■ AI ACT: la responsabilità civile per uso AI
Molte organizzazioni continuano a leggere il Regolamento (UE) 2024/1689 sull’intelligenza artificiale come una normativa rivolta quasi esclusivamente ai grandi player tecnologici. In realtà, l’AI Act si applica lungo l’intera filiera: a chi sviluppa sistemi di IA, ma anche a chi li integra nei propri prodotti, li distribuisce sul mercato o li utilizza nei processi aziendali, secondo una logica fondata sul rischio e sulla tutela dei diritti fondamentali.
L’equivoco più diffuso è ritenere che l’uso “ordinario” di strumenti di IA in azienda sia giuridicamente neutro. Non è così: ogni impresa è chiamata a qualificare il sistema impiegato, verificando se rientri tra le pratiche vietate, tra i sistemi ad alto rischio o tra quelli soggetti a specifici obblighi di trasparenza, con impatti diretti su governance interna, contrattualistica con i fornitori, procedure di controllo e allocazione delle responsabilità.
Per le aziende, la questione non è “se” utilizzare l’intelligenza artificiale, ma “come” presidiare giuridicamente il suo impiego. Ciò implica mappare gli utilizzi effettivi, comprendere il ruolo assunto nella catena tecnologica (fornitore, distributore, deployer), verificare obblighi informativi e di supervisione umana e coordinare l’AI Act con GDPR, cybersicurezza e controlli interni. Nei prossimi anni, il grado di maturità organizzativa si misurerà proprio sulla capacità di integrare questi piani regolatori in un sistema coerente di governance dell’IA.
EDPB: verso la standardizzazione operativa della compliance.
L’European data protection board (EDPB) ha avviato una consultazione pubblica finalizzata allo sviluppo di modelli standardizzati “pronti all’uso”. L’iniziativa, ispirata ai principi della Dichiarazione di Helsinki, punta a semplificare l’applicazione del GDPR attraverso la creazione di template ufficiali, ossia modelli predefiniti che offrano parametri comuni per la rendicontazione e la trasparenza.
L’iniziativa affronta un nodo strutturale della materia privacy: il divario tra l’obbligo giuridico, espresso in norme generali, e la sua concreta traduzione in documenti e procedure operative. Modelli uniformi per la DPIA (cioè la valutazione d’impatto sulla protezione dei dati), le notifiche di data breach (violazioni dei dati personali), le informative agli interessati, i registri dei trattamenti e le valutazioni del legittimo interesse, consentono infatti di ridurre le disomogeneità applicative, le incoerenze documentali e le difficoltà difensive in sede ispettiva.
Modelli uniformi per la DPIA (cioè la valutazione d’impatto sulla protezione dei dati), le notifiche di data breach (violazioni dei dati personali), le informative agli interessati, i registri dei trattamenti e le valutazioni del legittimo interesse, consentono infatti di ridurre le disomogeneità applicative, le incoerenze documentali e le difficoltà difensive in sede ispettiva.
Il template non sostituisce l’adempimento, ma ne definisce la cornice minima di coerenza.
L’aspetto davvero decisivo resta la capacità di adattare i modelli standard alla realtà concreta dell’azienda.
Non basta adottare documenti o moduli predefiniti: è necessario tradurli nei propri processi, ruoli e flussi operativi. Solo quando le procedure sulla carta diventano prassi effettive e integrate nella gestione quotidiana, si può parlare di una vera compliance.
EDPB: raccomandazioni per acquisti online più rispettosi della privacy.
L’European Data Protection Board (EDPB), nella sessione plenaria del 4 dicembre 2025, ha adottato Raccomandazioni per la creazione di account utente sui siti di commercio elettronico. L’obiettivo è rendere gli acquisti online più rispettosi della privacy degli utenti, consentendo di effettuare transazioni senza obbligo di registrazione, privilegiando una modalità “ospite”.Solo in casi specifici, come abbonamenti o offerte esclusive, la registrazione può essere obbligatoria. Queste indicazioni mirano a ridurre la raccolta e il trattamento dei dati personali, in linea con il principio di protezione dei dati fin dalla progettazione e per impostazione predefinita del GDPR.
L’EDPB ha inoltre avviato una discussione preliminare sulla proposta di “Digital Omnibus”, esprimendo preoccupazione per la modifica della definizione di dati personali, che potrebbe superare la giurisprudenza della Corte di giustizia dell’UE e compromettere il diritto fondamentale alla protezione dei dati. Tale modifica, infatti, rischia di indebolire la tutela degli interessati e di ridurre la trasparenza e la responsabilità delle aziende nella gestione dei dati personali.
Regno Unito: ICO sanziona gestore password britannico con 1,2 milioni di sterline per data breach.
L’ICO (Information Commissioner’s Office) del Regno Unito, con provvedimento datato 11 dicembre 2025, ha irrogato una sanzione di 1,2 milioni di sterline (circa 1,375 milioni di euro) a una società britannica che offre servizi di gestione delle password per una grave violazione dei dati avvenuta nel 2022.
Il caso riguarda due incidenti distinti che, combinati, hanno consentito a un hacker di accedere al database di backup dell’azienda e di sottrarre informazioni personali di fino a 1,6 milioni di clienti, tra cui nomi, e-mail, numeri di telefono e URL di siti web memorizzati.
Nonostante il sistema di crittografia “zero knowledge” abbia impedito la decrittazione delle password, la mancata implementazione di misure di sicurezza adeguate ha lasciato esposti i dati personali. L’accesso non autorizzato è stato reso possibile dalla compromissione prima del laptop aziendale e poi del dispositivo personale di un dipendente, su cui era presente la chiave di decrittografia. La violazione è stata riconosciuta grave per la portata, le categorie dei dati coinvolti e la mancata adozione di controlli di sicurezza sufficientemente adeguate.
Spagna: sanzione di 1,56 milioni di euro dall’AEPD ad una società spagnola per data breach.
L’Agencia Española de Protección de Datos (AEPD) ha irrogato, con provvedimento n. EXP202401683 del 22 ottobre 2025, una sanzione di 1,56 milioni di euro ad una società spagnola che si occupa di vendita di articoli sportivi, per una grave violazione della sicurezza dei dati personali.
Il caso ha riguardato un data breach di ampia portata, che ha coinvolto circa 6,4 milioni di persone tra clienti e dipendenti, residenti in Spagna, Francia, Italia, Paesi Bassi e Portogallo. L’attacco informatico ha portato alla compromissione di dati identificativi (nome, cognome, codice fiscale), di contatto (indirizzo, telefono, email), economici e sanitari, con particolare rilevanza per i dati dei dipendenti, inclusi quelli relativi alla salute e alla disabilità.
L’attacco informatico ha portato alla compromissione di dati identificativi (nome, cognome, codice fiscale), di contatto (indirizzo, telefono, email), economici e sanitari, con particolare rilevanza per i dati dei dipendenti, inclusi quelli relativi alla salute e alla disabilità. L’attacco informatico ha portato alla compromissione di dati identificativi (nome, cognome, codice fiscale), di contatto (indirizzo, telefono, email), economici e sanitari, con particolare rilevanza per i dati dei dipendenti, inclusi quelli relativi alla salute e alla disabilità.
Sanzione a Meta da 251 milioni di euro per gravi violazioni del GDPR
La Commissione irlandese per la protezione dei dati (DPC) ha recentemente inflitto a Meta, la società madre di Facebook, una sanzione di 251 milioni di euro a causa di una grave violazione della sicurezza. Questo incidente ha compromesso circa 29 milioni di account a livello globale, di cui 3 milioni in Europa. La decisione è il risultato di un’indagine avviata in seguito a un evento di sicurezza che ha rivelato vulnerabilità significative nella gestione dei dati degli utenti.
L’incidente risale a luglio 2017, quando Facebook introdusse una funzione che consentiva agli utenti di visualizzare il proprio profilo come appariva ad altri. Un difetto progettuale ha permesso a malintenzionati di sfruttare questa funzionalità, combinandola con un’altra opzione per generare token di accesso non autorizzati. Ciò ha consentito accessi non autorizzati ai profili degli utenti e alle loro informazioni personali, inclusi nome, indirizzo email, numero di telefono e data di nascita.
Nonostante Meta abbia implementato misure correttive dopo aver identificato la violazione, la DPC ha evidenziato i rischi associati a pratiche inadeguate nella protezione dei dati durante la progettazione delle piattaforme digitali. L’autorità ha riscontrato diverse infrazioni del Regolamento generale sulla protezione dei dati (GDPR) da parte di Meta, evidenziando carenze nella notifica della violazione e nella documentazione delle misure correttive adottate dall’azienda. La DPC ha sottolineato l’importanza di integrare requisiti rigorosi di protezione dei dati fin dalle fasi iniziali dello sviluppo per salvaguardare i diritti degli utenti.
Le vulnerabilità che hanno portato alla violazione rappresentano un rischio significativo per l’uso improprio delle informazioni personali, rendendo cruciale l’adozione di misure preventive adeguate.
La sanzione attuale si aggiunge ai 2,8 miliardi di euro totali già imposti a Meta per violazioni simili, anche se solo 17 milioni di euro sono stati effettivamente riscossi a causa delle controversie legali in corso.
Meta ha annunciato la sua intenzione di fare appello contro la decisione del DPC, ribadendo il suo impegno nella protezione dei dati degli utenti e le misure adottate per garantire la sicurezza sulle sue piattaforme.