TL;DR — Dal 2 agosto 2026 scattano gli obblighi di trasparenza dell’art. 50 dell’AI Act per chi usa chatbot e assistenti AI. Ma la vera scadenza operativa è già passata: il 3 luglio 2026 il Garante Privacy ha sanzionato Character.AI per 158.000 euro su informativa, DPIA e minori, e il 7 luglio l’EDPB ha pubblicato due nuove linee guida su web scraping e anonimizzazione. Chi costruisce un agente conversazionale deve leggere AI Act e GDPR insieme, non uno alla volta.
Qualche settimana fa un cliente mi ha chiesto di rivedere il chatbot di supporto vendite che aveva fatto costruire da un fornitore esterno. Tecnicamente funzionava benissimo: rispondeva in italiano, recuperava il catalogo prodotti, proponeva upsell sensati. Ho fatto una domanda semplice: “da dove viene il modello che lo alimenta, e dove finiscono le conversazioni dei tuoi clienti?”. Silenzio. Nessuno se l’era chiesto, né il fornitore né l’azienda. Quella conversazione mi è tornata in mente leggendo, nella stessa settimana, la sanzione del Garante Privacy a Character.AI e le due nuove linee guida dell’EDPB su web scraping e anonimizzazione. Tre notizie diverse, un solo problema: chi costruisce un chatbot oggi tratta l’AI Act come l’unica normativa da rispettare, e il GDPR come un dettaglio da sistemare dopo.
Background: due normative, una sola finestra temporale
L’AI Act (Regolamento UE 2024/1689) procede per tappe: alcuni obblighi sono già in vigore dal 2024-2025, altri arrivano il 2 agosto 2026, altri ancora sono stati rinviati dal cosiddetto Digital Omnibus — il pacchetto di modifiche di semplificazione su cui Consiglio e Parlamento europeo hanno raggiunto un’intesa politica a fine giugno 2026. Il 2 agosto 2026 diventano applicabili gli obblighi di trasparenza dell’articolo 50: chi fornisce o utilizza sistemi che interagiscono con persone fisiche, generano contenuti sintetici o deepfake deve dirlo, in modo chiaro, al più tardi al momento della prima interazione.
Il GDPR, invece, non ha scadenze a data fissa nel periodo: è in vigore dal 2018 e si applica per intero, sempre. Ma negli ultimi venti giorni sono arrivati due segnali che pesano più di una scadenza normativa: un provvedimento sanzionatorio concreto contro un chatbot AI (Character.AI) e due linee guida EDPB che, per la prima volta, entrano nel merito tecnico di come si addestrano i modelli generativi. La distinzione tra fornitore e deployer che l’AI Act introduce per la trasparenza non sostituisce i ruoli di titolare e responsabile del trattamento previsti dal GDPR: un’azienda che integra un chatbot di terzi resta titolare dei dati che quel chatbot raccoglie dai suoi clienti, a prescindere da chi ha addestrato il modello.
Cosa impone davvero l’articolo 50 dell’AI Act dal 2 agosto 2026?
Dal 2 agosto 2026 i fornitori di sistemi che interagiscono direttamente con persone fisiche devono informarle chiaramente di stare parlando con un’AI, mentre i deployer di sistemi di riconoscimento emotivo, categorizzazione biometrica o generatori di deepfake devono darne disclosure esplicita. L’informazione va data al più tardi alla prima interazione, non nascosta in termini e condizioni.
Le Linee guida della Commissione europea (ancora in bozza, ma già di riferimento pratico) chiariscono cosa non basta: un rimando ai termini di servizio, un watermark nei metadati non percepibile dall’utente, o la parola generica “assistente” senza precisare la natura artificiale. Serve invece un messaggio esplicito all’inizio della conversazione o un’icona chiaramente leggibile nel contesto d’uso. Il Digital Omnibus, nel testo di compromesso raggiunto il 6 maggio 2026, ha spostato solo l’obbligo di marcatura tecnica dei contenuti sintetici (art. 50, par. 2) al 2 dicembre 2026 per i sistemi già sul mercato prima del 2 agosto; l’obbligo di trasparenza verso l’utente (art. 50, par. 1) resta fissato al 2 agosto 2026 (Borgognone & Cataleta, Agenda Digitale, 2026).
Cosa ha sanzionato il Garante Privacy a Character.AI, e perché riguarda anche te?
Con il Provvedimento n. 487 del 3 luglio 2026, il Garante Privacy ha sanzionato Character Technologies Inc. (Character.AI) per 158.000 euro per violazioni GDPR che vanno dall’informativa carente alla protezione insufficiente dei minori. Non è una multa per l’AI in astratto: è una multa per pratiche di gestione dati che qualunque azienda con un chatbot potrebbe replicare senza saperlo.
Le contestazioni riguardano l’informativa privacy non conforme e non tradotta in tutte le lingue rilevanti, una valutazione d’impatto (DPIA) presentata in ritardo rispetto all’avvio del trattamento, la designazione tardiva di un rappresentante nell’UE come richiesto dall’art. 27 del GDPR, e la mancata applicazione dei principi di privacy by design e by default a tutela dei minori, in violazione degli artt. 24 e 25. A questo si aggiunge l’uso dei dati conversazionali degli utenti per l’addestramento del modello, senza una base giuridica sufficientemente solida. Come nota l’avvocato Marco Martorana commentando il provvedimento su Altalex, il caso mostra come “trovare un equilibrio tra la spinta all’innovazione tecnologica e il rispetto dei diritti fondamentali previsti dal GDPR” resti la vera sfida per chi sviluppa sistemi conversazionali (Martorana, Altalex, 21 luglio 2026). Nella mia esperienza, questi sono esattamente i quattro punti che un fornitore di chatbot “pronto all’uso” raramente documenta in modo verificabile: chi ti garantisce che l’informativa del tuo bot sia aggiornata, che la DPIA esista, che ci sia un referente UE, che i dati dei tuoi clienti non finiscano nel prossimo ciclo di fine-tuning?
Le nuove linee guida EDPB su web scraping e anonimizzazione cambiano le regole per l’addestramento AI?
Sì: l’EDPB ha adottato il 7 luglio 2026 le Linee guida 03/2026 sul web scraping nel contesto dell’AI generativa e le Linee guida 02/2026 sull’anonimizzazione, entrambe in consultazione pubblica fino al 30 ottobre 2026. Per la prima volta un organismo europeo entra nel dettaglio tecnico di quando i dati raschiati dal web per addestrare un modello restano dati personali e quando un dataset può dirsi davvero anonimo.
Le linee guida sul web scraping affrontano le basi giuridiche disponibili per raccogliere dati dal web ai fini di addestramento — in primis il legittimo interesse ex art. 6, par. 1, lett. f) — e le condizioni più stringenti richieste quando lo scraping intercetta categorie particolari di dati (art. 9 GDPR), come opinioni politiche, orientamento sessuale o dati sanitari che compaiono in post pubblici. Le linee guida sull’anonimizzazione, dal canto loro, introducono un test in tre criteri cumulativi: nessuna possibilità di isolare un singolo record, nessuna possibilità di collegare record fra loro (linkability), nessuna possibilità di inferire informazioni su un individuo a partire dal dataset. Come ha dichiarato la presidente EDPB Anu Talus, le linee guida “rappresentano un passo avanti importante nel chiarire la nozione di dati anonimi, fissando standard chiari che favoriscono l’utilizzo dei dati salvaguardando al contempo i diritti fondamentali delle persone” (Talus, cit. in ANSA, 17 luglio 2026). L’avvocato Giulio Coraggio (DLA Piper) osserva che si tratta del primo aggiornamento organico delle regole sui dati anonimi in oltre un decennio (Coraggio, dirittoaldigitale.com, 20 luglio 2026).
| Documento | Cosa introduce | Stato al 21/07/2026 |
|---|---|---|
| AI Act, art. 50 | Trasparenza su interazione con AI, deepfake, contenuti sintetici | Applicabile dal 2 agosto 2026 |
| Digital Omnibus (compromesso 6 mag 2026) | Rinvio della sola marcatura tecnica contenuti sintetici | Al 2 dicembre 2026, non ancora in vigore |
| EDPB Linee guida 03/2026 | Basi giuridiche per web scraping in addestramento AI | Adottate 7 luglio 2026, consultazione fino al 30/10/2026 |
| EDPB Linee guida 02/2026 | Test a 3 criteri per l’anonimizzazione | Adottate 7-8 luglio 2026, consultazione fino al 30/10/2026 |
| Garante Privacy, Provv. 487/2026 | Sanzione 158.000€ a Character.AI | Deciso 3 luglio 2026 |
Il tuo chatbot aziendale è pronto per il 2 agosto? Cosa controllare adesso
Prima del 2 agosto 2026 vanno verificati quattro elementi concreti: il messaggio di trasparenza AI a inizio conversazione, l’informativa privacy aggiornata e comprensibile, l’esistenza di una DPIA per il chatbot, e la base giuridica per l’eventuale riuso delle conversazioni a fini di addestramento o miglioramento del modello. Non basta chiedere al fornitore “siete conformi?”: serve la documentazione.
- Messaggio di identificazione AI: un testo esplicito all’inizio della chat, non solo nei termini di servizio.
- Informativa privacy specifica per il chatbot: deve indicare chi tratta i dati, per quanto tempo, e se vengono usati per addestrare modelli.
- DPIA documentata: obbligatoria quando il trattamento comporta rischi elevati, come nel caso di chatbot che raccolgono dati di minori o categorie particolari.
- Contratto col fornitore: deve chiarire ruoli di titolare/responsabile e vietare (o regolare esplicitamente) il riuso delle conversazioni per il training.
GDPR e AI Act si sovrappongono: chi controlla cosa?
In Italia il Garante Privacy resta l’autorità competente per le violazioni GDPR, mentre l’AI Act introduce nuove autorità di vigilanza per il mercato (market surveillance authorities) e uffici nazionali per l’AI, ancora in fase di definizione in molti Stati membri. Le due vigilanze non si escludono: uno stesso chatbot può violare contemporaneamente l’art. 50 dell’AI Act (mancata trasparenza) e il GDPR (base giuridica insufficiente per il trattamento dei dati raccolti in conversazione).
Il caso Character.AI lo dimostra bene: la sanzione del Garante è arrivata su basi GDPR, non sull’AI Act, ma riguarda esattamente il tipo di sistema — un chatbot conversazionale rivolto anche a minori — che dal 2 agosto dovrà anche rispettare gli obblighi di trasparenza dell’art. 50. Chi pensa che “essere in regola con l’AI Act” esaurisca il tema si sbaglia: sono due cornici normative che si sommano, non si sostituiscono.
Implicazioni pratiche per le PMI italiane
Per una PMI che sta costruendo o ha già in produzione un chatbot — che sia un agente Copilot Studio, un bot su sito web o un assistente WhatsApp — il messaggio pratico è questo: la trasparenza AI Act e la conformità GDPR vanno verificate nello stesso audit, non in due momenti separati. Il rischio concreto non è tanto la sanzione dell’AI Act, i cui meccanismi sanzionatori per gli obblighi di trasparenza sono ancora in fase di consolidamento a livello nazionale, quanto la sanzione GDPR, che il Garante già applica con provvedimenti come quello a Character.AI.
Tre azioni concrete da fare entro il 2 agosto: primo, aggiungere un messaggio di trasparenza esplicito a ogni agente conversazionale rivolto al pubblico, anche se sviluppato internamente con strumenti low-code. Secondo, verificare con il fornitore del modello (se esterno) se e come i dati delle conversazioni vengono riutilizzati, e pretendere una risposta scritta, non verbale. Terzo, se il chatbot tratta dati di minori o categorie particolari, avviare (o aggiornare) la DPIA prima, non dopo un reclamo. Le nuove linee guida EDPB su anonimizzazione, pur ancora in consultazione, danno già un criterio pratico utile: se un fornitore dichiara “i dati sono anonimizzati”, verificate che superino il test a tre criteri (isolamento, collegabilità, inferenza) e non un generico “abbiamo tolto il nome”.
FAQ
Il mio chatbot interno (helpdesk, FAQ) deve rispettare l’art. 50 dell’AI Act?
Sì, se interagisce con persone fisiche, anche solo dipendenti o clienti interni. L’obbligo di identificazione AI si applica a qualsiasi sistema pensato per conversare con persone, salvo i casi in cui la natura artificiale sia già evidente dal contesto d’uso.
Character.AI è extra-UE: perché il Garante italiano ha potuto sanzionarlo?
Il GDPR si applica anche a titolari extra-UE quando offrono servizi a persone che si trovano nell’Unione (criterio del targeting, art. 3 GDPR). Character.AI era comunque tenuta a nominare un rappresentante nell’UE ex art. 27, obbligo che il provvedimento contesta come tardivo.
Cosa rischio se non aggiorno l’informativa privacy del mio assistente AI?
Rischi una sanzione GDPR fino al 4% del fatturato globale annuo o 20 milioni di euro (il maggiore tra i due), oltre al danno reputazionale. Il Provvedimento 487/2026 mostra che il Garante contesta proprio le informative incomplete o non multilingue come primo elemento di violazione.
Le linee guida EDPB su web scraping e anonimizzazione sono già vincolanti?
No, sono in consultazione pubblica fino al 30 ottobre 2026 e potrebbero essere modificate prima dell’adozione definitiva. Rappresentano però l’orientamento interpretativo ufficiale degli organismi che vigilano sul GDPR in tutta Europa, quindi vanno già considerate nella progettazione dei sistemi.
Conclusioni
Il 2 agosto 2026 sarà la data che tutti citeranno per l’AI Act. Ma la scadenza che conta davvero, per chi gestisce un chatbot aziendale, è già passata: è il 3 luglio, giorno del provvedimento contro Character.AI, ed è il 7 luglio, giorno delle linee guida EDPB. I dati confermano che il rischio concreto oggi non è “non essere pronti per l’AI Act”: è avere un chatbot che tratta dati personali senza una base giuridica solida, un’informativa aggiornata e una DPIA documentata — cose che il GDPR chiede da otto anni. Nella mia esperienza di trent’anni in questo settore, le normative che si sovrappongono non si annullano: si sommano, e chi ignora una delle due prima o poi la incontra comunque, di solito nella forma meno comoda: un provvedimento sanzionatorio.
Riferimenti
Fonti verificate al 21 luglio 2026.
- [B] Garante per la protezione dei dati personali (2026, 3 luglio). Provvedimento n. 487/2026 — Character Technologies Inc. Sanzione di 158.000 euro.
- [B] Martorana, M. (2026, 21 luglio). Character.AI sanzionata dal Garante Privacy: cosa impone il GDPR ai chatbot. Altalex.
- [B] European Data Protection Board (2026, 8 luglio). EDPB adopts guidelines on web scraping and anonymisation. Comunicato ufficiale EDPB.
- [B] Stefanelli, S. (2026, 9 luglio). Anonimizzazione dei dati: le nuove linee guida EDPB. Agenda Digitale.
- [B] Coraggio, G. (2026, 20 luglio). Le nuove linee guida EDPB sull’anonimizzazione. dirittoaldigitale.com — DLA Piper.
- [B] ANSA (2026, 17 luglio). Privacy, EDPB: nuove linee guida su anonimizzazione e web scraping.
- [B] Borgognone, G., & Cataleta, A. (2026, 5 giugno). Obblighi di trasparenza AI Act: cosa devono fare le aziende dal 2 agosto. Agenda Digitale.
- [C] Borio, L. / Argos New Dreams (2025, 22 novembre). AI Act: il rinvio al 2027 per i sistemi ad alto rischio. Cosa significa davvero per l’Europa? (fonte autobiografica).
Contenuto a scopo divulgativo, generato con l’assistenza di AI. Richiede revisione umana prima della pubblicazione. Contatto: luca@borio.me.
Link correlati
- AI Act e Copilot Studio: cosa cambia per il tuo agente aziendale (bozza correlata, in revisione)
- AI Act: il rinvio al 2027 per i sistemi ad alto rischio. Cosa significa davvero per l’Europa?
- Microsoft Copilot Studio: come ho costruito “Bussola” in una notte, tra birre e un’amicizia
- L’ultima parola della Cassazione: quando la mail aziendale resta privata
Rispondi