L’intelligenza artificiale sta entrando in una nuova fase. Se fino a oggi siamo stati abituati a strumenti capaci di generare testi, immagini o analisi su richiesta dell’utente, stanno ora emergendo i cosiddetti agenti di intelligenza artificiale (AI Agents): sistemi in grado non solo di elaborare informazioni, ma anche di svolgere autonomamente attività operative.

Questi strumenti possono inviare e-mail, compilare moduli, effettuare prenotazioni, interrogare banche dati, dialogare con altri software e prendere decisioni entro i limiti del mandato ricevuto. Una trasformazione che apre scenari nuovi anche sotto il profilo della protezione dei dati personali.

L’arrivo dell’AI Act non sostituisce il GDPR. Le due normative operano su piani diversi ma complementari. L’AI Act disciplina sviluppo, immissione sul mercato e utilizzo dei sistemi di intelligenza artificiale, classificandoli in base al rischio. Il GDPR, invece, continua a regolare ogni trattamento di dati personali effettuato attraverso tali sistemi. In pratica, un’organizzazione che utilizza un agente di IA deve rispettare entrambe le discipline.

Uno degli aspetti più delicati riguarda l’individuazione delle responsabilità. Quando un agente di IA viene utilizzato da un’azienda per svolgere attività aziendali, sarà normalmente l’organizzazione stessa a ricoprire il ruolo di titolare del trattamento, poiché decide finalità e modalità dell’utilizzo.

Il fornitore della piattaforma potrà invece operare come responsabile del trattamento, salvo il caso in cui utilizzi autonomamente i dati raccolti per proprie finalità, come l’addestramento dei modelli o il miglioramento dei servizi. In queste ipotesi, la ripartizione delle responsabilità diventa più complessa e deve essere definita con precisione nei rapporti contrattuali. Quando l’agente interagisce con servizi esterni, inoltre, ogni soggetto coinvolto può effettuare un proprio trattamento di dati personali, rendendo indispensabile mappare correttamente tutti i ruoli previsti dal GDPR.

Un altro punto centrale riguarda la base giuridica. Uno degli errori più frequenti è ritenere che, una volta autorizzato l’utilizzo dell’agente, ogni operazione successiva sia automaticamente lecita. Non è così. Ogni trattamento di dati personali deve avere una specifica base giuridica e rispettare il principio di limitazione della finalità previsto dal GDPR.

Se, ad esempio, un agente accede a servizi esterni, combina dati provenienti da fonti differenti o tratta categorie particolari di dati, come quelli sanitari, il titolare deve verificare che ogni operazione sia realmente necessaria, proporzionata e conforme alla normativa. L’autonomia dell’intelligenza artificiale non elimina gli obblighi previsti dal GDPR.

La vera novità degli agenti intelligenti è la loro capacità di agire. Non si limitano più a suggerire una risposta, ma possono prendere decisioni operative ed eseguire automaticamente determinate attività. Per questo torna centrale il tema delle decisioni automatizzate, già disciplinato dall’articolo 22 del GDPR.

Quando le decisioni dell’IA possono produrre effetti giuridici o incidere significativamente sulle persone, deve essere garantita una reale supervisione umana. L’intervento dell’uomo non può essere soltanto formale: deve permettere di verificare, interrompere o modificare le decisioni assunte dall’agente.

L’utilizzo di agenti autonomi comporta anche nuovi rischi sul piano della sicurezza informatica. Questi sistemi possono interagire con più applicazioni, elaborare grandi quantità di dati e ricevere istruzioni provenienti dall’esterno. Aumentano quindi i rischi di manipolazioni, accessi non autorizzati o trattamenti illeciti.

Le organizzazioni dovrebbero adottare misure di sicurezza adeguate, limitare i privilegi concessi agli agenti, registrare le operazioni effettuate e prevedere meccanismi di controllo sulle attività più critiche. In molti casi diventa inoltre opportuno, se non necessario, effettuare una Valutazione d’Impatto sulla Protezione dei Dati (DPIA) prima di mettere in funzione il sistema.

L’intelligenza artificiale può agire con livelli crescenti di autonomia, ma la responsabilità resta umana. Per questo è fondamentale definire preventivamente ruoli e responsabilità, documentare le finalità dei trattamenti, garantire la tracciabilità delle operazioni e mantenere un adeguato livello di supervisione.

L’innovazione non elimina gli obblighi previsti dal GDPR; al contrario, rende ancora più importante applicarli correttamente. AI Act e GDPR condividono infatti lo stesso principio di fondo: l’intelligenza artificiale deve rimanere uno strumento al servizio delle persone e non sostituire la responsabilità di chi la utilizza.