GDPR e AI per gli ETS: Come Gestire i Dati Sensibili dei Beneficiari

Cosa devono sapere le associazioni, fondazioni e cooperative sociali italiane sul GDPR quando adottano strumenti di intelligenza artificiale che trattano dati sensibili.

Quando un'associazione adotta uno strumento di intelligenza artificiale — anche qualcosa di semplice come un chatbot per lo sportello — si apre una serie di domande sulla gestione dei dati dei beneficiari. Domande che non si possono ignorare, perché gli ETS trattano spesso dati particolarmente sensibili: stato di salute, situazione economica, dati di minori, condizione di vulnerabilità.

Questa guida non sostituisce una consulenza legale specializzata, ma fornisce le basi per capire cosa si deve fare prima di implementare qualsiasi soluzione AI che tocchi i dati delle persone che seguite.

Quali dati trattano tipicamente gli ETS

Prima di capire come applicare il GDPR all'AI, è utile fare un inventario dei dati che un ETS tipicamente gestisce:

• Dati anagrafici di beneficiari, soci e volontari (nome, CF, residenza, contatti)
• Dati di salute: patologie, disabilità, stato di salute mentale — per molti ETS socio-sanitari
• Situazione economica e reddituale: ISEE, accesso a sussidi, condizione di povertà
• Dati di minori: richiedono trattamento speciale e consenso dei genitori/tutori
• Dati giudiziari: per ETS che lavorano con persone in misura alternativa o reinserimento
• Dati relativi a origine etnica o religiosa: per ETS che operano con migranti o minoranze

Tutti i dati contrassegnati dal GDPR come "categorie particolari" (art. 9) — salute, etnia, religione, orientamento sessuale, dati biometrici, ecc. — richiedono una base giuridica specifica e misure di sicurezza rafforzate. Questo si applica anche quando questi dati vengono processati da un sistema AI.

Le basi giuridiche per il trattamento AI negli ETS

Prima di implementare qualsiasi sistema AI che processa dati personali, l'ETS deve identificare la base giuridica del trattamento. Per gli ETS, le più rilevanti sono:

• Consenso esplicito (art. 6.1.a e 9.2.a): la persona acconsente esplicitamente al trattamento AI dei propri dati — deve essere specifico, informato e revocabile
• Esecuzione di un contratto o convenzione (art. 6.1.b): il trattamento è necessario per erogare il servizio concordato
• Interesse legittimo (art. 6.1.f): per trattamenti non invasivi, dopo aver condotto un bilanciamento degli interessi — non applicabile ai dati sensibili ex art. 9
• Finalità di assistenza sociale (art. 9.2.h): specificamente per dati sanitari trattati nell'ambito di servizi socio-sanitari da enti autorizzati

Il principio di privacy by design

Il GDPR richiede che la protezione dei dati sia integrata nel progetto del sistema fin dall'inizio (privacy by design) e che per impostazione predefinita vengano trattati solo i dati necessari (privacy by default). In pratica, quando si sviluppa o si acquista uno strumento AI per un ETS, bisogna assicurarsi che:

• Il sistema raccolga solo i dati strettamente necessari per la finalità dichiarata
• I dati siano conservati per il tempo minimo necessario
• L'accesso sia limitato ai soli operatori che ne hanno bisogno
• I dati siano cifrati sia in transito che a riposo
• Sia possibile esercitare i diritti degli interessati (accesso, rettifica, cancellazione)
• Il fornitore del sistema AI sia nominato come responsabile del trattamento ex art. 28

Quando è necessario il DPO (Data Protection Officer)

Il GDPR rende obbligatoria la nomina di un DPO per gli enti che "trattano su larga scala categorie particolari di dati" (art. 37.1.c). Per molti ETS socio-sanitari che gestiscono dati di salute di molti beneficiari, questa condizione è soddisfatta. Il DPO può essere interno (un operatore formato) o esterno (un consulente privacy). Nel contesto dell'adozione di strumenti AI, il DPO deve essere coinvolto nella valutazione d'impatto (DPIA).

La Valutazione d'Impatto (DPIA) per i sistemi AI

Per i trattamenti "ad alto rischio" — e i sistemi AI che processano dati sensibili su larga scala rientrano tipicamente in questa categoria — il GDPR richiede una Valutazione d'Impatto sulla Protezione dei Dati (DPIA, art. 35). La DPIA deve essere condotta prima di avviare il trattamento e deve analizzare: la necessità e proporzionalità del trattamento, i rischi per i diritti delle persone, le misure per mitigarli.

Checklist pratica per l'ETS che adotta l'AI

• □ Inventario dei dati: quali dati personali tratta il sistema AI?
• □ Base giuridica: su quale base giuridica si fonda il trattamento?
• □ Informativa aggiornata: i beneficiari sono informati del trattamento AI?
• □ Consenso (se applicabile): è raccolto in forma documentata e revocabile?
• □ Registro dei trattamenti (art. 30): il trattamento AI è registrato?
• □ DPA con il fornitore AI: è firmato il contratto di responsabile del trattamento?
• □ DPIA: è stata condotta per i trattamenti ad alto rischio?
• □ DPO: è necessario nominarlo? Se sì, è stato nominato?
• □ Privacy by design: il sistema AI raccoglie solo i dati necessari?
• □ AI Act: il sistema rientra nelle categorie ad alto rischio?

Come Voler.ai ETS gestisce la conformità

Tutti i sistemi AI sviluppati da Voler.ai ETS sono progettati con un approccio GDPR-first: raccogliamo solo i dati necessari, utilizziamo infrastrutture europee certificate, firmiamo sempre il contratto di responsabile del trattamento con l'ente cliente, e supportiamo nella redazione o aggiornamento dell'informativa privacy e del registro dei trattamenti. Quando necessario, collaboriamo con i DPO degli enti o con consulenti legali specializzati.