Agenti AI e GDPR / AI Act: cosa deve sapere un'azienda italiana prima di adottarli

4 novembre 2026 · 6 min di lettura

Per un’azienda italiana che valuta l’adozione di agenti AI, la domanda sulla conformità normativa arriva quasi sempre prima di quella sui costi. È una domanda legittima: un agente AI che legge email, gestisce dati di clienti o prende decisioni su prenotazioni e documenti tratta dati personali a tutti gli effetti, e questo lo porta dentro il perimetro di GDPR e AI Act. Vediamo cosa cambia davvero e cosa verificare prima di scegliere un fornitore.

GDPR: titolare, responsabile e base giuridica

Quando un’azienda adotta un agente AI che tratta dati personali — i propri clienti, i propri dipendenti — resta Titolare del trattamento di quei dati. Il fornitore dell’agente agisce tipicamente come Responsabile del trattamento ai sensi dell’art. 28 GDPR, sulla base di un accordo di trattamento dati (Data Processing Agreement) che definisce per quali finalità, con quali misure di sicurezza e per quanto tempo i dati vengono trattati. Verificare che questo accordo esista, e che sia chiaro, è il primo controllo da fare prima di adottare qualsiasi agente AI che tocchi dati di clienti o dipendenti.

Cosa chiede in più l’AI Act

L’AI Act europeo classifica i sistemi di intelligenza artificiale in base al rischio. La maggior parte degli agenti AI aziendali usati per prenotazioni, archiviazione documentale o supporto operativo rientra in categorie a rischio limitato, ma questo non significa nessun obbligo: restano richiesti trasparenza verso l’utente finale (sapere di interagire con un sistema automatizzato) e tracciabilità delle decisioni prese dal sistema.

Domande utili da fare a un fornitore

• Dove sono ospitati i dati, e in quale regione (Europa è il criterio più semplice per restare allineati al GDPR)?
• Esiste un Data Processing Agreement firmabile, con finalità e tempi di conservazione chiari?
• Come vengono gestite le richieste di accesso, rettifica o cancellazione dei dati personali?
• Il sistema è trasparente con l’utente finale sul fatto che sta interagendo con un agente automatizzato?

Il nostro approccio

OMA Agents ospita i dati in Europa e agisce come Responsabile del trattamento per i dati trattati per conto dei propri clienti, su base di un accordo di trattamento dati dedicato. I dettagli completi sono nella nostra Privacy Policy.