L’Articolo 86 dell’AI Act affronta il problema delle decisioni che il deployer adotta sulla base dell’output di un sistema di IA ad alto rischio. Lo fa per affrontare le sfide dei sistemi di IA ad alto rischio, che operano in settori critici come lavoro e servizi essenziali. In particolare mira a contrastare l’opacità di questi sistemi, che rende complesso per il destinatario della decisione comprenderne le logiche, colmando così quest’asimmetria informativa; ma mira altresì a responsabilizzare i deployer, affinché non accettino acriticamente — senza supervisione e controllo — l’output del sistema IA prima di prendere una decisione che ha un impatto sulle libertà e diritti del destinatario. [Vedi: Decisioni basate sull’IA e diritto alla spiegazione nell’AI Act, https://marialuisamanis.nova100.ilsole24ore.com/2026/08/01/decisioni-basate-sullia-e-diritto-alla-spiegazione-nellai-act/]

L’AI Act non è però la prima normativa che disciplina automazione e decisioni che hanno effetto sulle libertà e diritti della persona interessata. Ben prima dell’AI Act il legislatore se ne era già occupato nell’ambito della disciplina sulla protezione dei dati personali. Il primo riferimento è la direttiva 95/46/CE, il cui art. 15 riconosceva alla persona il diritto di non essere sottoposta a una decisione che producesse effetti giuridici o significativi nei suoi confronti, fondata esclusivamente su un trattamento automatizzato destinato a valutarne taluni aspetti della personalità — come il rendimento professionale, l’affidabilità o il credito. Quella previsione è poi confluita, con formulazione rafforzata, nell’art. 22 del GDPR.

Nelle more della entrata in vigore del GDPR, attorno a questa disposizione normativa, è sorta una rilevante esigenza interpretativa. Lo sviluppo del machine learning e dei Big Data ha infatti agevolato enormemente le possibilità di profilare su larga scala, e quindi il rischio di pericolosi automatismi che incidono sui diritti e sulle libertà delle persone interessate. Il 3 ottobre 2017 il Gruppo di lavoro ex articolo 29 — organo consultivo istituito dall’art. 29 della direttiva 95/46/CE — ha quindi adottato apposite linee guida sul processo decisionale automatizzato e sulla profilazione. Si tratta della WP251, poi rivista il 6 febbraio 2018, che interviene a chiarire le nuove tutele rafforzate inserite nel GDPR in relazione a ipotesi di trattamento di dati automatizzato come la profilazione, ma altresì alle cosiddette decisioni automatizzate, ovvero decisioni basate unicamente su un trattamento automatizzato come la profilazione.

Il testo dell’Articolo 22 del GDPR

Il paragrafo 1 dell’Articolo 22 dispone che l’interessato ha il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici che lo riguardano o che incida in modo analogo significativamente sulla sua persona.

Il focus della disposizione non è tanto il trattamento dei dati quanto la decisione. Più precisamente, interessa al legislatore quella decisione che si fonda «unicamente» su un trattamento automatico. La profilazione vi rientra «compresa» — è uno dei trattamenti automatizzati che possono stare alla base della decisione. Una decisione basata unicamente su un trattamento automatizzato ricade nell’art. 22 anche senza che ci sia stata profilazione.

Sul significato di «basata unicamente», le linee guida del WP29 precisano che esso designa l’assenza di un intervento umano significativo nel processo decisionale: un intervento puramente formale, o un gesto che si limiti ad applicare meccanicamente l’esito automatizzato senza reale capacità di modificarlo, non è sufficiente a sottrarre la decisione all’art. 22.

Il divieto di cui al  paragrafo 1 è tuttavia derogabile ogni volta che la decisione «a) sia necessaria per la conclusione o l’esecuzione di un contratto tra l’interessato e un titolare del trattamento; b) sia autorizzata dal diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento, che precisa altresì misure adeguate a tutela dei diritti, delle libertà e dei legittimi interessi dell’interessato; c) si basi sul consenso esplicito dell’interessato» (paragrafo 2 dell’Articolo 22).

Il divieto generale di decisioni automatizzate è dunque derogabile. Le deroghe — contratto, autorizzazione normativa, consenso esplicito — coprono ipotesi tutt’altro che eccezionali: la conclusione di un contratto e il consenso sono situazioni ordinarie nei rapporti tra la persona e chi tratta i suoi dati. Anche là dove operi una deroga, tuttavia, la tutela non viene meno del tutto. Il paragrafo 3 prevede che, nei casi di contratto e di consenso, il titolare attui misure appropriate a tutela dell’interessato, almeno il diritto di ottenere l’intervento umano da parte del titolare del trattamento, di esprimere la propria opinione e di contestare la decisione.

Sono questi tre — intervento umano, opinione, contestazione — i presìdi minimi che accompagnano la decisione anche quando è ammessa.

Perché il GDPR si occupa della decisione, e non solo dei dati personali in questo contesto?

Qui si coglie la peculiarità dell’art. 22 rispetto al resto del Regolamento. Le altre disposizioni del GDPR regolano la liceità del trattamento dei dati personali: la base giuridica (art. 6), i principi di esattezza e minimizzazione (art. 5), gli obblighi di informazione e i diritti di accesso, rettifica e opposizione. Il GDPR tutela infatti le libertà della persona in via mediata, attraverso la disciplina del trattamento dei dati personali e le garanzie a tutela della persona interessata.

L’art. 22 segue una logica diversa. Si occupa della decisione e dei suoi effetti giuridici o analogamente significativi sulla persona. La differenza è sostanziale. Una profilazione (che è un trattamento di dati e funge da fondamento della decisione) può essere pienamente lecita — dati raccolti correttamente, base giuridica valida, trattamento in tutto conforme — e ciononostante l’art. 22 si preoccupa del fatto che la persona possa essere sottoposta a una decisione significativa formata unicamente da un processo automatizzato.

Le linee guida WP29 confermano che in questi scenari la posta in gioco eccede la sola compliance del trattamento dei dati alle regole del GDPR. Il processo decisionale automatizzato è oggetto di preoccupazione per il legislatore in quanto pone a rischio l’autonomia personale — la libertà di scelta dell’individuo, che la classificazione algoritmica può restringere — la dignità e la non discriminazione, per il rischio che l’automazione perpetui stereotipi o conduca alla negazione di beni e servizi essenziali, incidendo sul sostentamento stesso della persona.

La rischiosità intrinseca della profilazione e i Rimedi del GDPR

La profilazione, in quanto tipologia di trattamento di dati, viene considerata dal GDPR anche autonomamente. Non rileva per il GDPR solo in quanto fondamento delle decisioni ex articolo 22.

La profilazione è dunque una forma di trattamento di dati: valuta, analizza, prevede aspetti della persona. Essa consiste nel raccogliere informazioni per «inserire [gli individui] in una determinata categoria o gruppo».

Il Regolamento la definisce all’art. 4, n. 4 come «qualsiasi forma di trattamento automatizzato di dati personali consistente nell’utilizzo di tali dati personali per valutare determinati aspetti personali relativi a una persona fisica, in particolare per analizzare o prevedere aspetti riguardanti il rendimento professionale, la situazione economica, la salute, le preferenze personali, gli interessi, l’affidabilità, il comportamento, l’ubicazione o gli spostamenti di detta persona fisica».

Il legislatore la considera una tecnica di trattamento intrinsecamente più rischiosa rispetto ad altre, per due ragioni: è spesso invisibile all’interessato, e agisce creando dati personali «nuovi» — «derivati o inferiti» — che non sono stati forniti direttamente dall’individuo, ma sono il risultato di deduzioni statistiche o correlazioni.

È importante evidenziare che, ai sensi del GDPR e delle Linee Guida del WP29, profilazione e decisione restano due momenti logicamente e cronologicamente distinti: la prima è una forma di trattamento di dati, la decisione rileva ex articolo 22 in quanto fondata sulla prima. E tuttavia è abbastanza evidente che la profilazione è sempre intrinsecamente funzionale all’assunzione di una decisione (sia che siano decisioni automatizzate, sia che siano decisioni dove è previsto l’intervento e il discernimento umano). La valutazione di un aspetto personale nasce chiaramente per orientare una scelta successiva, anche laddove quest’ultima non segua per le più svariate ragioni.

Per questa ragione, spesso profilazione e decisione sul piano logico possono confondersi. Nel GDPR il legislatore sembra graduare le tutele a favore dell’interessato in ragione della prossimità tra la profilazione e la decisione o, detto diversamente, del livello di automazione della decisione che sulla profilazione si basa.

1. Esistono infatti delle tutele applicabili per qualsiasi profilazione intesa come trattamento di dati, e operano in particolare il principio di esattezza (art. 5, par. 1, lett. d), i diritti di rettifica e cancellazione ex artt. 16 e 17 e il diritto di opposizione ex art. 21.
2. A un grado di maggior rigore di tutela si posizionano poi le valutazioni sistematiche di aspetti personali su cui si fondano decisioni con effetti giuridici o significativi. In tali casi si aggiunge l’obbligo di valutazione d’impatto (art. 35, par. 3, lett. a). Si noti che qui la formulazione della norma non richiede che la decisione sia interamente automatizzata come ex articolo 22: la tutela si attiva anche quando un intervento umano interviene nel processo.
3. Al gradino di tutela più rigorosa si collocano le attività ex art. 22, laddove la decisione è basata unicamente sul trattamento automatizzato. Sono casi in cui la profilazione cessa di essere un semplice output alla base della decisione e diviene invece l’oggetto stesso della decisione, in quanto suo unico fondamento, per usare il testo del paragrafo 1. In questi casi profilazione e decisione, anche se astrattamente distinti come passaggi logici, vengono a coincidere. Opera qui il divieto generale, salvo eccezioni. Anche laddove operi l’eccezione, si applicano comunque tutele rafforzate.

ADM nel GDPR e nell’AI Act

L’inserimento dell’Articolo 86 nell’AI Act rappresenta una coerente evoluzione normativa delle disposizioni del GDPR e delle Linee Guida in merito al fenomeno dell’automated decision-making, ADM.

Il GDPR stabilisce tutele gradualmente più rafforzate quanto maggiore è l’automazione della decisione, con un picco rappresentato da un divieto generale di decisioni basate unicamente sull’output di un trattamento automatico di dati, come ad esempio la profilazione. Le garanzie del GDPR si applicano in ogni caso di profilazione (artt. 5, 16, 17, 21).

Esiste un secondo livello di automazione di cui si occupa il GDPR, quello della decisione assistita, in cui è un deployer a decidere sulla base dell’output del sistema, chiudendo lui il processo decisionale. Qui il GDPR impone la DPIA (art. 35) e l’informazione sulla logica del trattamento (artt. 13-15). Per questi casi il GDPR non riconosce all’interessato un diritto a ottenere la spiegazione della singola decisione. Vi provvede invece l’art. 86, che colma proprio questo spazio: riconosce alla persona interessata il diritto a spiegazioni chiare e significative sul ruolo del sistema nella procedura decisionale e sui principali elementi della decisione adottata, a condizione che il sistema sia ad alto rischio ai sensi dell’Allegato III. Possiamo dire che l‘AI Act alza il livello di tutela: dove prima c’era la sola informazione generale sulla logica, ora c’è il diritto alla spiegazione della decisione presa.

Il coordinamento con il GDPR è retto dalla clausola di sussidiarietà dell’art. 86, paragrafo 3: il diritto alla spiegazione si applica soltanto se un analogo diritto non è già previsto dal diritto dell’Unione. Nei casi in cui la decisione è presa unicamente sulla base di un trattamento automatizzato, la persona dispone già delle garanzie dell’art. 22, paragrafo 3, e in quel caso si applica l’art. 22; nei casi di decisione assistita, in cui il deployer decide sulla base dell’output, il GDPR non prevede quel diritto alla spiegazione ed è l’art. 86 a provvedere.

Bisogna ricordare che l’articolo 86 e il suo obbligo di spiegazione si applicano a casi specifici di sistemi ad alto rischio chiaramente classificati. E qui emerge un dato significativo: l’art. 6, par. 3 dell’AI Act prevede una deroga per i sistemi dell’Allegato III che non presentano rischi significativi perché non influenzano materialmente l’esito del processo decisionale, ma esclude espressamente da tale deroga i sistemi che effettuano la profilazione di persone fisiche. Un sistema dell’Allegato III che profila è dunque sempre ad alto rischio. Il considerando 53 ne dà la ragione: la profilazione comporta rischi significativi per la salute, la sicurezza o i diritti fondamentali, tali da non poter mai essere considerata un compito meramente preparatorio o accessorio. È la conferma, sul piano dell’AI Act, della rischiosità intrinseca che il GDPR e il WP29 già riconoscevano a questa tecnica.

Conclusioni

Possiamo trarre alcune conclusioni sulla coerenza degli intenti del legislatore e sulla complementarità tra l’art. 22 del GDPR e l’art. 86 dell’AI Act. L’art. 86 non ricalca il divieto dell’art. 22, ma l’obbligo di spiegazione che introduce vi conduce, di fatto. Se il deployer deve poter spiegare ex post come l’output ha inciso sulla decisione, deve organizzarsi ex ante per poterlo fare: interporre un vaglio umano effettivo — quella sorveglianza che l’art. 14 dell’AI Act già gli impone e che l’obbligo di spiegazione rende ineludibile. Non potrà trincerarsi dietro le scelte autonome della macchina — «ha deciso il sistema» — perché la legge lo chiama a rispondere della decisione e soprattutto a renderla comprensibile al soggetto interessato. Con strumenti diversi — il divieto derogabile dell’art. 22 e gli obblighi di sorveglianza e spiegazione dell’AI Act — le due discipline muovono nella stessa direzione: responsabilizzare il deployer, spingendolo a organizzarsi anticipatamente in modo che la responsabilità della decisione sia sostanzialmente, e non solo formalmente, riconducibile a lui. In che modo? Costruendo quel rapporto di collaborazione tra l’uomo e il sistema di cui abbiamo parlato nei primi articoli sulla explainability. Si veda a tal proposito https://marialuisamanis.nova100.ilsole24ore.com/2026/07/04/il-concetto-di-spiegabilita-tecnica-nellintelligenza-artificiale/