Il panorama della protezione dei dati personali in Italia e in Europa continua a essere estremamente dinamico. Maggio 2025 si rivela un mese particolarmente intenso, con l’Autorità Garante per la Protezione dei Dati Personali (Garante Privacy) impegnata su più fronti, dalla regolamentazione dell’Intelligenza Artificiale alle nuove sfide per le aziende e i cittadini.
 

 
Intelligenza Artificiale e Dati Personali: Un confronto aperto

Il tema dell’Intelligenza Artificiale (IA) domina il dibattito sulla privacy. Il Garante Privacy italiano è in prima linea nel definire i confini per un utilizzo etico e conforme al GDPR dei sistemi di IA.

• Meta e l’addestramento dei sistemi AI con dati utenti: A maggio 2025, Meta ha avviato l’addestramento dei suoi sistemi di intelligenza artificiale utilizzando i dati personali degli utenti che non si sono opposti. Il Garante Privacy ha emesso un comunicato stampa cruciale in merito (29 aprile 2025, aggiornato al 15 maggio 2025), sottolineando il diritto di opposizione degli utenti, che vale anche per altri sistemi di IA come OpenAI, DeepSeek e Google. Ciò evidenzia l’importanza del principio di trasparenza e del consenso (o del diritto di opposizione) nel contesto dell’IA generativa.
• Sanzioni ai chatbot e indagini su piattaforme AI: Il Garante ha già dimostrato fermezza, come nel caso della sanzione alla società che gestisce il chatbot “Replika” (19 maggio 2025). Inoltre, sono in corso istruttorie su altre piattaforme, come Lusha (8 aprile 2025) e Deepseek (come riportato dal Sole 24 Ore il 14 maggio 2025), a dimostrazione di un’attenzione costante verso il rispetto delle norme privacy da parte degli sviluppatori e gestori di sistemi AI.
• AI Act e sinergie con il GDPR: Il Regolamento UE 2024/1689 sull’intelligenza artificiale (AI Act), sebbene distinto dal GDPR, ne condivide l’approccio basato sul rischio. Si parla molto nel 2025 delle implicazioni per le aziende, che dovranno mappare i sistemi AI, classificarli per rischio e designare un responsabile IA, analogamente al DPO. L’AI Act prevede sanzioni ingenti (fino a 35 milioni di euro o il 7% del fatturato globale per IA vietate), rafforzando il quadro normativo complessivo per la protezione dei dati in un’ottica di IA etica e responsabile.
• Linee guida EDPB: Anche a livello europeo, le Linee Guida dell’EDPB (European Data Protection Board) sui modelli di IA conformi al GDPR (con aggiornamenti a gennaio 2025) affrontano questioni cruciali come l’anonimizzazione dei dati, l’interesse legittimo come base giuridica per l’addestramento e le conseguenze del trattamento illecito.

Verso una Semplificazione del GDPR: Equilibrio tra diritti e competitività

La Commissione Europea sta valutando la possibilità di proporre modifiche al GDPR entro maggio 2025, con l’obiettivo di ridurre gli oneri burocratici e normativi per le piccole e medie imprese (PMI) e favorirne la competitività.

• Il dibattito sulla semplificazione: Questa iniziativa, come sottolineato dal Garante Agostino Ghiglia (8 aprile 2025), solleva interrogativi sul giusto equilibrio tra semplificazione amministrativa e tutela dei diritti fondamentali. Se da un lato l’alleggerimento può favorire l’innovazione, dall’altro vi è la preoccupazione che non si debbano smantellare le garanzie in un’era in cui la profilazione e lo “scraping” dei dati sono sempre più diffusi.
• Consultazioni pubbliche: A tal proposito, il Garante ha avviato consultazioni pubbliche importanti, come quella sui modelli “Pay or Ok” (5 maggio 2025), che propongono agli utenti l’alternativa tra l’accettazione dei cookie per la profilazione (e la pubblicità) o un abbonamento a pagamento per un servizio senza tracciamento.

Sanzioni e Interventi del Garante: La lunga mano della privacy

L’Autorità Garante per la Protezione dei Dati Personali continua la sua attività di vigilanza e sanzionatoria, intervenendo su diverse violazioni e garantendo il rispetto del GDPR.

• Telemarketing selvaggio: Un’area di particolare attenzione è il telemarketing illecito, con sanzioni significative come quelle inflitte ad Acea Energia (3 milioni di euro) e ad agenzie coinvolte (850mila euro) (7 maggio 2025). Questo sottolinea l’impegno del Garante nel contrastare pratiche intrusive e non conformi alle normative sulla privacy.
• Violazioni aziendali e data breach: La casistica delle sanzioni include anche violazioni di dati (come il caso Banca Intesa, ottobre 2024, con 20 giorni per informare i clienti) e l’uso improprio di dati personali.
• Controllo sull’informazione e media: Il Garante interviene anche nel settore dei media, come dimostrano i comunicati sulla “Chat FdI” (possibile violazione della normativa privacy e delle regole deontologiche dei giornalisti) e la richiesta a Gedi di attenzione sulla vendita di dati a OpenAI per l’addestramento di algoritmi (novembre 2024).

Nuovi Fronti e Strumenti di Tutela

La protezione dei dati si estende a nuovi ambiti e vede l’introduzione di nuovi strumenti.

• Privacy nel condominio: Il Garante ha avviato una consultazione pubblica sulle “Linee guida sul trattamento dei dati personali nell’ambito del condominio” (8 maggio 2025), un settore in cui la gestione dei dati personali, anche tramite videosorveglianza, è spesso complessa.
• Smart Working e geolocalizzazione: La discussione sulla geolocalizzazione dei dipendenti in smart working rimane un tema caldo, con il Garante che ha espresso pareri contrari a un monitoraggio indiscriminato.
• Nuovi strumenti di comunicazione: Anche qui Il Garante ha lanciato il podcast “A proposito di privacy” (3 aprile 2025) e campagne informative su temi come lo “smishing” e lo “sharenting”, dimostrando un impegno crescente nella sensibilizzazione dei cittadini.

Privacy e GDPR sempre più protagonisti nel definire le regole dell’era digitale. L’intersezione tra privacy e Intelligenza Artificiale rappresenta la sfida più grande, richiedendo un bilanciamento delicato tra innovazione tecnologica e tutela dei diritti fondamentali. Le imprese e i cittadini sono chiamati a una maggiore consapevolezza e a un impegno costante nell’adeguamento alle normative, mentre il Garante italiano continua a essere una voce attiva e incisiva nel panorama europeo della protezione dei dati.