Il GDPR non è superato, ma non basta più applicarlo in modo “cartaceo”. La novità emersa con chiarezza in questi mesi è che informative, registri e consensi, da soli, non proteggono davvero i dati aziendali né mettono al riparo da attacchi, errori interni o usi impropri legati all’intelligenza artificiale.
Per un’impresa questo significa una cosa semplice: la privacy non può restare un fascicolo da esibire in caso di controllo. Deve diventare una scelta concreta di progettazione, sicurezza e governo dei dati, perché oggi il rischio non è solo la sanzione, ma il blocco operativo, la perdita di fiducia dei clienti e l’esposizione di informazioni sensibili.
La crisi della “privacy formale”
Il tema è stato rilanciato il 7 agosto 2026 da Agenda Digitale, con una riflessione molto netta: il GDPR ha avuto il merito di portare la protezione dei dati dentro i consigli di amministrazione e nelle decisioni manageriali, ma la stagione della sola compliance documentale è finita.
Negli ultimi anni molte organizzazioni hanno costruito la propria conformità attorno a elementi essenziali ma spesso vissuti come adempimenti: informative privacy, registri dei trattamenti, nomine, policy interne, gestione dei consensi. Tutto corretto, e ancora indispensabile. Il problema nasce quando questi strumenti vengono trattati come il fine, invece che come la base minima.
Oggi i dati personali non circolano più soltanto in archivi chiusi e processi prevedibili. Passano in piattaforme cloud, applicazioni SaaS, smartphone aziendali, sistemi di collaborazione, strumenti di marketing, software HR e servizi con funzionalità di AI integrate. In questo scenario, una conformità solo “di carta” può dare l’illusione di controllo mentre il rischio reale cresce altrove.
Perché il rischio è cambiato davvero
La protezione dei dati è entrata in una fase diversa per almeno quattro motivi.
Il primo è l’aumento dei cyberattacchi. Un’azienda può avere informative perfette, ma se non protegge accessi, backup, endpoint e reti resta vulnerabile a ransomware, furti di credenziali ed esfiltrazione di dati. In caso di incidente, il problema privacy arriva dopo: prima c’è il danno operativo.
Il secondo è l’intelligenza artificiale. Molti strumenti digitali oggi incorporano funzioni di analisi, classificazione, generazione di contenuti o automazione decisionale. Questo amplia la superficie di rischio: dati caricati in servizi esterni, trattamenti poco trasparenti, profilazioni non pienamente comprese, possibilità di riuso delle informazioni.
Il terzo è la profilazione sempre più pervasiva. Anche senza voler costruire sistemi sofisticati, un’azienda moderna accumula tracce: comportamenti online, cronologie di acquisto, interazioni con campagne marketing, dati di produttività, log di accesso. Se la raccolta è eccessiva o poco governata, il rischio non è solo normativo ma organizzativo.
Il quarto è il valore geopolitico dei dati. Oggi la domanda non è soltanto “quali dati trattiamo?”, ma anche “dove finiscono, con quali garanzie e sotto quale giurisdizione?”. La scelta di fornitori e piattaforme non è più solo tecnica o economica.
Dal documento all’architettura
Il punto chiave, per le aziende, è passare da una privacy basata sui moduli a una privacy basata sull’architettura.
In pratica significa progettare i processi in modo che raccolgano meno dati, li conservino per il tempo necessario, limitino gli accessi, riducano le copie inutili e rendano tracciabili le operazioni. È la differenza tra “avere una policy” e “far sì che il sistema impedisca davvero comportamenti rischiosi”.
Questo approccio è coerente con i principi del GDPR, che non si limitano a chiedere trasparenza, ma richiamano concetti come minimizzazione, limitazione della finalità, integrità e riservatezza. Solo che oggi questi principi vanno tradotti in scelte tecniche e organizzative quotidiane.
Qualche esempio concreto:
- evitare archivi duplicati tra uffici, PC locali e cartelle condivise;
- definire permessi per ruolo invece di accessi indiscriminati;
- cifrare dispositivi e dati sensibili;
- separare i dati davvero necessari da quelli “che potrebbero servire un giorno”;
- verificare cosa viene caricato in strumenti di AI o piattaforme esterne;
- mantenere copie di sicurezza affidabili e testate.
Qui la privacy incontra direttamente la sicurezza informatica: non come materia separata, ma come condizione pratica per proteggere i dati personali e aziendali.
Il ruolo del DPO cambia, ma non scompare
La riflessione emersa da Agenda Digitale tocca anche una figura centrale: il DPO. In molte realtà il responsabile della protezione dei dati è stato percepito come il presidio principale della conformità. Ma in un contesto dominato da cloud, AI e minacce cyber, il DPO da solo non può compensare carenze strutturali di sicurezza o processi mal progettati.
Questo non riduce l’importanza del ruolo. Al contrario, la rende più strategica. Il DPO ha valore quando dialoga con direzione, IT, HR, marketing, legale e fornitori; quando aiuta a capire quali trattamenti siano davvero necessari; quando segnala incoerenze tra ciò che l’azienda dichiara e ciò che fa.
Il punto è che la protezione dei dati non può essere “delegata” a una sola figura. Deve coinvolgere governance, processi e tecnologia.
AI e dati aziendali: il nuovo punto cieco
Per molte PMI il rischio più sottovalutato oggi è l’uso disordinato di strumenti di intelligenza artificiale. Il problema non è l’AI in sé, ma l’adozione senza regole.
Succede spesso che dipendenti e collaboratori inseriscano in chatbot o assistenti automatici email, contratti, dati di clienti, documenti interni, CV, offerte commerciali o informazioni tecniche. Magari per riassumere un testo, scrivere una risposta o tradurre un contenuto. È un comportamento comprensibile, ma può aprire problemi seri di riservatezza, controllo del dato e conformità.
Per questo oggi una policy privacy aggiornata dovrebbe includere anche indicazioni operative su:
- quali strumenti di AI sono autorizzati;
- quali dati non devono essere caricati;
- come anonimizzare o minimizzare le informazioni;
- chi approva nuovi servizi digitali;
- come verificare i fornitori sotto il profilo privacy e sicurezza.
Cosa significa per la tua azienda
Se gestisci una PMI, la domanda giusta non è “siamo in regola sulla privacy?”, ma “i nostri dati sono davvero governati e protetti?”. Per capirlo, conviene partire da un controllo molto pratico.
Primo: mappa dove si trovano i dati importanti. Non solo nel gestionale, ma anche nelle email, nei notebook, nei telefoni aziendali, nelle cartelle condivise e nei servizi cloud usati dai vari reparti.
Secondo: verifica chi può accedere a cosa. Nelle piccole organizzazioni è comune lasciare permessi molto ampi per comodità. Con il tempo, però, si accumulano accessi superflui che aumentano il rischio.
Terzo: riduci la raccolta e la conservazione inutili. Se un dato non serve più a una finalità concreta, tenerlo espone soltanto a più responsabilità in caso di incidente o contestazione.
Quarto: metti in sicurezza gli endpoint e i backup. Un’infrastruttura con PC non aggiornati, autenticazione debole e copie di sicurezza non verificate è fragile anche se la documentazione GDPR è formalmente in ordine. In questo senso, soluzioni di remote backup e una gestione strutturata dei dispositivi possono fare la differenza.
Quinto: disciplina l’uso dell’AI e delle applicazioni esterne. Nessun reparto dovrebbe adottare da solo nuovi strumenti che trattano dati personali o informazioni riservate.
Sesto: aggiorna la documentazione sulla base dei processi reali, non del modello scaricato anni fa. Il GDPR resta un obbligo concreto, ma va tenuto allineato alla realtà dell’azienda. Se serve, ha senso rivedere l’impianto con un supporto specializzato su GDPR e organizzazione dei trattamenti.
Settimo: forma il personale con esempi pratici. Le persone non hanno bisogno di teoria astratta, ma di istruzioni chiare: cosa si può inviare, dove si salva un file, come si condivide un documento, quando segnalare un incidente.
La vera conformità è quella che resiste agli incidenti
La privacy aziendale oggi si misura soprattutto nei momenti critici: un allegato inviato alla persona sbagliata, un account compromesso, un portatile smarrito, una cartella cloud aperta oltre il necessario, un collaboratore che usa un tool non autorizzato.
Se l’organizzazione regge questi eventi senza perdere controllo, allora la conformità è sostanziale. Se invece tutto dipende dall’attenzione del singolo o da procedure poco applicate, la conformità è fragile anche quando la modulistica è completa.
In altre parole, il GDPR non è in crisi perché inutile. È in crisi l’idea che basti “mettersi a posto con i documenti”. Oggi proteggere i dati significa progettare sistemi, processi e comportamenti che rendano l’errore meno probabile e il danno più contenuto.
Per le imprese italiane è un cambio di prospettiva importante: meno burocrazia difensiva, più governo concreto dell’informazione.
Domande frequenti
Il GDPR è diventato meno importante?
No. Resta il riferimento principale per la protezione dei dati personali. È cambiato il contesto: oggi, senza misure tecniche e organizzative efficaci, la sola documentazione non basta.
Una PMI deve preoccuparsi davvero dell’intelligenza artificiale?
Sì. Anche senza sviluppare AI internamente, molte PMI usano strumenti che trattano dati in modo automatizzato. Il rischio nasce soprattutto dall’uso non governato di servizi esterni.
Da dove conviene iniziare?
Da tre verifiche semplici: dove sono i dati, chi vi accede e come vengono protetti backup, account e dispositivi. È il modo più rapido per capire se la privacy è solo formale o anche sostanziale.