DPIA, AI Act e Modello 231/2001

L'impiego crescente di sistemi di intelligenza artificiale nei processi aziendali impone una rilettura sistemica della Data Protection Impact Assessment (DPIA) ex art. 35 GDPR, alla luce sia dell'AI Act sia dell'evoluzione del Modello di Organizzazione, Gestione e Controllo ex D.Lgs. 231/2001. In tale prospettiva, la DPIA non rappresenta più un adempimento settoriale, ma un presidio centrale della compliance integrata.

GDPR e IA ACT

Il GDPR richiede al titolare del trattamento di valutare preventivamente i rischi per i diritti e le libertà degli interessati derivanti da trattamenti automatizzati e su larga scala. L'AI Act rafforza tale impostazione, introducendo obblighi strutturati di risk management, controllo umano, qualità dei dati e tracciabilità per i sistemi di IA ad alto rischio. L'integrazione di strumenti di intelligenza artificiale nella DPIA consente di superare modelli valutativi statici, favorendo un'analisi dinamica e predittiva dei rischi privacy, di sicurezza e di impatto sui diritti fondamentali.

Questa evoluzione incide direttamente sul Modello 231, che si configura sempre più come architettura di governo del rischio, anche tecnologico. L'uso dell'IA nei processi decisionali e operativi aziendali amplia infatti l'area dei rischi-reato rilevanti (si pensi ai profili di trattamento illecito di dati, frodi informatiche, discriminazioni algoritmiche, violazioni in materia di sicurezza). In tale contesto, la DPIA supportata da IA può costituire un presidio preventivo essenziale ai fini dell'idoneità del Modello, rafforzando i protocolli di controllo e la mappatura delle attività sensibili.

L'allineamento tra DPIA, AI Act e Modello 231 consente inoltre di valorizzare il principio di accountability organizzativa, documentando in modo strutturato le scelte tecnologiche, le misure di mitigazione adottate e i controlli interni implementati. Ciò assume rilievo anche in ottica probatoria, in caso di verifiche dell'autorità o di accertamento della responsabilità dell'ente.

Resta imprescindibile il controllo umano qualificato: l'intelligenza artificiale deve operare come strumento di supporto alle funzioni compliance, risk management e OdV, senza sostituire il giudizio giuridico e organizzativo. Solo in tal modo la DPIA può evolvere da adempimento privacy a snodo strategico tra GDPR, AI Act e Modello 231, contribuendo a una governance responsabile e sostenibile dell'innovazione tecnologica.

Dott. Alessandro Pagliuca

Avvocato abilitato all'esercizio della professione forense- Compliance Specialist

alessandropagliuca12@gmail.com