- Conviene preoccuparsi davvero, o è un problema solo dei colossi come Uber?
- Cosa ha fatto esattamente Uber e perché è stato considerato illegale?
- Cosa dice esattamente la legge: quando un algoritmo diventa illegale?
- Quali aziende italiane sono già state sanzionate per lo stesso motivo?
- Tre scenari concreti: come si manifesta il problema in un'azienda italiana?
- Quali strumenti e approcci esistono per mettersi in regola?
- Perché se ne parla adesso: il mercato AI italiano è davvero pronto per queste regole?
- Come si parte concretamente: i passi per verificare la tua situazione?
- Quali sono gli errori più comuni che portano alle sanzioni?
- Come capire se i tuoi sistemi automatizzati sono già in regola?
- Allora, la tua azienda è davvero a rischio o puoi stare tranquillo?
- Come la vediamo in SHM
- Domande frequenti
- L’autorità olandese ha multato Uber con 824,99 milioni di euro per aver usato algoritmi che sospendevano i driver in modo completamente automatico, senza possibilità di intervento umano, violando l’Art. 22 del GDPR.
- L’Art. 22 del GDPR vieta le decisioni interamente automatizzate che producono effetti significativi sulle persone: scoring, ranking, sospensioni e blocchi rientrano tutti in questa categoria.
- Il Garante Privacy italiano ha già sanzionato aziende energetiche (7,72 milioni) e Foodinho/Glovo (2,6 milioni) per violazioni simili: il rischio è concreto anche per le PMI italiane.
- Prima di ricevere una notifica, mappa i tuoi flussi decisionali automatizzati e verifica che rispettino trasparenza, diritto di opposizione e supervisione umana.
825 milioni di euro: è la multa che l’autorità olandese per la protezione dei dati ha inflitto a Uber per aver sospeso automaticamente i driver senza intervento umano. Se nella tua azienda un algoritmo decide chi bloccare, chi promuovere o chi escludere, questo caso ti riguarda direttamente.
Conviene preoccuparsi davvero, o è un problema solo dei colossi come Uber?
La multa ad Uber è la seconda più alta mai irrogata in Europa per violazioni GDPR, ma le stesse regole si applicano a qualsiasi azienda che usa algoritmi per prendere decisioni sulle persone. Il Garante italiano ha già sanzionato PMI e aziende di medie dimensioni.
Quando si legge di una multa da 825 milioni, la prima reazione è: «Riguarda i giganti, non noi». È un errore. L’Art. 22 del GDPR (Regolamento Generale sulla Protezione dei Dati, la legge europea sulla privacy) si applica a ogni organizzazione che prende decisioni automatizzate con effetti significativi sulle persone. La dimensione dell’azienda cambia l’importo della sanzione, non l’obbligo di rispettare la norma.
Il Garante Privacy italiano ha già sanzionato quattro società energetiche con 7,72 milioni di euro complessivi per credit scoring automatico senza trasparenza. Ha sanzionato Foodinho (gruppo Glovo) con 2,6 milioni di euro per la gestione algoritmica di 19.000 rider. Il pattern è chiaro: le autorità stanno alzando il livello di attenzione su tutti i settori.
| La tua situazione | Rischio concreto? | Perché |
|---|---|---|
| Usi un algoritmo per approvare o rifiutare richieste di clienti o fornitori | Sì | Decisione automatizzata con effetto significativo: Art. 22 si applica |
| Hai un sistema di scoring per valutare dipendenti o collaboratori | Sì | Profiling con conseguenze lavorative: massima attenzione |
| Il tuo e-commerce blocca account automaticamente per sospetta frode | Sì | Identico al caso Uber: sospensione senza intervento umano |
| Usi AI per raccomandare prodotti o contenuti senza effetti escludenti | Rischio basso | Nessun effetto significativo sulla persona, ma serve trasparenza |
| Le decisioni automatiche sono sempre riviste da un operatore umano | Rischio ridotto | La supervisione umana è la principale esimente dell’Art. 22 |
Cosa ha fatto esattamente Uber e perché è stato considerato illegale?
Uber sospendeva automaticamente gli account dei driver in caso di sospetta frode o recensioni troppo basse, senza che nessun essere umano rivedesse la decisione prima dell’esecuzione. Questo è esattamente ciò che l’Art. 22 del GDPR vieta.
171 driver francesi hanno presentato reclamo attraverso la Ligue des droits de l’Homme alla CNIL (l’autorità francese per la privacy). Poiché il quartier generale europeo di Uber è nei Paesi Bassi, il caso è passato all’autorità olandese AP, che ha condotto l’indagine per i fatti tra il 2018 e il 2022.
Il problema non era l’uso dell’algoritmo in sé. Era che l’algoritmo prendeva decisioni definitive — sospensione temporanea o permanente dell’account, con perdita immediata del reddito — senza che un essere umano potesse intervenire prima. I driver non venivano informati in modo chiaro su come funzionava il sistema di valutazione. Uber ha ora fermato le violazioni, ma la multa rimane. L’azienda ha fatto ricorso e non c’è ancora una sentenza definitiva.
| Violazione | Articolo GDPR | Cosa richiedeva la norma |
|---|---|---|
| Decisioni automatizzate senza intervento umano | Art. 22 | Diritto a ottenere intervento umano, esprimere il proprio punto di vista, contestare la decisione |
| Informazioni insufficienti sul profiling | Art. 13 | Obbligo di informare le persone su logica, importanza e conseguenze del trattamento automatizzato |
| Mancanza di trasparenza sulle logiche algoritmiche | Art. 13 + Art. 22 | Le persone devono capire come vengono valutate e su quali basi |
Cosa dice esattamente la legge: quando un algoritmo diventa illegale?
L’Art. 22 del GDPR vieta le decisioni basate esclusivamente su trattamento automatizzato quando producono effetti giuridici o significativi sulla persona. Tre eccezioni esistono, ma richiedono condizioni precise.
Una decisione è «automatizzata» ai sensi dell’Art. 22 quando nessun essere umano la rivede prima che produca effetti. Non basta che un umano possa teoricamente intervenire dopo: deve farlo prima che la decisione diventi operativa.
La Corte di Giustizia UE, con la sentenza SCHUFA del dicembre 2023, ha chiarito un punto importante: anche la sola generazione di un credit score (un punteggio di affidabilità creditizia) può costituire una «decisione» vietata, se terzi si basano pesantemente su quel punteggio per concedere o rifiutare contratti. Il dettaglio tecnico è spiegato su aicompliancevendors.com.
| Caso | Decisione automatizzata? | Eccezione applicabile? | Cosa fare |
|---|---|---|---|
| Blocco account e-commerce per frode | Sì | Sì, se necessario per contratto | Garantire intervento umano su richiesta + informativa chiara |
| Credit scoring per accesso a servizi | Sì | Sì, se previsto da contratto o legge | Informare sulla logica + diritto di contestazione |
| Ranking di candidati in HR | Sì | Sì, con consenso esplicito | Consenso granulare + revisione umana obbligatoria |
| Raccomandazione prodotti personalizzata | Dipende | Spesso non si applica | Verificare se produce effetti escludenti significativi |
| Prezzo dinamico senza esclusione | No | Non applicabile | Trasparenza commerciale sufficiente |
Quali aziende italiane sono già state sanzionate per lo stesso motivo?
Il Garante Privacy italiano ha già emesso sanzioni significative contro aziende di diversi settori per uso illegale di algoritmi decisionali. Non si tratta di casi isolati o lontani.
Il caso Uber non è un fulmine a ciel sereno. In Italia, le autorità hanno già agito in modo concreto. Nel luglio 2026, il Garante ha sanzionato quattro società del settore energetico — tra cui Hera ed EstEnergy — per aver usato sistemi automatizzati di credit scoring che negavano contratti di fornitura senza spiegare agli utenti la logica dell’algoritmo. La violazione riguardava gli artt. 13, 14 e 22 del GDPR: esattamente gli stessi articoli del caso Uber.
Nel 2021, Foodinho (gruppo Glovo) aveva ricevuto una sanzione da 2,6 milioni per la gestione algoritmica di circa 19.000 rider: il sistema assegnava punteggi e ordini senza trasparenza e senza possibilità di intervento umano. Questi precedenti mostrano che il Garante italiano è attivo e che nessun settore è al sicuro.
| Azienda / Settore | Anno | Sanzione | Violazione principale |
|---|---|---|---|
| Uber (piattaforma ride-sharing) | 2026 | €824,99M | Sospensioni automatiche driver, Art. 22 + Art. 13 |
| Hera, EstEnergy + altre 2 (energia) | 2026 | €7,72M totali | Credit scoring automatico senza trasparenza, Art. 13/14/22 |
| Foodinho / Glovo (food delivery) | 2021 | €2,6M | Ranking algoritmico rider senza intervento umano, Art. 22 |
| Google (pubblicità / location data) | 2024 | €403M | Trattamento dati di localizzazione, Art. 13 |
Tre scenari concreti: come si manifesta il problema in un’azienda italiana?
Scoring clienti, blocco account e ranking di collaboratori sono i tre casi più frequenti in cui le PMI italiane rischiano di violare l’Art. 22 senza saperlo.
Esempi illustrativi: i numeri e le situazioni seguenti servono a mostrare il ragionamento, non sono dati di clienti reali.
| Scenario | Azienda tipo | Rischio attuale | Cosa manca per essere compliant |
|---|---|---|---|
| Sistema di credit scoring per accettare o rifiutare nuovi clienti B2B | Azienda manifatturiera con 80 clienti attivi | Alto: la decisione è automatica e definitiva | Informativa sulla logica dell’algoritmo + revisione umana su richiesta |
| Blocco automatico account per sospetta frode | E-commerce con 15.000 ordini/mese | Alto: identico al caso Uber | Procedura di contestazione + notifica preventiva all’utente |
| Ranking automatico di freelance o agenti per assegnare commesse | Rete di vendita con 50 agenti | Medio-alto: effetti significativi sul reddito | Trasparenza sui criteri + diritto di revisione umana |
Quali strumenti e approcci esistono per mettersi in regola?
Esistono tre strade principali: audit interno dei flussi, nomina o consulenza di un DPO, e redesign tecnico dei processi automatizzati. Spesso servono tutte e tre insieme.
Mettersi in regola non significa smettere di usare l’AI. Significa progettare i flussi in modo che rispettino tre principi: trasparenza (le persone sanno come vengono valutate), contestabilità (possono chiedere una revisione umana), proporzionalità (l’algoritmo non decide da solo su questioni ad alto impatto).
| Approccio | Cosa include | Adatto a | Costo indicativo |
|---|---|---|---|
| Audit interno dei flussi AI | Mappatura processi, identificazione decisioni automatizzate, gap analysis GDPR | Prima fase per qualsiasi azienda | Basso (risorse interne + consulenza puntuale) |
| DPO (Data Protection Officer) esterno | Supervisione continuativa, gestione reclami, rapporti con il Garante | PMI senza risorse interne dedicate | Medio (retainer mensile) |
| Redesign tecnico dei processi | Aggiunta di step di revisione umana, logging decisioni, interfacce di contestazione | Aziende con sistemi automatizzati già operativi | Medio-alto (dipende dalla complessità) |
| Formazione del team | Consapevolezza GDPR per chi gestisce dati e sistemi AI | Tutte le aziende, come primo passo | Basso |
Perché se ne parla adesso: il mercato AI italiano è davvero pronto per queste regole?
Il mercato italiano dell’AI è cresciuto del 50% nel 2025, ma la maggior parte delle PMI non ha ancora strutture di governance adeguate. La distanza tra adozione tecnologica e compliance normativa è il vero rischio.
Lo scorso anno il mercato italiano dell’Intelligenza Artificiale ha raggiunto 1,8 miliardi di euro, con una crescita del 50% rispetto al 2024, secondo l’Osservatorio Artificial Intelligence del Politecnico di Milano. Il 71% delle grandi imprese ha avviato almeno un progetto AI. Ma solo l’8% delle PMI ha fatto lo stesso.
Il problema non è solo l’adozione: è la governance. Secondo l’Osservatorio Innovazione Digitale nelle PMI del Politecnico di Milano, il 76% delle PMI italiane non ha investito né prevede investimenti in AI, e solo il 7% ha avviato programmi strutturati di formazione. Chi adotta l’AI senza formarsi sulle regole è esposto.
Come si parte concretamente: i passi per verificare la tua situazione?
Il punto di partenza è una mappatura dei flussi decisionali automatizzati già attivi in azienda. Non serve aspettare un audit formale: bastano tre domande per capire se sei a rischio.
- 1 · Management / ITMappa tutti i processi automatizzatiElenca ogni sistema che prende decisioni su persone (clienti, dipendenti, fornitori, collaboratori) senza revisione umana sistematica.
- 2 · DPO o consulente legaleVerifica se rientrano nell’Art. 22Per ogni processo: produce effetti significativi? È completamente automatizzato? Se sì a entrambe, sei in zona a rischio.
- 3 · IT / SviluppoAggiungi step di revisione umanaProgetta un punto di controllo umano prima che la decisione diventi definitiva, almeno su richiesta dell’interessato.
- 4 · Marketing / ComunicazioneAggiorna le informativeLe privacy policy e le comunicazioni agli utenti devono spiegare chiaramente la logica dell’algoritmo, i dati usati e le conseguenze.
- 5 · HR / FormazioneForma il team che gestisce i sistemiChi configura e monitora gli algoritmi deve conoscere i limiti normativi. La formazione riduce il rischio di violazioni involontarie.
- 6 · ManagementDocumenta tuttoTieni traccia delle decisioni automatizzate, dei criteri usati e delle revisioni umane effettuate. La documentazione è la prima difesa in caso di ispezione.
Quali sono gli errori più comuni che portano alle sanzioni?
La maggior parte delle violazioni non nasce da malafede, ma da tre errori di progettazione che si ripetono in modo sistematico: automazione totale, informative generiche e assenza di log.
Il caso Uber mostra che il problema non era l’algoritmo in sé, ma il fatto che non esistesse nessun punto di controllo umano. Questo errore è molto più comune di quanto si pensi, anche in aziende che credono di essere in regola.
| Errore comune | Perché è pericoloso | Come correggerlo |
|---|---|---|
| Automazione totale senza revisione umana | Viola direttamente l’Art. 22 se la decisione ha effetti significativi | Inserire un passaggio di approvazione o contestazione umana |
| Informativa privacy generica (‘usiamo algoritmi per migliorare il servizio’) | Non soddisfa l’obbligo di spiegare logica, dati usati e conseguenze | Riscrivere la sezione con dettagli specifici sul processo automatizzato |
| Nessun log delle decisioni automatizzate | Impossibile dimostrare la compliance in caso di ispezione | Implementare un sistema di logging con timestamp e criteri usati |
| Confondere ‘raccomandazione’ con ‘decisione’ | Alcune raccomandazioni producono effetti escludenti e rientrano nell’Art. 22 | Analizzare caso per caso con un DPO |
| Pensare che il consenso risolva tutto | Il consenso è solo una delle tre eccezioni, e deve essere libero e granulare | Verificare quale eccezione si applica al proprio caso specifico |
Come capire se i tuoi sistemi automatizzati sono già in regola?
Cinque indicatori concreti ti dicono se la tua situazione è sotto controllo o se devi agire prima di ricevere una notifica dal Garante.
| Indicatore | In regola | Da migliorare | A rischio |
|---|---|---|---|
| Esiste una revisione umana prima che la decisione diventi definitiva | Sempre e documentata | Solo su richiesta | Mai |
| L’informativa spiega la logica dell’algoritmo | In modo specifico e comprensibile | In modo generico | Non menzionata |
| Le persone possono contestare la decisione automatica | Con procedura chiara e tempi definiti | Teoricamente sì, ma senza procedura | No |
| Le decisioni automatizzate sono registrate (log) | Sì, con criteri e timestamp | Parzialmente | No |
| Il team che gestisce i sistemi conosce l’Art. 22 | Formazione documentata | Conoscenza informale | Non ne sono a conoscenza |
Allora, la tua azienda è davvero a rischio o puoi stare tranquillo?
Vale la pena sehai sistemi che prendono decisioni automatiche su persone (clienti, dipendenti, collaboratori) con effetti significativi — blocchi, scoring, ranking — e non hai ancora verificato la compliance con l’Art. 22 GDPR. Agire ora costa meno di una sanzione.
Una via di mezzousi l’AI per supportare decisioni ma mantieni sempre una revisione umana. Verifica che le informative siano aggiornate e che esista una procedura di contestazione documentata.
Non ancora sei tuoi sistemi automatizzati non producono effetti significativi sulle persone, o ogni decisione è sempre rivista da un operatore prima di diventare definitiva. Mantieni la documentazione aggiornata.
Come la vediamo in SHM
Per noi l’AI è uno strumento potente, ma il suo valore dipende da come viene progettata: non per sostituire il giudizio umano sulle persone, ma per supportarlo. La multa ad Uber non è un problema di tecnologia — è un problema di architettura dei processi. Un algoritmo che decide da solo chi bloccare e chi no non è un sistema AI ben progettato: è un sistema che ha rimosso l’essere umano dal punto sbagliato.
Quando lavoriamo con aziende che vogliono integrare l’AI nei loro flussi operativi, il primo passo è sempre capire dove la decisione automatica produce effetti reali sulle persone. Solo dopo si progetta il flusso. Questo approccio — che nel cluster Project management e tecnologia abbiamo esplorato anche in relazione alla multa a Meta per gli algoritmi di personalizzazione e ai watermark AI nei testi — è quello che riduce il rischio normativo senza bloccare l’innovazione.
Se stai valutando come strutturare o verificare i tuoi processi automatizzati, possiamo supportarti con un percorso di integrazione strategica dell’AI che include la mappatura dei flussi decisionali, oppure con un intervento di formazione sull’automazione dei processi per il tuo team. Per una valutazione iniziale, scrivici.
Domande frequenti
Sì. L’Art. 22 del GDPR si applica a qualsiasi organizzazione che tratta dati personali di persone nell’UE, indipendentemente dalla dimensione. La dimensione dell’azienda influisce sull’importo massimo della sanzione (fino a 20 milioni o il 4% del fatturato globale), non sull’obbligo di rispettare la norma. Il Garante italiano ha già sanzionato aziende di medie dimensioni.
Sì, è esattamente il tipo di caso che ha portato alla multa di Uber. Se il blocco è automatico e definitivo senza revisione umana, e produce effetti significativi sull’utente (perdita di accesso, perdita di reddito), rientra nell’Art. 22. La soluzione non è smettere di bloccare account sospetti, ma garantire una procedura di contestazione e revisione umana su richiesta.
L’informativa deve spiegare in modo comprensibile: quali dati vengono usati dall’algoritmo, la logica generale del processo automatizzato, le possibili conseguenze per la persona, e come esercitare il diritto di ottenere una revisione umana. Frasi generiche come ‘usiamo algoritmi per migliorare il servizio’ non sono sufficienti.
Il consenso è una delle tre eccezioni previste dall’Art. 22, ma deve essere libero, specifico, informato e revocabile. Non può essere una clausola nascosta nei termini e condizioni. Le altre due eccezioni sono la necessità contrattuale e l’autorizzazione di legge. In ogni caso, anche con un’eccezione valida, restano gli obblighi di trasparenza e di garantire il diritto di contestazione.
Dipende dalla complessità dei sistemi già in uso. Un’azienda con uno o due processi automatizzati semplici può completare la mappatura e l’aggiornamento delle informative in poche settimane. Aziende con sistemi più complessi — scoring clienti, ranking di collaboratori, blocchi automatici — possono richiedere da due a sei mesi per un redesign completo dei flussi con supervisione legale.
No. Uber ha fatto ricorso contro la sanzione e al momento non esiste ancora una sentenza giudiziaria definitiva. La multa è stata irrogata dall’autorità olandese AP nell’ottobre 2026, ma il procedimento legale è ancora in corso. Questo non cambia l’obbligo per le altre aziende di rispettare l’Art. 22: le violazioni contestate ad Uber sono state accertate e l’azienda ha già fermato le pratiche contestate.
La vera domanda non è se i tuoi algoritmi sono intelligenti, ma se sono progettati per rispettare le persone su cui decidono.
Articoli correlati
Scopri altri articoli che approfondiscono temi simili, selezionati per offrirti una visione più completa e stimolante. Ogni contenuto è scelto con cura per arricchire la tua esperienza.
