L’UE vuole consentire l’addestramento dell’AI sui dati personali senza consenso?

L’Unione europea non ha approvato una norma che consenta alle aziende di addestrare liberamente modelli di intelligenza artificiale usando dati personali senza consenso. Questa lettura, molto diffusa nel dibattito, è troppo ampia.

Il punto in discussione è il proposto articolo 88c del GDPR. La disposizione renderebbe esplicito che il legittimo interesse previsto dall’articolo 6, paragrafo 1, lettera f), del GDPR può costituire una possibile base giuridica per trattare dati personali quando ciò sia funzionalmente necessario alla progettazione, allo sviluppo o all’uso lecito di un sistema o modello di AI. Non cancellerebbe il GDPR, non renderebbe automaticamente lecito lo scraping del web e non farebbe venir meno il consenso quando altre norme lo richiedono.13

C’è inoltre una distinzione decisiva: l’articolo 88c appartiene al Digital Omnibus sui dati, una proposta tuttora all’esame dei co-legislatori europei. Non va confuso con il Digital Omnibus sull’AI, che è invece già diventato il regolamento (UE) 2026/1744.

Che cosa cambierebbe con l’articolo 88c

Nella formulazione proposta, un titolare del trattamento — o un terzo — potrebbe invocare il legittimo interesse per trattamenti svolti lungo il ciclo di vita di un sistema o modello di AI, purché funzionalmente necessari alla sua progettazione, sviluppo o utilizzazione leciti.3

La novità sarebbe soprattutto di chiarezza testuale nell’ambito dell’AI. Il Comitato europeo per la protezione dei dati (EDPB) aveva già affermato che, in determinate circostanze, il legittimo interesse può essere una base giuridica appropriata per sviluppare e impiegare sistemi o modelli di AI.45

Ma non basterebbe che un’impresa dichiari di avere interesse a costruire un modello. Resterebbe necessario superare il consueto test del legittimo interesse:

• individuare un interesse reale e legittimo;
• dimostrare che il trattamento è necessario per perseguirlo;
• bilanciare quell’interesse con i diritti e le libertà delle persone interessate.15

Continuerebbero inoltre ad applicarsi le altre regole europee e nazionali che impongono il consenso. L’articolo 88c, dunque, non sarebbe una licenza generale per raccogliere qualsiasi dato personale, pubblico o privato, a fini di addestramento.1

Le garanzie in discussione

La questione centrale non è soltanto se il legittimo interesse possa essere invocato, ma quali limiti lo debbano accompagnare.

Tra le garanzie discusse figurano la minimizzazione dei dati nella selezione delle fonti e nell’addestramento, misure tecniche e organizzative di protezione, trasparenza effettiva e strumenti che riconoscano obiezioni o opt-out espressi in formato leggibile dalle macchine. L’impostazione proposta contempla anche un diritto di opposizione incondizionato per i trattamenti AI interessati.13

Sono aspetti concreti, non formule di stile. La minimizzazione impedisce di giustificare la raccolta indiscriminata di informazioni con il semplice fatto che potrebbero rivelarsi utili in futuro. La trasparenza consente alle persone di capire che cosa avviene ai loro dati. E un diritto di opposizione efficace richiede procedure operative, non un’impostazione nascosta in un menu poco accessibile.

Dati sensibili: non sarebbe un «liberi tutti»

Nelle discussioni del Consiglio dell’UE su una deroga collegata ai dati particolari — per esempio dati sanitari, biometrici o relativi alle convinzioni — è stata prospettata un’ipotesi più ristretta: il trattamento incidentale e residuale. Si tratta del caso in cui il titolare non intende trattare dati sensibili, ma tali dati sono inevitabilmente presenti, in modo marginale, nell’operazione principale. È cosa diversa dal raccogliere deliberatamente dati sensibili come materiale di addestramento.2

Perché EDPB e Garante europeo hanno sollevato dubbi

L’EDPB e il Garante europeo della protezione dei dati (EDPS) non negano che il legittimo interesse possa, in alcuni casi, sostenere trattamenti legati all’AI. La loro obiezione principale è un’altra: una norma speciale come l’articolo 88c non sarebbe necessaria, perché il GDPR già consente questa conclusione quando ne ricorrono le condizioni.45

Il rischio, secondo le autorità, è che una disposizione specifica per l’AI venga interpretata come qualcosa di più di un chiarimento, generando incertezza sulle protezioni consolidate del GDPR. Il loro parere non è vincolante, ma pesa nel confronto legislativo.5

L’articolo 88c è stato davvero «ripristinato»? Lo stato resta incerto

I documenti disponibili mostrano un negoziato politico tutt’altro che lineare. Un voto previsto in COREPER — l’organo che prepara i lavori del Consiglio — sul mandato negoziale del Consiglio è stato annullato perché non si era trovato un accordo sui nodi aperti. Il lavoro è poi proseguito sotto la presidenza irlandese del Consiglio dell’UE.

Il programma della presidenza irlandese indica l’obiettivo di raggiungere entro la fine del 2026 un accordo con il Parlamento europeo sul pacchetto Digital Omnibus. Tuttavia, il materiale ufficiale fornito non dimostra autonomamente che l’articolo 88c sia stato definitivamente reinserito in una posizione finale del Consiglio.

La formula più prudente è quindi questa: l’articolo 88c resta politicamente controverso e negoziabile. Non può ancora essere considerato una base giuridica vincolante, alternativa ai requisiti già previsti dal GDPR.

Da non confondere con il Digital Omnibus sull’AI, già in vigore

Un altro atto, il Digital Omnibus sull’AI, è stato adottato come regolamento (UE) 2026/1744.

Questo provvedimento riguarda la tabella di marcia applicativa di alcune parti dell’AI Act. In particolare, gli obblighi per i sistemi di AI ad alto rischio autonomi indicati nell’allegato III si applicheranno dal 2 dicembre 2027; per i sistemi ad alto rischio incorporati in prodotti regolamentati è previsto un calendario successivo.1920

Dal 2 dicembre 2027, i requisiti per i sistemi dell’allegato III includeranno valutazione e mitigazione dei rischi, dataset di qualità elevata per ridurre gli esiti discriminatori, registrazione delle attività e tracciabilità, documentazione, informazioni per chi utilizza il sistema, supervisione umana, robustezza e cybersicurezza.20

Questi obblighi dell’AI Act sono separati dalla domanda, disciplinata dal GDPR, su quando i dati personali possano essere trattati per addestrare l’AI. Rinviare gli obblighi per l’AI ad alto rischio non equivale ad approvare l’articolo 88c.

Che cosa significherebbe nella pratica

Per gli sviluppatori, l’articolo 88c potrebbe aumentare la chiarezza del quadro normativo, ma non offrirebbe una scorciatoia di conformità. Servirebbero comunque una valutazione documentata della necessità e del bilanciamento, minimizzazione dei dati, informazioni trasparenti e processi realmente capaci di gestire le opposizioni.

Per le persone interessate, il punto decisivo è la qualità delle tutele nella norma finale: l’uso dei dati sarà davvero necessario? I dati sensibili resteranno circoscritti a casi marginali? L’opposizione potrà essere esercitata in modo tecnicamente efficace, anziché restare soltanto teorica?

La direzione di marcia non indica che l’Europa abbia abbandonato la regolazione preventiva dell’AI. Da un lato, il Digital Omnibus già adottato rinvia alcuni obblighi per i sistemi ad alto rischio; dall’altro, la proposta separata sui dati cerca una via più esplicita per taluni trattamenti connessi all’AI. L’equilibrio finale dipenderà dal negoziato tra Consiglio e Parlamento europeo e da come l’eventuale testo approvato verrà interpretato e applicato.19