--- title: Consulenza Privacy, GDPR e AI Act description: "Adeguamento GDPR e AI ACT: la governance dell'intelligenza artificiale nei processi HR. Richiedi una valutazione con Studio Donati." featured_image: https://studiodonati.it/wp-content/uploads/2024/05/Studio-Donati-160-1024x683.jpg date: 2018-04-19 modified: 2026-11-10 author: Mark url: https://studiodonati.it/consulenti-del-lavoro-roma-servizi/consulenti-del-lavoro-roma-servizi-privacy/ --- # Consulenza Privacy, GDPR e AI Act ![Consulenza Privacy, GDPR e AI Act](https://studiodonati.it/wp-content/uploads/2024/05/Studio-Donati-160-1024x683.jpg) ## Privacy, GDPR e governance dell'intelligenza artificiale Studio Donati affianca aziende, pubbliche amministrazioni e società partecipate nell'adeguamento al GDPR (Regolamento UE 2016/679) e, dal 2026, nella governance dei sistemi di intelligenza artificiale utilizzati nei processi HR, in vista degli obblighi dell'AI Act (Regolamento UE 2024/1689, come modificato dal Regolamento UE 2026/1744). Il percorso unisce consulenza specialistica, la piattaforma proprietaria GDPR DONATI e un metodo di lavoro strutturato in fasi, verificabile e documentato. ### Il problema: due normative, un'unica responsabilità Il GDPR non è un adempimento da chiudere una volta per tutte: richiede un aggiornamento costante di registro dei trattamenti, informative, nomine e misure di sicurezza, man mano che cambiano fornitori, strumenti e processi aziendali. A questo si aggiunge oggi un livello ulteriore: l'intelligenza artificiale è già utilizzata nei processi HR — selezione, screening dei curriculum, comunicazioni interne, valutazioni — spesso più di quanto le aziende ne siano consapevoli, e senza che sia stato definito chi ne è responsabile. Le due discipline si intrecciano: uno stesso trattamento di dati dei lavoratori può richiedere, allo stesso tempo, la coerenza con il registro GDPR e una valutazione specifica ai sensi dell'AI Act. ### I rischi di un adeguamento parziale - Sanzioni GDPR fino al 4% del fatturato mondiale annuo o 20 milioni di euro, ai sensi dell'articolo 83 del Regolamento (art. 83, comma 5, lett. b). - Responsabilità come «deployer» ai sensi dell'AI Act: la conformità dichiarata da un fornitore software non esonera l'azienda che lo utilizza dal verificare finalità, dati trattati e controllo umano effettivo. - Strumenti di intelligenza artificiale adottati autonomamente dai dipendenti, senza autorizzazione né tracciamento. - Assenza di una policy interna che distingua strumenti ammessi, vietati e soggetti ad autorizzazione preventiva. Il principio dell'accountability, alla base del GDPR, si applica anche alla gestione dell'intelligenza artificiale: il Titolare del trattamento deve poter dimostrare, con evidenze concrete, di aver governato i propri processi — non soltanto di averli formalmente disciplinati. ### La soluzione Studio Donati Un percorso integrato che affianca il consolidato adeguamento GDPR a un nuovo servizio di governance dell'intelligenza artificiale, pensato per le Direzioni HR e le Direzioni amministrative. #### Il percorso privacy in 6 fasi - Audit e censimento dei trattamenti: analisi di documentazione, procedure e misure esistenti per individuare gli scostamenti rispetto alla normativa vigente. - Registro dei trattamenti: stesura e aggiornamento del registro obbligatorio, per tracciare operazioni di trattamento, banche dati e flussi informativi. - Lettere di nomina interne ed esterne: definizione di ruoli, responsabilità e incarichi di chi tratta i dati, all'interno e all'esterno dell'organizzazione. - Valutazione delle misure di sicurezza informatica: analisi IT sui diversi livelli dell'architettura, per proteggere i dati lungo tutto il loro ciclo di vita. - Informative privacy: redazione o revisione delle informative specifiche per sito web, collaboratori, fornitori e sistemi aziendali. - Gestione continuativa con GDPR DONATI: la piattaforma proprietaria dello Studio per il monitoraggio degli adempimenti, l'aggiornamento normativo e il supporto HR costante. #### La governance dell'intelligenza artificiale in 5 fasi - Censimento: mappatura di tutti gli strumenti di IA utilizzati nei processi HR, compresi quelli integrati in altri software o adottati autonomamente dai dipendenti. - Classificazione: valutazione della finalità di ciascun sistema per individuare gli utilizzi potenzialmente ad alto rischio ai sensi dell'AI Act. - Governance: definizione di ruoli, responsabilità e AI Policy costruita sui processi reali dell'azienda, non su un modello standard. - Formazione: percorsi differenziati per utilizzatori, funzioni specialistiche (HR, IT, privacy, legale) e responsabili decisionali. - Monitoraggio: aggiornamento periodico dell'inventario e verifica dei fornitori, con reportistica per la direzione aziendale. Gli obblighi sui sistemi di IA ad alto rischio si applicano dal 2 dicembre 2027 (sistemi autonomi, allegato III) e dal 2 agosto 2028 (sistemi incorporati in prodotti). Restano già applicabili i divieti su specifiche pratiche di IA e l'obbligo di alfabetizzazione del personale previsto dall'articolo 4 del Regolamento. ### Dal 23 ottobre 2026: intelligenza artificiale e decisioni sui dipendenti (D.Lgs. 179/2026) Il D.Lgs. 7 ottobre 2026, n. 179, in vigore dal 23 ottobre 2026, ha introdotto regole specifiche sull'uso dell'intelligenza artificiale nel rapporto di lavoro. L'articolo 41 prevede che le decisioni finali relative alla costituzione, alla modificazione o alla risoluzione del rapporto, compresi i provvedimenti disciplinari e le valutazioni delle prestazioni, non siano adottate unicamente sulla base di un trattamento automatizzato: la decisione definitiva spetta a una persona fisica che eserciti un potere effettivo e autonomo. - Selezione del personale: non rientrano tra le decisioni finali le attività di ricerca e selezione delle candidature, anche quando comportano la mancata ammissione alle fasi successive; resta fermo l'articolo 22 del GDPR. - Consenso: il consenso del lavoratore non consente di derogare al divieto. - Informativa: prima di avviare il trattamento, il datore di lavoro rende l'informativa prevista dall'articolo 1-bis del D.Lgs. 152/1997. - Diritto alla motivazione: il lavoratore può chiedere, tramite una persona fisica, una motivazione intelligibile della decisione che lo riguarda, con l'indicazione dell'eventuale incidenza dell'IA e dei principali parametri considerati. - Conseguenze: il licenziamento e le altre decisioni adottate in violazione del divieto sono nulli. - Salute e sicurezza: l'articolo 42 richiede di considerare nella valutazione dei rischi (art. 28 D.Lgs. 81/2008) i sistemi di IA che incidono su organizzazione del lavoro, ritmi produttivi, modalità della prestazione o decisioni rilevanti per la sicurezza, e di informare e formare i lavoratori sui rischi specifici. Per le Direzioni HR il punto pratico è poter dimostrare il controllo umano: sapere quali strumenti contribuiscono alle decisioni sulle persone, chi decide alla fine e dove resta traccia delle valutazioni fatte. Studio Donati affianca le aziende in questa verifica all'interno del percorso di governance dell'intelligenza artificiale descritto sopra, in raccordo con il consulente o il legale che già le segue. Fonte: D.Lgs. 7 ottobre 2026, n. 179, articoli 41 e 42 (Normattiva). Sezione aggiornata al 10 novembre 2026. ### Come lavoriamo - Valutazione preliminare per fotografare la situazione attuale dell'azienda su privacy e utilizzo dell'intelligenza artificiale. - Un referente dedicato per tutta la durata del percorso, in affiancamento alla Direzione HR e alla Direzione amministrativa. - Tecnologia proprietaria (GDPR DONATI) per la gestione documentale e il tracciamento degli adempimenti. - Aggiornamento costante sulle novità normative, con priorità agli impatti operativi per l'azienda. - Reportistica periodica, utile anche in caso di audit o verifiche da parte di terzi. ### Perché scegliere Studio Donati - Esperienza consolidata dal 1959 nella consulenza del lavoro, unita a competenze specialistiche in privacy e intelligenza artificiale. - Team qualificato che segue privacy, GDPR e AI Act in modo integrato con payroll, presenze e welfare aziendale. - Tecnologia proprietaria GDPR DONATI, con un percorso di estensione alla governance degli strumenti di intelligenza artificiale. - Metodo di assessment differenziato in base al livello di rischio di ciascun trattamento o sistema. - Riduzione dei rischi di sanzioni GDPR e di contestazioni legate a un utilizzo non governato dell'intelligenza artificiale. ### A chi ci rivolgiamo - Aziende private strutturate, con almeno 50 dipendenti. - Pubbliche amministrazioni, società partecipate e società in house. - Direzioni HR e responsabili Risorse Umane. - CFO e Direzioni amministrative. - Responsabili privacy, legali e IT coinvolti nella compliance aziendale. ### Domande frequenti #### Chi deve adeguarsi al GDPR? Ogni azienda, ente pubblico o organizzazione che tratta dati personali di dipendenti, clienti o fornitori deve rispettare gli obblighi del Regolamento (UE) 2016/679, indipendentemente dalla dimensione. #### Quali sono le sanzioni previste dal GDPR? L'articolo 83, comma 5, lettera b), prevede sanzioni fino a 20 milioni di euro o fino al 4% del fatturato mondiale annuo dell'esercizio precedente, se superiore. #### Le aziende devono già adeguarsi all'AI Act? Gli obblighi sui sistemi ad alto rischio si applicano dal 2027 e dal 2028, ma alcuni obblighi sono già vigenti: i divieti su specifiche pratiche di IA, le regole sui modelli per finalità generali e l'alfabetizzazione del personale. Il tempo aggiuntivo va utilizzato per costruire una governance, non per rinviare l'intervento. #### Si possono usare sistemi di IA per decidere su valutazioni, sanzioni o licenziamenti? Si possono usare come supporto, ma dal 23 ottobre 2026 la decisione finale deve essere presa da una persona con un potere effettivo e autonomo (art. 41 D.Lgs. 179/2026). Le decisioni adottate unicamente sulla base di un trattamento automatizzato sono nulle, licenziamento compreso, e il lavoratore può chiedere una motivazione che indichi quanto abbia inciso l'IA. #### Basta acquistare un software dichiarato conforme all'AI Act? No. L'azienda che utilizza il sistema (deployer) deve comunque verificare che sia impiegato per la finalità prevista, con dati pertinenti, personale formato e controllo umano effettivo. #### GDPR e AI Act richiedono due percorsi separati? No. I trattamenti effettuati tramite sistemi di intelligenza artificiale vanno integrati nel registro dei trattamenti GDPR e, se necessario, valutati anche ai fini di una DPIA. Studio Donati propone un percorso unico e coordinato. #### Cos'è GDPR DONATI? È la piattaforma proprietaria di Studio Donati per la gestione strutturata degli adempimenti privacy, in fase di estensione al censimento e al tracciamento degli strumenti di intelligenza artificiale utilizzati in azienda. ### Richiedi una valutazione preliminare Vuoi sapere a che punto è la tua azienda su GDPR e intelligenza artificiale? Richiedi una valutazione preliminare gratuita: analizziamo la situazione attuale e ti indichiamo le priorità operative, senza impegno. Compila il modulo sottostante per ricevere una proposta personalizzata di adeguamento GDPR e AI Act.