Conformità AI GDPR con Audact

Come Audact gestisce il GDPR

GDPR Article 22: processo decisionale automatizzato e AI

L'Article 22 dà a ogni interessato il diritto di non essere soggetto a una decisione basata esclusivamente su trattamento automatizzato — inclusa la profilazione — che produce effetti giuridici o lo riguarda in modo simile significativamente. Per i deployer AI questa è la disposizione più rilevante nel GDPR: un sistema AI che rifiuta un prestito, respinge un candidato, attiva un blocco antifrode o pianifica un'audizione disciplinare senza una revisione umana significativa rientra direttamente nell'Article 22.

Esistono percorsi leciti: consenso esplicito, necessità per un contratto, o autorizzazione ai sensi del diritto dell'Unione/Stato membro con garanzie adeguate. In tutti i casi il titolare del trattamento deve fornire informazioni significative sulla logica coinvolta, il significato del trattamento, e dare all'interessato il diritto di ottenere l'intervento umano, esprimere un punto di vista e contestare la decisione. La Corte di Giustizia dell'Unione Europea ha confermato in SCHUFA (C-634/21, 2023) che il punteggio probabilistico utilizzato da terze parti per guidare una decisione è esso stesso «processo decisionale automatizzato» — ampliando l'Article 22 per i fornitori AI.

Come i sistemi AI attivano gli obblighi di protezione dei dati GDPR

L'addestramento, il fine-tuning e l'inferenza su dati personali sono ciascuno attività di trattamento distinte ai sensi dell'Article 4(2), e ciascuna richiede la propria base giuridica ai sensi dell'Article 6. Gli agenti vocali, i chatbot e i flussi di lavoro agentici ingeriscono abitualmente nomi, numeri di telefono, dati biometrici vocali e contenuti che rivelano salute, convinzioni o sessualità — il che può elevare il trattamento a dati di categoria speciale ai sensi dell'Article 9, richiedendo una base più solida come il consenso esplicito o il pubblico interesse rilevante.

Una valutazione d'impatto sulla protezione dei dati (Article 35) è di fatto obbligatoria per la maggior parte dei deployment AI rivolti ai clienti: combinano il monitoraggio sistematico, nuove tecnologie e spesso interessati vulnerabili. I titolari del trattamento devono anche soddisfare gli obblighi di trasparenza degli Articoli 13-14 al momento della raccolta dei dati — un obbligo che gli agenti vocali AI spesso non riescono a rispettare perché la divulgazione avviene troppo tardi nella conversazione.

Trasferimenti di dati transfrontalieri ai sensi del GDPR per i fornitori AI

Il Capitolo V del GDPR limita i trasferimenti di dati personali al di fuori dello SEE. Dopo Schrems II, i titolari del trattamento devono condurre una valutazione dell'impatto del trasferimento ogni volta che utilizzano le Clausole Contrattuali Standard, e il Quadro EU-USA sulla Privacy dei Dati fornisce attualmente l'unico ponte di adeguatezza verso gli Stati Uniti. Molti provider AI popolari (OpenAI, Anthropic, Google) trattano i dati UE su infrastrutture con sede negli USA ai sensi del DPF o delle SCC, il che sposta l'onere della due diligence sul cliente.

Audact risolve questo problema operando esclusivamente all'interno dell'UE: il traffico di inferenza, i metadati, le chiavi e i backup rimangono all'interno di AWS Francoforte e Amsterdam. Non si verifica mai alcun trasferimento ai sensi del Capitolo V, eliminando il sovraccarico TIA e rimuovendo la dipendenza dalla stabilità politica del DPF.

Ruoli di elaborazione dei dati

Audact opera come responsabile del trattamento dei dati. Il cliente rimane il titolare del trattamento dei dati in ogni momento. Audact tratta i dati esclusivamente per conto e su istruzioni del titolare del trattamento.

Accordo sul trattamento dei dati

Il nostro DPA standard è disponibile su /legal/dpa. I clienti Enterprise possono richiedere un DPA personalizzato.

Domande frequenti

Confronta le leggi di compliance AI dell'UE

Risorse di compliance correlate

• Panoramica sulla conformità EU AI Act Article 50
• Conformità Digital Services Act per l'AI
• Prezzi della piattaforma di compliance Audact