Quando si parla del divieto di punteggio sociale, la reazione è sempre la stessa: "roba cinese, da noi non succede". Ed è vero che nessuna azienda italiana sta costruendo un sistema di credito sociale statale. Ma il divieto non parla di Stati: parla di sistemi. E qualche sistema aziendale ci somiglia più di quanto faccia comodo ammettere.
Cosa vieta esattamente la norma
L'articolo 5 vieta i sistemi di IA che valutano o classificano le persone in un determinato periodo di tempo sulla base del comportamento sociale o di caratteristiche personali note, inferite o previste, quando il punteggio sociale così ottenuto determina un trattamento pregiudizievole in almeno una di queste due situazioni:
quando il trattamento avviene in contesti sociali diversi da quelli in cui i dati sono stati originariamente generati o raccolti;
quando il trattamento è ingiustificato o sproporzionato rispetto al comportamento sociale o alla sua gravità.
Applicabile dal 2 febbraio 2025, con sanzione fino a 35 milioni o al 7% del fatturato mondiale. Nessun rinvio.
La chiave sta in due parole: contesto e proporzione
La valutazione settoriale legittima non è vietata. Una banca che valuta il merito creditizio con dati finanziari sta usando dati generati in quel contesto per una decisione in quello stesso contesto: è alto rischio dal 2 dicembre 2027, non è vietato.
Il divieto scatta quando il punteggio viaggia. Quando il comportamento tenuto in un ambito produce conseguenze in un ambito che non c'entra niente. O quando la conseguenza è spropositata rispetto al fatto.
Cosa ci somiglia, in azienda
Ecco i casi che vedo più spesso, e che meritano un esame serio.
Il punteggio unico del dipendente. Un sistema che aggrega presenze, produttività, tono delle email, partecipazione alle iniziative aziendali, ritardi, e ne ricava un indice sintetico che influenza promozioni e assegnazioni. Aggregare dati eterogenei di contesti diversi in un unico giudizio sulla persona è esattamente la struttura che la norma guarda con sospetto.
Il punteggio di affidabilità del cliente costruito su comportamenti estranei. Se valuti la puntualità nei pagamenti, sei nel contesto. Se ci aggiungi il modo in cui il cliente si comporta sui social o quanto spesso apre i ticket di assistenza per decidere se servirlo, stai attraversando contesti.
Il rating dei fornitori esteso alle persone. Valutare un'impresa fornitrice è normale. Valutare le persone fisiche che ci lavorano sulla base di comportamenti personali è un'altra cosa.
Il sistema antifrode che marchia la persona. Individuare una transazione sospetta è legittimo. Assegnare a una persona un'etichetta permanente che le preclude servizi diversi, senza proporzione e senza possibilità di revisione, è il territorio del divieto.
Le tre domande di autodiagnosi
Uno: il sistema produce un giudizio complessivo sulla persona, o una valutazione circoscritta a una specifica finalità?
Due: i dati usati provengono dallo stesso contesto in cui la decisione avrà effetto, o arrivano da ambiti diversi?
Tre: la conseguenza è proporzionata al comportamento considerato, ed è contestabile da chi la subisce?
Se le risposte ti mettono a disagio, fermati e fai valutare il sistema prima di andare avanti. Non è una questione da rinviare al 2027: il divieto è già in vigore.
Il rimedio quasi sempre è semplice
Nella maggior parte dei casi il problema non è l'esistenza del sistema, ma la sua generalizzazione. Separare le valutazioni per finalità, limitare i dati a quelli pertinenti al contesto della decisione, rendere l'esito motivato e contestabile: bastano questi tre interventi per riportare un sistema dalla zona vietata a quella lecita.
E restano applicabili le regole del GDPR sulle decisioni automatizzate, che in Italia hanno già prodotto sanzioni: Foodinho e Deliveroo, 2021, sugli algoritmi che gestivano i rider.
Una nota personale
Io di mestiere costruisco sistemi IA privati per studi professionali e piccole imprese italiane. Non vendo corsi e non vendo pacchetti di conformità da 4.000 euro con la copertina lucida. I regolamenti li leggo perché mi tocca, e li racconto come li ho capiti. Se hai una domanda, sul gruppo Telegram di Super Squalo (t.me/Squalogruppo) si discute di questa roba ogni giorno, e si risponde gratis.
Nessuno in Italia costruisce un credito sociale. In compenso qualcuno costruisce un punteggio unico sui dipendenti — che è la stessa idea, in scala aziendale.
Domande frequenti
Un sistema di valutazione delle performance è vietato?
Non in sé. Diventa problematico se aggrega dati di contesti estranei in un giudizio complessivo sulla persona con conseguenze sproporzionate. La valutazione delle prestazioni resta soggetta a Statuto dei lavoratori, obblighi informativi e GDPR, e rientra nell'alto rischio dal 2 dicembre 2027.
Il credit scoring rientra nel divieto?
No, è classificato ad alto rischio. Il divieto riguarda i punteggi sociali generalizzati con effetti in contesti estranei o sproporzionati.
Come dimostro che il mio sistema non è punteggio sociale?
Documentando finalità circoscritta, pertinenza dei dati rispetto al contesto della decisione, proporzionalità delle conseguenze e possibilità di riesame umano. Sono gli stessi elementi che ti servono per il GDPR.