Dobbiamo fare una valutazione d'impatto (DPIA) prima di usare l'AI?
In breve
La DPIA è obbligatoria quando un trattamento può presentare un rischio elevato per le persone. Con l'AI succede di solito quando l'AI valuta o profila persone in modo sistematico (per esempio candidati o dipendenti), tratta dati sensibili su larga scala, monitora i dipendenti o usa nuove tecnologie in modo che incide sulle persone. La DPIA descrive il trattamento, la necessità, i rischi e le misure. Con l'AI ad alto rischio devi usare nella DPIA le informazioni del fornitore (art. 26, paragrafo 9, dell'AI Act).
Usi tipici dell'AI che richiedono una DPIA
| Uso dell'AI | DPIA? |
|---|---|
| Selezione dei candidati | Di solito sì |
| Valutazione o monitoraggio dei dipendenti | Di solito sì |
| AI su dati sanitari in uno studio medico | Di solito sì |
| Valutazione del merito creditizio dei clienti | Di solito sì |
| Riassunto delle richieste dei clienti con pseudonimi | Di solito no |
| Bozze di newsletter senza dati personali | No |
Modello in GoalCube
GoalCube ha una bozza di DPIA, che si compila con l'uso registrato nel tuo registro dei sistemi di AI: finalità, dati, rischio, decisione umana e pseudonimizzazione. Tu aggiungi le tue valutazioni e la salvi insieme al registro.
Come fare
- Descrivi l'uso.Finalità, dati, strumento di AI, chi è coinvolto e chi vede cosa.
- Valuta necessità e proporzionalità.L'AI è necessaria? Puoi usare meno dati?
- Individua i rischi per le persone.Errori, discriminazione, fughe di dati, trasferimenti fuori dall'UE, mancanza di trasparenza.
- Descrivi le misure.Pseudonimizzazione, decisione umana, controllo degli accessi, log, cancellazione.
- Parla con il tuo DPO, se ne hai uno.E consulta il Garante privacy, se il rischio resta elevato.
Cosa dice la legge
- Art. 35 GDPR – valutazione d'impatto sulla protezione dei dati
- Obbligatoria se il rischio è probabilmente elevato; il paragrafo 7 ne descrive il contenuto.
- Art. 36 GDPR – consultazione preventiva
- Se il rischio resta elevato, va consultata l'autorità di controllo.
- Art. 26, paragrafo 9, dell'AI Act
- Usa nella tua DPIA le informazioni del fornitore sull'AI ad alto rischio.
Domande e risposte
Serve una DPIA per usare ChatGPT per le email?
Di solito no, se non ci sono dati personali rilevanti e nessuna persona viene valutata.
Serve una DPIA per l'AI nella selezione del personale?
Di solito sì. La valutazione sistematica dei candidati con nuove tecnologie è un esempio classico.
Il Garante privacy ha un elenco?
Sì, il Garante ha pubblicato un elenco dei trattamenti che richiedono sempre una DPIA. Controllalo per il tuo uso.
Fonti
A cura di Redazione GoalCube. Ultimo aggiornamento 11 ottobre 2026. GoalCube ti aiuta a rispettare l’AI Act e il GDPR. Non è consulenza legale.
Sii tra i primi.
Prevediamo di partire a novembre 2026. Iscriviti e ti scriveremo quando potrai iniziare.