L’utilizzo dell’Intelligenza artificiale implica importanti considerazioni sul tema della responsabilità e rispetto delle regole di protezione nell’utilizzo dei dati personali. Su questo argomento, determinante anche per chi esercita la professione di amministratore condominiale, è intervenuto l’avvocato Giulio Marchesi, presidente dell’Ordine degli Avvocati di Bergamo.
La legge
«Il tema del trattamento dei dati personali si è posto in maniera prepotente nel momento in cui le tecnologie hanno consentito di trattare in forma elettronica grandi quantità di informazioni. I nostri dati personali sono diventati un prodotto, un bene scambiabile. Tutto ciò che riguarda la nostra sfera personale rischia di essere del tutto mercificato e compromesso in barba agli articoli 6 e 8 del Trattato sui diritti fondamentali dell’Unione Europea, che rappresenta la carta fondamentale dei diritti inviolabili dell’individuo, tra cui c’è anche il diritto alla riservatezza della propria vita privata, dei propri dati», ha spiegato l’avvocato.
Nel corso degli anni il tema della privacy ha mutato pelle molte volte, dal famoso Dpr 675 del 1996 al D.Lgs. 196/2003, «ma non è mutata la percezione. La privacy era vista, ed è ancora vissuta, come un adempimento burocratico, una seccatura, magari a pagamento, da assolvere e poi mettere in un cassetto», ha sottolineato Marchesi. L’arrivo del regolamento europeo 679 del 2016, il cosiddetto Gdpr, ha cambiato prospettiva.
«Per prima cosa si è preso coscienza, proprio grazie allo sviluppo delle tecnologie, che esiste un problema di carattere sovranazionale, cioè non è più possibile gestire le regole sul trattamento dei dati solamente all’interno di una nazione».
Il Gdpr
Il Gdpr «si applica sia ai soggetti europei che trattano dati di chiunque nel mondo, sia ai soggetti stranieri che trattano dati di persone europee. Questo regolamento poneva già alcuni paletti, che si trovano all’interno dell’articolo 22 (Processo decisionale automatizzato relativo alle persone fisiche, compresa la profilazione), 32 (Sicurezza del trattamento) e 35 (Valutazione d’impatto sulla protezione dei dati), che poi si sarebbero incrociati con il tema dell’Intelligenza artificiale», ha proseguito Marchesi. Il contesto normativo in cui ci muoviamo adesso, ha precisato il professionista, oltre che del Gdpr, deve tenere conto anche del Regolamento Ue 2024/1689, il cosiddetto Ai Act, il primo quadro normativo globale sull’Intelligenza artificiale. A livello nazionale il riferimento e invece la Legge 132 del 23 settembre 2025, che detta anche specifiche regole per quanto riguarda i professionisti, «che hanno principalmente l’obbligo della trasparenza e della responsabilità nell’utilizzo dell’Intelligenza artificiale, vista sempre come uno strumento che partecipa alle decisioni fino a un certo punto. L’ultimo tratto deve essere umano», ha sottolineato il relatore.
Rischi e conservazione
Il trattamento dei dati deve essere valutato secondo un approccio risk based, cioè che valuta il rischio in relazione alla compromissione delle libertà e dei diritti delle persone. «Morosità, azioni giudiziarie, il modo in cui si comunicano determinate informazioni sono tutti catalogabili come dati particolari, ex sensibili ai sensi dell’articolo 9 del regolamento europeo. Tutti dati di grande delicatezza, inseriti in gestionali che via via stanno incorporando anche sistemi di Intelligenza artificiale, che possono mettere in pericolo la libertà o i diritti delle persone», ha ribadito Marchesi. Se l’articolo 22 del regolamento vieta il trattamento dei dati personali in forma totalmente automatizzata, l’articolo 32 insiste sulle misure di sicurezza da adottare nel trattamento e nella protezione di queste informazioni. «Nel 99,9% dei casi l’utilizzo dei dati personali avviene attraverso strumenti di elaborazione elettronica. Questo comporta automaticamente la necessità di interrogarsi su dove vengono raccolti i dati, come vengono conservati e protetti, se esiste un sistema di backup e delle strategie di disaster recovery, sui soggetti coinvolti nel trattamento e se sono adeguatamente formati. La formazione è obbligatoria e deve essere documentata», ha incalzato l’avvocato, sottolineando anche come l’articolo 30 del GDPR imponga a titolari e responsabili del trattamento l’obbligo di istituire e mantenere un Registro delle Attività di Trattamento (RoPA), che può essere sottoposto a controlli da parte del Garante della privacy, anche attraverso l’Agenzia delle Entrate, o su segnalazione tramite un esposto. Per non parlare dell’eventualità che si verifichi un data breach, cioè una violazione di sicurezza che comporta l’accesso, la distruzione, la modifica o la divulgazione non autorizzata di dati personali, eventualità che fa scattare una denuncia al Garante della privacy e l’apertura di una istruttoria.
Responsabilità
Un altro principio fondamentale del regolamento europeo e quello dell’accountability, cioè la responsabilizzazione. «In che modalità tenete il registro delle attività di trattamento? Quale formazione avete fatto ai vostri collaboratori? Avete preparato le nomine di responsabili esterni a commercialisti, assicuratori e altri soggetti che trattano nel vostro interesse dati che pero sono affidati a voi come titolari, o avete deciso che non era opportuno? Tutto questo e lasciato alla discrezionalità del titolare del trattamento dei dati», nel rispetto di alcuni saldi principi: la liceità, cioè l’aderenza alla legge, la trasparenza attraverso strumenti d’informativa nei confronti dei soggetti interessati, la minimizzazione, cioè non trattare più dati di quelli che sono realmente necessari, l’indicazione specifica della finalità del trattamento. «Le basi giuridiche su cui si può svolgere il trattamento principalmente sono il consenso, l’obbligo contrattuale, l’obbligo normativo o di legge. C’è poi l’interesse legittimo, che è una modalità un po’ abusata, che prescinde o supera quello che è il consenso dell’interessato, ma presuppone una valutazione di non pericolosità. L’utilizzo dei sistemi di Intelligenza artificiale ai sensi dell’Ai Act e del regolamento europeo sul trattamento dei dati presuppongono che venga messa in atto la Dpia (Data Protection Impact Assessment), cioè la valutazione di rischio sull’utilizzo dello strumento rispetto ai singoli trattamenti, sempre documentata nel registro delle attività di trattamento», ha evidenziato il relatore.
Gli obblighi
«Come professionisti, anche gli amministratori hanno il dovere di esercitare la propria prestazione secondo la regola dell’arte, come sancito dall’articolo 1176, secondo comma, del Codice Civile (…). Pertanto, gli obblighi del professionista nell’utilizzo degli strumenti di Intelligenza artificiale sono la conoscenza delle normative, la formazione e poi essere conseguenti nell’utilizzo di questi strumenti», ha concluso il relatore, ricordando che il corretto trattamento dei dati non si applica solo nei confronti dei soggetti esterni, ma anche all’interno della propria organizzazione. «Quello del trattamento dei dati non è solo un adempimento, ma anche l’occasione per rivedere le proprie modalità di lavoro e gli strumenti che si utilizzano».
di Veronica Monaco
Per approfondire il tema
- Il Convegno ANACI Bergamo declina la rigenerazione urbana in Bit, Bim e Bios
- Bit, BIM e Bios: AI e sicurezza nella gestione condominiale
- Rigenerazione urbana, etica e human capabilities
- Data breach: rischi, obblighi e responsabilità per i professionisti
- Cybersecurity: attacchi, ransomware e difese per aziende
- Bim e Intelligenza artificiale per gestire gli edifici
- AI, IoT e Smart City: guida alle nuove tecnologie e rischi
- Rigenerazione urbana: obblighi, bonifiche e costi ambientali
- Rigenerazione urbana e ruolo dei condomini nelle microcittà
- Rigenerazione urbana, BIM e AI: l’approccio di Lombardini22
- Teleriscaldamento A2A: innovazione e decarbonizzazione urbana
- Prefabbricazione e BIM per la rigenerazione urbana sostenibile