Agenti IA e GDPR: cosa chiedono già le autorità alle imprese

Cosa cambia quando l’IA passa all’azione

Un assistente conversazionale risponde alle sue domande. Un agente riceve un obiettivo (“rispondi alle richieste di preventivo”, “riconcilia le fatture del mese”) e decide da solo i passaggi: apre la casella di posta, consulta il CRM, compila un modulo, invia la risposta. Per farlo gli servono account, chiavi API e permessi sui sistemi aziendali.

La CNIL e il Consiglio francese per l’IA e il digitale (CIANum) parlano di un salto di scala. Un agente può attingere a molte fonti collegate tra loro, conservare memoria da una sessione all’altra e agire su ciò che trova. I dati transitano da un servizio all’altro e l’interessato perde traccia di come vengono usati. Nota esplorativa CNIL/CIANum, luglio 2026

Il GDPR non dedica un capitolo agli agenti, ma valgono le regole che si applicano a qualsiasi trattamento: una finalità definita, solo i dati necessari, una sicurezza adeguata, un titolare identificato. Art. 5, par. 1, e art. 24 La differenza è che rispettarle diventa molto più difficile quando è il sistema a scegliere da solo che strada prendere.

Il caso spagnolo: un agente con credenziali valide

Il 14 settembre 2026 l’AEPD ha riferito sul suo blog di aver ricevuto la prima notifica di una violazione dei dati personali causata da un attacco eseguito tramite un agente IA, costruito su un noto modello linguistico. Secondo la notifica, l’agente ha cercato vulnerabilità in file generici ed è riuscito ad autenticarsi correttamente. Una volta dentro l’applicazione ha cercato da solo nuove falle, fino a trovarsi in condizione di modificare dati personali e accedere alle fatture.

L’AEPD mette tre paletti. Le informazioni provengono dall’organizzazione che ha notificato e sono ancora in fase di analisi. L’uso di un modello di IA noto non significa che il modello o il fornitore siano stati compromessi. E una singola notifica non fa una tendenza.

L’autorità ne ricava comunque alcune indicazioni pratiche per chi tratta dati:

• Includa gli attacchi condotti o assistiti dall’IA nell’analisi dei rischi di ogni trattamento, invece di lasciarli sotto le voci “malware” o “accesso non autorizzato”.
• Riveda i tempi di risposta: una procedura pensata per un attaccante umano può essere troppo lenta per un agente.
• Dia più peso alle identità e alle credenziali. Un agente con un account, una chiave API o un token con permessi eccessivi si sposta in fretta da un servizio all’altro.
• Mantenga la supervisione umana, ma la affianchi con meccanismi di rilevamento e contenimento capaci di reagire in tempo.

Qui l’agente era l’attaccante, ma le stesse lezioni valgono per gli agenti che installa la sua azienda: un account con accesso a tutto è pericoloso sia in mano a un agente altrui sia in mano a un agente suo che commette un errore.

Cosa dicono le autorità

CNIL: solo i dati necessari, una persona sulle azioni critiche, tutto tracciato

La nota esplorativa della CNIL e del CIANum, pubblicata il 20 luglio 2026, non è una linea guida formale, ma entra nel concreto. Questi i punti che interessano a chi sta per mettere al lavoro un agente:

• Con più agenti, modelli e servizi di terzi, deve restare possibile dire chi è il titolare del trattamento e chi è il responsabile del trattamento.
• L’agente deve trattare solo i dati strettamente necessari al compito. Se va a prendere email, cronologia di navigazione o file di cui il compito non ha bisogno, viola il principio di minimizzazione.
• Ogni agente dovrebbe avere una memoria propria, senza accesso automatico a quella degli altri, e le informazioni conservate dovrebbero scadere dopo un certo tempo.
• Sulle azioni critiche decide una persona. La nota propone di classificare le azioni per livello di rischio (accedere ai dati, cancellarli, trasferirli fuori dal sistema), di chiedere una convalida prima di quelle più delicate e di prevedere un pulsante che fermi l’agente in qualsiasi momento.
• Deve essere possibile ricostruire l’intero processo: quali servizi ha chiamato l’agente, cosa si sono scambiati e in quale ordine.
• Per le persone diventa più difficile esercitare i propri diritti. Cancellare un dato in un punto non garantisce che sia sparito dalla memoria di tutti gli agenti, e chi vuole chiedere la cancellazione può non sapere quale agente ha raccolto i suoi dati né a chi rivolgersi.

ICO: consultazione aperta fino al 20 novembre

L’8 ottobre 2026 l’ICO ha avviato una consultazione pubblica di sei settimane sull’IA agentica, rivolta sia a chi sviluppa questi sistemi sia a chi li usa. Le domande riguardano sicurezza, trasparenza, responsabilizzazione, decisioni automatizzate, correttezza e limitazione della finalità, e liceità del trattamento. Le risposte confluiranno nelle future linee guida e nel codice di condotta su IA e decisioni automatizzate che l’ICO sta preparando.

L’ICO applica il GDPR del Regno Unito (UK GDPR), che non coincide più con quello dell’UE, ma i principi in gioco sono gli stessi. Richard Nevinson, direttore della regolamentazione tecnologica dell’ICO, ha riassunto così la posizione dell’autorità: il fatto che gli agenti IA agiscano in autonomia “non è una scusa per una conformità carente”.

A che punto sono le imprese

Uno studio condotto da Censuswide per IBM su 3.221 dirigenti di aziende con mille o più dipendenti in otto paesi d’Europa e Medio Oriente fotografa la situazione. L’80% ha dichiarato che nell’ultimo anno un incidente legato all’IA è arrivato al consiglio di amministrazione o al vertice aziendale, ma solo il 40% ha poi cambiato le proprie regole di governance dell’IA. Il 35% ha già agenti IA in produzione, e solo il 37% dice che la propria governance è stata pensata per crescere insieme a loro.

Prima di collegare un agente ai dati aziendali

Risponda per iscritto a queste domande prima che l’agente riceva il suo primo account. Su quelle risposte si costruisce la documentazione che il Garante per la protezione dei dati personali può chiederle.

A cosa serve e chi ne risponde?

Descriva il compito in una frase e indichi il nome della persona che risponde dell’agente. La finalità va definita prima del trattamento. Se l’agente individua un nuovo possibile uso dei dati, non per questo quell’uso diventa lecito: vale la regola della compatibilità con la finalità iniziale. Art. 5, par. 1, lett. b), e art. 6, par. 4

A quali dati e sistemi accede?

Dia all’agente un account proprio, mai quello di un dipendente, con i soli permessi che servono al compito. Per impostazione predefinita il trattamento deve limitarsi ai dati necessari per ciascuna finalità: quanti se ne raccolgono, fin dove arriva il trattamento, per quanto tempo si conservano e chi può accedervi. Art. 25, par. 2 Un agente che risponde alle richieste di preventivo non ha alcun motivo di leggere la cartella del personale.

Cosa può fare senza chiedere?

Separi quello che l’agente fa da solo (leggere, riassumere, preparare una bozza) da quello che resta in attesa di approvazione (inviare ai clienti, cancellare, pagare, comunicare dati a terzi). Se l’agente prende da solo una decisione che produce effetti giuridici o incide in modo analogo e significativo su una persona, come rifiutare una candidatura o un finanziamento, si entra nel regime delle decisioni automatizzate, con diritto all’intervento umano. Art. 22 Secondo la CNIL quell’intervento deve essere reale e pesare sulla decisione finale: cliccare “approva” senza guardare non conta.

Riesce a ricostruire cosa ha fatto?

Attivi log che mostrino quali dati l’agente ha letto, quali azioni ha compiuto, quali servizi ha chiamato e quando. Senza questi log non può rispondere a una richiesta di accesso, indagare su un errore né notificare un data breach con i fatti giusti. I log aiutano anche a dimostrare di aver adottato misure di sicurezza adeguate. Art. 32

Serve una DPIA?

Probabilmente sì, se l’agente tratta molti dati di clienti o dipendenti. Il Comitato europeo per la protezione dei dati (EDPB) considera l’uso innovativo di nuove soluzioni tecnologiche uno dei criteri che fanno propendere per una valutazione d’impatto sulla protezione dei dati (DPIA), e quando i criteri sono due la valutazione di regola è necessaria. Art. 35; Linee guida WP248 rev.01 Dati su larga scala, dati di persone vulnerabili, incrocio di fonti diverse: un agente riunisce facilmente più di uno di questi criteri.

Cosa prevede il contratto con il fornitore?

Il fornitore dell’agente tratta i dati per conto della sua azienda: è quindi responsabile del trattamento e serve un contratto con i contenuti dell’art. 28. Verifichi tre cose: se i dati vengono usati per addestrare modelli, dove sono conservati e quali altri servizi chiama l’agente. Ognuno di questi servizi è un sub-responsabile del trattamento, che lei deve autorizzare. Art. 28, parr. 2 e 3

Dove va registrato?

Aggiunga il trattamento al registro delle attività di trattamento, con la finalità, le categorie di dati, i destinatari e le misure di sicurezza. Art. 30 Il modello di registro dei trattamenti ha un foglio già pronto per farlo.

Se l’agente sbaglia o viene usato contro di lei

Un agente che invia dati al cliente sbagliato, cancella record o espone la scheda di un dipendente causa una violazione dei dati personali come qualsiasi altra. Se c’è un rischio per le persone, ha 72 ore dal momento in cui ne ha avuto conoscenza per notificarla al Garante, con la procedura telematica. Art. 33, par. 1 Se non sa ancora tutto, notifichi con quello che ha e completi in seguito. Art. 33, par. 4

Quello che distingue un incidente causato da un agente è la velocità: in un minuto può aver compiuto centinaia di azioni. Scriva nel piano di risposta come si spegne l’agente, chi revoca le sue credenziali e dove si trovano i log. La guida sulle 72 ore e il kit di gestione del data breach valgono anche in questi casi senza modifiche: basta aggiungere l’agente all’elenco dei sistemi e il passaggio per fermarlo.

Domande frequenti

Se l’agente è di un grande fornitore, la responsabilità è sua?

No. Se è la sua azienda a decidere di usare l’agente, per quale scopo e su quali dati, la titolare del trattamento è lei. Il fornitore è responsabile del trattamento e risponde di quanto gli impongono il contratto e l’art. 28.

I termini di servizio del fornitore mi danno una base giuridica?

No. La base giuridica spetta a lei e dipende dalla finalità: esecuzione di un contratto con il cliente, legittimo interesse, consenso o un’altra. I termini di servizio regolano il rapporto con il fornitore, non il trattamento dei dati dei suoi clienti. Art. 6, par. 1

Il Garante ha già pubblicato indicazioni sugli agenti IA?

Al 29 ottobre 2026 non abbiamo trovato linee guida del Garante sugli agenti IA. L’IA agentica compare tra i temi discussi al G7 delle autorità per la protezione dei dati, come riporta il comunicato del Garante del 26 giugno 2026, ma senza indicazioni pratiche per le imprese. Nell’UE, le indicazioni più complete che abbiamo trovato sono gli orientamenti dell’AEPD, l’autorità spagnola, sull’IA agentica, del febbraio 2026, scritti per titolari e responsabili del trattamento. La nota della CNIL e le raccomandazioni dell’AEPD citate sopra li completano.

Fonti

• AEPD, Primera notificación de una brecha de datos personales causada por un ataque ejecutado mediante un agente de IA (in spagnolo), 14 settembre 2026
• AEPD, Inteligencia artificial agéntica desde la perspectiva de protección de datos (PDF) (in spagnolo), febbraio 2026
• CNIL, IA agentique et données personnelles: note exploratoire CNIL/CIANum e testo integrale (PDF) (in francese), 20 luglio 2026
• ICO, Agentic AI call for evidence (in inglese), dall’8 ottobre al 20 novembre 2026
• ICO, comunicato dell’8 ottobre 2026 sugli agenti IA (in inglese)
• IBM, comunicato del 15 ottobre 2026 sullo studio “The New Realities of AI Governance” (in inglese)
• Regolamento (UE) 2016/679 (GDPR), artt. 5, 6, 22, 24, 25, 28, 30, 32, 33 e 35 (EUR-Lex)
• Gruppo di lavoro Articolo 29 (approvate dall’EDPB), Linee guida WP248 rev.01 sulla valutazione d’impatto sulla protezione dei dati
• Garante privacy, comunicato del 26 giugno 2026 “G7 privacy: Principi comuni a tutela dei minori online e per un’IA rispettosa dei diritti”
• Garante privacy, Data Breach: violazioni di dati personali e procedura telematica per la notifica

Aggiornato: 29 ottobre 2026. Questo articolo offre informazioni generali e non sostituisce una consulenza legale su un caso concreto.