"Ma se sono già a posto col GDPR, l'AI Act l'ho fatto?" No. E nemmeno il contrario. Sono due regolamenti che guardano due cose diverse e che ti si sommano addosso, con due autorità diverse e due impianti sanzionatori diversi.
La confusione è comprensibile, perché nella vita reale si sovrappongono in continuazione. Proviamo a mettere ordine, che è meno complicato di quanto sembra.
Oggetti diversi: dati contro sistemi
Il GDPR, in vigore dal 2018, protegge le persone rispetto al trattamento dei loro dati personali. Se non ci sono dati personali, il GDPR non entra proprio in campo.
L'AI Act è una normativa di sicurezza dei prodotti. Guarda il sistema di IA in sé, che tratti dati personali o meno. Un modello che ottimizza il consumo di una linea produttiva non tocca un dato personale e resta comunque dentro il perimetro dell'AI Act.
Detto in una riga: il GDPR chiede "puoi trattare questi dati?", l'AI Act chiede "questo sistema può stare sul mercato e a quali condizioni?".
Autorità diverse, e in Italia si vede
Sul GDPR l'autorità italiana è il Garante per la protezione dei dati personali. Sull'AI Act, dopo la legge 132/2025 in vigore dal 10 ottobre 2025, sono ACN per la vigilanza di mercato e le sanzioni e AgID come autorità di notifica. Restano poi le competenze settoriali di Banca d'Italia, CONSOB e IVASS, e quelle del Garante e di AGCOM nelle rispettive materie.
Significa che sullo stesso identico sistema puoi ricevere due tipi di contestazione da due soggetti diversi. Non è un doppione: sono profili distinti.
Le multe: chi le ha date davvero, finora
Qui la classifica è impietosa e serve a smontare un po' di allarmismo. Le sanzioni AI Act sono esigibili dal 2 agosto 2026: sono nuove di zecca. Le sanzioni GDPR in Italia esistono da anni e hanno colpito proprio l'intelligenza artificiale.
Il Garante ha bloccato ChatGPT il 30 marzo 2023. Ha bloccato Replika nel febbraio 2023. Ha sanzionato Clearview AI per 20 milioni nel 2022 per la raccolta massiva di volti. Ha sanzionato OpenAI per 15 milioni nel dicembre 2024. Ha colpito Foodinho e Deliveroo nel 2021 sugli algoritmi che gestivano i rider.
Nessuna di queste è una sanzione AI Act. Sono tutte GDPR. Se devi decidere dove mettere attenzione e soldi per primo, il dato è questo.
Dove i due si intrecciano
Il punto di contatto più caldo è l'articolo 22 del GDPR, quello sulle decisioni automatizzate che producono effetti giuridici sulle persone. Screening dei CV, valutazione del merito creditizio, gestione algoritmica dei turni: sono contemporaneamente alto rischio per l'AI Act — dal 2 dicembre 2027 — e decisione automatizzata per il GDPR, oggi.
C'è poi il nuovo articolo 4-bis introdotto dal Digital Omnibus e applicabile dal 2 agosto 2026, che fornisce una base giuridica per trattare categorie particolari di dati quando serve a rilevare e correggere i bias dei sistemi. È un pezzo di AI Act che risolve un problema nato dal GDPR: per verificare che un modello non discrimini, spesso servono proprio i dati sensibili che non potresti trattare.
Come si gestiscono insieme senza impazzire
Un registro solo. Il registro dei trattamenti che hai già per il GDPR può ospitare una colonna in più: quale sistema di IA interviene in quel trattamento, con quale ruolo, con quale sorveglianza umana. Non ti serve un secondo faldone parallelo.
La valutazione d'impatto sulla protezione dei dati, la DPIA, resta l'ossatura. Quando arriverà l'obbligo di valutazione d'impatto sui diritti fondamentali per certi deployer di sistemi ad alto rischio, avrai già metà del lavoro fatto.
E le regole d'uso interne — quelle dell'alfabetizzazione IA — sono lo stesso documento che ti serve per dire ai dipendenti cosa non incollare nei prompt. Un documento, due conformità.
Una nota personale
Io di mestiere costruisco sistemi IA privati per studi professionali e piccole imprese italiane. Non vendo corsi e non vendo pacchetti di conformità da 4.000 euro con la copertina lucida. I regolamenti li leggo perché mi tocca, e li racconto come li ho capiti. Se hai una domanda, sul gruppo Telegram di Super Squalo (t.me/Squalogruppo) si discute di questa roba ogni giorno, e si risponde gratis.
Non sono due montagne. È una montagna con due sentieri. Sali una volta sola, con la mappa giusta.
Domande frequenti
Se rispetto il GDPR sono automaticamente conforme all'AI Act?
No. Sono impianti distinti: uno riguarda il trattamento dei dati personali, l'altro la conformità dei sistemi di IA. Un sistema può essere ineccepibile sul piano privacy e non conforme sul piano AI Act, e viceversa.
Serve una DPIA per ogni sistema di IA?
Serve quando il trattamento presenta un rischio elevato per i diritti delle persone, secondo i criteri del GDPR. Molti usi dell'IA su dati personali ricadono in questa ipotesi, soprattutto quando c'è profilazione o decisione automatizzata.
Il Garante privacy può sanzionare violazioni dell'AI Act?
In Italia la vigilanza di mercato sull'AI Act è di ACN. Il Garante resta competente sul trattamento dei dati personali, anche quando avviene tramite sistemi di IA, e mantiene le proprie competenze nelle materie che gli sono attribuite.