Nella riunione plenaria dell’8 luglio 2026 il Comitato europeo per la protezione dei dati ha adottato due documenti destinati a incidere sul modo in cui si valutano i progetti di intelligenza artificiale: le Linee guida 02/2026 sull’anonimizzazione e le Linee guida 03/2026 sul web scraping nel contesto dell’IA generativa. Entrambe sono in consultazione pubblica fino al 30 ottobre 2026.
Sono ancora testi in consultazione, e questo è il motivo per cui vale la pena occuparsene adesso: fino a quella data si può intervenire, e dopo si applicheranno anche a chi non l’ha fatto.
Perché toccano il nucleo della questione
Chi si occupa di conformità in progetti che utilizzano dati per addestrare o alimentare sistemi di intelligenza artificiale incontra sempre le stesse due domande. La prima: questi dati sono ancora personali, o li abbiamo resi anonimi? La seconda: possiamo usare dati che sono pubblicamente accessibili in rete?
Dalla prima dipende se il Regolamento si applica. Dalla seconda dipende se il progetto può partire. Le due linee guida intervengono esattamente lì.
L’anonimato è relativo, non assoluto
Il primo documento afferma in modo esplicito un principio che circolava già ma che veniva spesso trattato come un’opinione: l’anonimato non è una proprietà assoluta del dato, ma una condizione relativa, che dipende dai mezzi ragionevolmente disponibili per reidentificare la persona.
La conseguenza pratica è considerevole, e sposta il baricentro di molte valutazioni. Lo stesso insieme di dati può essere anonimo rispetto a un soggetto e non esserlo rispetto a un altro, che disponga di informazioni ulteriori con cui incrociarlo. E può essere anonimo oggi e non esserlo fra due anni, quando saranno disponibili strumenti o basi di dati che oggi non esistono.
Da qui l’indicazione operativa più utile: «abbiamo anonimizzato i dati» non è una conclusione, è un’affermazione che va dimostrata. Occorre indicare rispetto a chi il dato è anonimo, quali tecniche sono state applicate, quali informazioni ausiliarie sono state considerate e perché si ritiene che la reidentificazione non sia ragionevolmente praticabile. Senza questa analisi documentata, l’uscita dall’ambito di applicazione del Regolamento è un’affermazione indifendibile.
Chi ha impostato un progetto sul presupposto che l’anonimizzazione fosse un passaggio tecnico risolutivo — si applica una tecnica, il dato esce dal GDPR — ha un presupposto da rivedere.
Il web scraping non è una zona franca
Il secondo documento muove da una premessa netta: il Regolamento si applica ogni volta che la raccolta automatizzata di dati su larga scala comporta operazioni su dati personali — raccolta, conservazione, organizzazione, recupero.
È la risposta a un equivoco diffuso, quello secondo cui l’accessibilità pubblica di un dato ne renderebbe libero l’utilizzo. Che un’informazione sia visibile in rete non significa che sia disponibile per qualunque impiego: il fatto che una persona abbia reso pubblico il proprio ruolo professionale non equivale ad averne autorizzato la raccolta massiva, la conservazione e il riuso per finalità diverse.
Il collegamento con quanto accade sul piano applicativo è immediato. Poche settimane dopo l’adozione di queste linee guida, il Garante italiano ha sanzionato per due milioni di euro un intermediario di dati che alimentava la propria banca dati anche attraverso l’estrazione automatizzata da reti sociali, ritenendo il legittimo interesse una base giuridica inadeguata. I due piani — l’indirizzo europeo e l’applicazione nazionale — vanno nella stessa direzione.
Che cosa conviene fare adesso
Per un’organizzazione che utilizza sistemi di intelligenza artificiale, o che valuta di introdurne, ci sono quattro verifiche che non richiedono di attendere il testo definitivo.
- Rivedere le valutazioni di anonimizzazione già fatte. Se un progetto è stato considerato fuori dall’ambito del Regolamento perché i dati «sono anonimi», va verificato se quella conclusione è sorretta da un’analisi scritta oppure è stata assunta come ovvia.
- Censire l’origine dei dati di addestramento. Vale per i modelli sviluppati internamente, ma anche per quelli acquistati: chiedere al fornitore su quali dati il modello è stato addestrato è una domanda legittima, e la difficoltà a ottenere risposta è essa stessa un elemento di valutazione.
- Documentare il bilanciamento quando si utilizza il legittimo interesse per attività di raccolta o riuso di dati accessibili in rete. È il punto su cui il caso italiano ha mostrato che non basta l’affermazione.
- Coordinare la valutazione con quella richiesta dalla disciplina sull’intelligenza artificiale. Sono adempimenti distinti, con presupposti diversi, e conviene affrontarli insieme anziché in due momenti separati che poi non si parlano.
La consultazione è aperta, e non è un dettaglio
C’è un ultimo aspetto che riguarda meno la conformità e più il modo di stare in una materia in movimento.
Fino al 30 ottobre 2026 chiunque può far pervenire osservazioni su entrambi i documenti. È un’occasione che di norma viene colta da grandi operatori e associazioni di categoria, mentre le organizzazioni che quelle regole dovranno applicarle sul serio — imprese medie, enti, professionisti — quasi mai partecipano.
Non è un obbligo e non produce vantaggi immediati. Ma il criterio dei mezzi ragionevolmente disponibili per la reidentificazione verrà declinato nei prossimi anni su casi concreti, e le osservazioni di chi conosce quei casi valgono più di quanto si pensi. Vale almeno la pena di sapere che la porta, per qualche settimana ancora, è aperta.
Il presente contributo ha finalità informativa e riflette lo stato dei documenti alla data di pubblicazione. Si tratta di testi in consultazione, suscettibili di modifica prima dell’adozione definitiva: i contenuti qui richiamati vanno riscontrati sulle versioni pubblicate dal Comitato prima di ogni utilizzo operativo. Nulla di quanto scritto costituisce parere legale sul caso concreto.
Fonti: Comitato europeo per la protezione dei dati, Linee guida 02/2026 sull’anonimizzazione e Linee guida 03/2026 sul web scraping nel contesto dell’intelligenza artificiale generativa, adottate nella plenaria dell’8 luglio 2026 e poste in consultazione pubblica fino al 30 ottobre 2026.
