La recente giurisprudenza della Corte di Giustizia dell'Unione Europea (CGUE) ha affermato la prevalenza del diritto alla trasparenza sulle logiche decisionali automatizzate rispetto alla riservatezza degli algoritmi proprietari nei servizi commerciali. Tale orientamento incide profondamente sui sistemi di intelligenza artificiale (IA) che processano dati personali, imponendo obblighi di accountability alle imprese.
Nei contesti ad alto rischio, quali sanità, giustizia, selezioni del personale e concessione di crediti, l'impiego di modelli IA generativi - basati su vasti dataset contenenti informazioni personali sensibili - solleva questioni di conformità al Regolamento (UE) 2016/679 (GDPR), diritto del lavoro e normative settoriali. La Sentenza CGUE del 26 ottobre 2023, causa C-203/22 (Meta Platforms Ireland Ltd v Bundeskartellamt) ha chiarito che le decisioni automatizzate devono essere spiegabili in modo significativo al soggetto interessato.

Contenuti della Sentenza CGUE C-203/22
La pronuncia, relativa a pratiche di profilazione personalizzata, stabilisce:
•    Ai sensi dell'articolo 15 GDPR, il titolare del trattamento deve fornire informazioni comprensibili relative alla logica sottesa al trattamento automatizzato, inclusi i parametri principali di calcolo.
•    L'articolo 22 GDPR preclude decisioni automatizzate con effetti giuridici significativi salvo intervento umano effettivo e spiegazioni chiare; non sono ammissibili clausole generiche.
Tale interpretazione integra il Regolamento (UE) 2024/1689 (AI Act), applicabile dal 1° agosto 2025 per i sistemi ad alto rischio (Allegato III), tra cui credit scoring e gestione del personale. Questi impongono valutazione dei rischi, gestione documentata dei dati e supervisione umana (artt. 9-15 AI Act).

Obblighi per gli Operatori Economici
Le imprese sono chiamate a una responsabilità primaria:
•    Superamento del Segreto Industriale: Le informazioni richieste non ledono il know-how essenziale, purché consentano verifica della correttezza decisionale (Considerando 63 GDPR).
•    Sistemi ad Alto Rischio: Richiedono conformità tecnica (es. tracciabilità dati), gestione rischi e monitoraggio umano (art. 6 AI Act).
•    Catena di Responsabilità: Il "fornitore" e il "distributore" rispondono congiuntamente (art. 28 AI Act); il deployer garantisce spiegabilità verso il destinatario finale.

Il Garante per la protezione dei dati personali italiano ha avviato nel 2025 verifiche su piattaforme IA per profili HR e scoring, in linea con le Linee guida EDPS del 2024 sui sistemi ad alto rischio.
Implicazioni per la Compliance Aziendale

Per un'impresa, bilanciare innovazione e compliance non è un ostacolo, ma un vantaggio competitivo. Adottare un approccio di compliance integrata, permette di costruire algoritmi affidabili, etici e, soprattutto, legalmente inattaccabili.