficiale ¹. Quando un datore di lavoro usa sistemi decisionali o di monitoraggio automatizzati, quella norma chiede un'analisi dei rischi e una valutazione d'impatto dei trattamenti, con consultazione preventiva del Garante se ricorrono i presupposti dell'articolo 36 del GDPR ¹.

Fuori da questi richiami espliciti la decisione dipende dal tipo di progetto. I segnali tipici di rischio elevato sono la valutazione sistematica di persone, i dati sanitari o di altre categorie delicate, il monitoraggio continuo, le persone vulnerabili e l'uso di tecnologie nuove su larga scala. L'AI tocca spesso più di uno di questi segnali.

A chi si applica

• Datori di lavoro che usano l'AI per selezionare, valutare o monitorare il personale.
• Studi medici, farmacie e strutture che usano l'AI su dati sanitari.
• Chi usa l'AI per profilare clienti in modo sistematico, per esempio per credito o prezzi personalizzati.
• Scuole e enti di formazione che usano l'AI con studenti, soprattutto minorenni.

Da quando

La valutazione d'impatto va fatta prima di avviare il trattamento, non a progetto finito. Nella gestione del personale il richiamo esplicito è in vigore con la legge 132/2025, dal 10 ottobre 2025 ¹. Va rivista quando cambia qualcosa di importante: un fornitore nuovo, dati nuovi, uno scopo diverso.

Cosa fare in pratica

1. Descrivi il progetto in una pagina: scopo, dati usati, persone coinvolte, fornitore, dove finiscono i dati.
2. Chiediti se il progetto valuta persone, usa dati delicati, monitora o tocca persone vulnerabili.
3. Se sì, coinvolgi il consulente privacy e imposta la valutazione prima di comprare o sviluppare.
4. Elenca i rischi concreti per le persone, come errori, discriminazioni o accessi non autorizzati, e per ciascuno la misura che lo riduce.
5. Chiedi al fornitore la documentazione tecnica e le garanzie sul trattamento: servono alla valutazione.
6. Conserva il documento e aggiornalo quando il progetto cambia.

Gli errori da evitare

• Fare la valutazione dopo aver acceso il sistema, solo per avere una carta.
• Copiare un modello generico senza descrivere davvero il progetto.
• Lasciare fuori il fornitore, che conosce come funziona lo strumento.
• Valutare solo i rischi per l'azienda e non quelli per le persone.

Le altre norme spiegate senza burocratese sono in Regole.