(Le opinioni qui espresse sono a titolo esclusivamente personale e non impegnano, in alcun modo, l’Amministrazione di appartenenza)

L’i.a. protagonista dell’anno 

È l’i.a., secondo la rivista statunitense Time, il protagonista del 2025, in quanto – questa la motivazione - "sta influenzando, nel bene e nel male, le nostre vite". Così, sulla copertina della rivista, gli “architetti dell’i.a.” sono rappresentati come gli operai costruttori dei grattacieli (più di) un secolo fa, a dimostrazione della centralità degli algoritmi nelle strutture (e infrastrutture) della società di oggi. Secondo una recente ricerca Istat, il ricorso all'intelligenza artificiale nelle imprese con almeno 10 addetti registrerebbe in Italia, nell'ultimo anno, una crescita particolarmente significativa, dall'8,2% del 2024 al 16,4% del 2025 (era il 5% nel 2023).

E se il mercato dell’i.a. era cresciuto, in Italia, del 52% già nel 2024 nel discorso del Presidente per la relazione annuale del Garante per la protezione dei dati personali, si stima che attualmente il 75% degli studenti la usi per i compiti, l’82% dei ragazzi (con un incremento del 14 % in un solo anno) è convinto che l’i.a. avrà un ruolo stabile nella propria vita, anche se il 52,3% dei giovani non riesce a distinguere un video deepfake da uno reale.

Preoccupa anche l’uso, crescente tra i giovani, di chatbot di i.a. relazionale, che finiscono con il sostituire amici e confidenti. Stime di pochi mesi fa rilevano come mezzo miliardo di persone abbiano scaricato un’app di “amicizia virtuale” e almeno un ragazzo su 6, tra gli 11 e i 25 anni, abbia utilizzato i chatbot di i.a. per chiedere consigli e valutazioni, come uno psicologo, riscontrandone poi dipendenza in un caso su tre. L’amico immaginario diviene qui un robot cui è sempre più difficile rinunciare.

A fronte di una penetrazione così capillare dell’i.a. nelle nostre vite, è dunque necessario comprenderne anche l’impatto e, in primo luogo, l’incidenza sui diritti fondamentali. Essa è, infatti, particolarmente rilevante, soprattutto per tre ragioni:

1) la potenza computazionale, senza precedenti, tale da promuovere un’innovazione dalle potenzialità straordinarie, non senza rischi di cui, tuttavia, è necessario avere consapevolezza (in primo luogo quello di riprodurre in forma di bias precomprensioni quando non, addirittura, vere e proprie discriminazioni che caratterizzino il pensiero sotteso al progetto);

2) la natura mimetica e non protesica dell’i.a. (Eric Sadin), tale da non limitarsi a “colmare” le lacune dell’uomo ma da simularne la razionalità, con un progressivo affidamento all’algoritmo di scelte o analisi anche dirimenti (si pensi ai settori della giustizia o della medicina);

3) la capacità di sviluppo in parte autonomo, tale da consentire anche alcune “deviazioni” dal modello progettato (“disallineamenti emergenti”). Significativo, in tal senso, il noto caso di un algoritmo che, nell’84% delle simulazioni volte appunto a testarne l’allineamento, ha tentato di ricattare l’ingegnere (ipotetico) che ne avrebbe prospettato la disattivazione, minacciando di rivelare indiscrezioni sulla sua vita privata.

I.a. e privacy 

Il diritto alla protezione dei dati personali (o “digital privacy”) è uno dei diritti maggiormente suscettibili di essere incisi dall’impatto dell’i.a. sulla società. L’i.a. si alimenta, infatti, di dati, in gran parte personali e, quindi, le garanzie sancite dalla disciplina di protezione dati, per impedire che la “datificazione” della vita comporti violazioni indebite della dignità personale, rappresentano presidi importanti anche per un uso sostenibile e antropocentrico dell’i.a.

Lo dimostra anche il dato normativo: significativa, in tal senso, la clausola di salvaguardia generale dell'Ai Act, il cui art. 2, par.7 assicura, infatti, l’applicazione della disciplina di protezione dati ai trattamenti di dati coinvolti nei sistemi di i.a..

Tra le varie norme suscettibili di applicazione, l’art. 22 del Gdpr e l’art. 11 della direttiva LED possono, in particolare rappresentare (come, del resto, hanno rappresentato) un presidio importante nella regolazione dell’“algocrazia”. Tali norme sanciscono, infatti, i principi di trasparenza, conoscibilità, non esclusività della decisione algoritmica, il divieto di discriminazione algoritmica, standard di qualità ed esattezza dei dati da utilizzare, anche a fini di adeguata rappresentatività del campione assunto a riferimento, per evitare processi algoritmici dall’esito distorsivo, nonché (per quanto concerne l’ambito law enforcement) l’obbligo di adozione di misure specifiche “a salvaguardia dei diritti, delle libertà e dei legittimi interessi dell'interessato in caso di ricorso a dati appartenenti a categorie particolari e un divieto generale di “ profilazione che porta alla discriminazione di persone fisiche sulla base di categorie particolari di dati personali” (evidentemente ispirato a pratiche come il racial profiling). Rilevante anche il divieto di uso di tecniche di targeting politico che determinino profilazione, sulla base di dati “particolari” (prima definiti sensibili) previsto dal Reg UE 2024/900.

Le garanzie privacy sono, del resto, espressamente richiamate dall'Ai Act anche rispetto al riconoscimento biometrico, sia esso “post-remote” o real time (quest'ultimo ritenuto più invasivo e, dunque, subordinato a più stringenti presupposti di ammissibilità).

In particolare, i sistemi di riconoscimento facciale “real time”, sono ammessi dall’AI Act se volti a ricercare potenziali vittime di reato, compresi i minori scomparsi; impedire minacce specifiche, sostanziali ed imminenti alla vita o all’incolumità personale (per es. un attacco terroristico); individuare, localizzare, identificare o perseguire i soggetti sospettati di reato di cui all’articolo 2, paragrafo 2, della decisione quadro 2002/584/GAI del Consiglio punibile nello Stato membro interessato con una pena o una misura di sicurezza privativa della libertà della durata massima di almeno tre anni, come stabilito dalla legge nazionale.

L’uso dei sistemi real time dovrà inoltre essere ponderato (e conseguentemente autorizzato, dall’autorità giudiziaria o amministrativa indipendente designata), sulla base della «natura della situazione» nonché sulle «conseguenze» suscettibili di derivarne «per i diritti e le libertà di tutte le persone interessate», con particolare riguardo, nel primo caso, alla «gravità», alla «probabilità» ed all’«entità del danno causato dal mancato uso del sistema» e, nella seconda ipotesi, alla «gravità», alla «probabilità» ed all’«entità» delle suddette conseguenze. In sede autorizzatoria andranno, inoltre, stabilite limitazioni «temporali» e «geografiche», oltreché «personali», che siano «necessarie e proporzionate”.

Il diritto alla protezione dei dati svolge, dunque, un ruolo centrale nella governance dell’i.a. di cui garantisce la sostenibilità. Se ne è avuta dimostrazione significativa anche nel 2025, sia sul versante normativo sia su quello applicativo. Per quanto riguarda il primo, l’inizio dell’efficacia delle norme dell’Ai Act e l’approvazione definitiva della legge italiana sull’i.a. (n. 132 del 2025) hanno concorso a delineare un quadro regolatorio in cui la protezione dati assume una funzione importante. Così, in particolare, essa costituisce uno dei diritti fondamentali al cui rispetto la legge subordina l’utilizzo dell’i.a., un parametro di ammissibilità del riconoscimento facciale nel contesto del law enforcement e del ricorso agli algoritmi in sanità (che non deve mai, aggiunge la legge, determinare discriminazioni nell’accesso alle cure e riservare sempre la decisione al medico). La delega legislativa attribuita al Governo dovrà, inoltre, designare il Garante – come prevede l’art. 74.8 dell’Ai Act – quale Autorità per il controllo sull’uso dell’i.a. in contesti particolarmente sensibili, quali l’immigrazione, i processi democratici, la giustizia. Si dovrà anche normare il ricorso agli algoritmi da parte delle forze di polizia e nelle indagini preliminari, sempre assumendo, tra i parametri di legittimità, la disciplina di protezione dati.

Se, dunque, la cornice normativa- come consolidatasi nel periodo considerato- dimostra come la protezione dati rappresenti un presidio essenziale di legittimità dell’uso dell’i.a. in ogni contesto, a tutela della dignità della persona, anche l’applicazione delle norme vigenti da parte del Garante, nel 2025, ha potuto confermare questo assunto. Particolarmente rilevante, in tal senso, il provvedimento adottato dal Garante nei confronti di Deepseek, il chatbot d’i.a. relazionale di derivazione cinese, che appena lanciato sul mercato ha incontrato una rilevante adesione, anche in Europa. La mancanza di garanzie nell’uso dei dati degli utenti ha, così, indotto l’Autorità ad adottare un provvedimento urgente di limitazione del trattamento per gli utenti italiani, aprendo contestualmente un’istruttoria.

I minori e le piattaforme 

Nel corso del 2025, il tema dell’accesso dei minori alla rete e, in particolare, ai social ha assunto una rilevanza centrale nel dibattito pubblico, non solo in Europa. Nel discorso di Monaco di febbraio, JD Vance osservava: “Purtroppo, quando guardo l’Europa di oggi, non è sempre chiaro cosa sia successo ad alcuni dei vincitori della Guerra Fredda. Guardo a Bruxelles, dove dei commissars (traslitterazione di komissar: i commissari politici sovietici) avvertono i cittadini che intendono chiudere i social network in periodi di disordini civili non appena individuano quelli che hanno giudicato, cito testualmente, contenuti di incitamento all’odio. (….) La libertà di espressione, lo temo, sta regredendo”.

Con queste parole, il vicepresidente degli Stati Uniti ha individuato, tra gli altri, nella regolazione dei social network e nei limiti imposti alle piattaforme una delle espressioni del supposto allontanamento (se non, addirittura, vero e proprio tradimento) dei valori democratici su cui si fonda l’identità europea.

È di poco successivo al discorso di Monaco l’Executive Order su Tik Tok, con cui l’amministrazione Trump ha imposto alla nuova joint venture di diritto statunitense, “Tik Tok USA” la derivazione americana di almeno l’ottanta per cento del capitale, dei codici e delle decisioni sulla moderazione dei contenuti, nonché dell’azienda che gestisca il cloud in cui siano conservati i dati degli utenti.

La piattaforma di maggior successo tra i giovani diviene, dunque, terreno di scontro geopolitico; luogo di affermazione di una sovranità sempre più in crisi. In questi giorni, da un lato e dall’altro dell’Oceano le principali piattaforme sono convenute in class action riguardanti la loro responsabilità per i danni ingenerati, negli utenti più giovani, dall’uso dei social network.

Così, negli Usa, Meta, Instagram e Snapchat devono rispondere del rischio di dipendenza che possono ingenerare, utilizzando – è questo l’assunto - meccanismi deliberatamente costruiti per massimizzare il tempo di permanenza degli utenti, in particolare minori, sottovalutandone le implicazioni piscologiche.

Il Tribunale di Milano, invece, investito di una specifica azione collettiva, dovrà valutare la responsabilità di Meta (per Facebook e Instagram) e TikTok rispetto agli obblighi di verifica dell’età, di eliminazione dei sistemi che ingenerano dipendenza, come lo scroll infinito, di informazione rispetto agli effetti dell’abuso dei social. In Australia, è stato disposto, dal 10 dicembre, il divieto di accesso ai social ai minori di sedici anni, con chiusura degli account già attivi.

Questi elementi sono, anche, alla base dei vari progetti di legge volti a vietare l’uso dei social ai ragazzi al di sotto di una determinata età, nonostante già la disciplina privacy fissi alla soglia dei 14 anni l’età del consenso digitale. Nel 2025 il dibattito parlamentare su questi temi si è sviluppato in maniera particolarmente rilevante, imprimendo a un tratto un’accelerazione all’esame, in Commissione, dei disegni di legge presentati al Senato. A fronte di testi proposti da varie forze politiche, a settembre 2025 è stato assunto, come nuovo testo base, un testo del Relatore che vieta l'attivazione di account sui social network online e sulle piattaforme di condivisione di video a utenti d’età inferiore ai 15 anni. Esso, inoltre, intende regolamentare il fenomeno dei baby influencer, rinviando a linee guida dell’Autorità per le garanzie nelle comunicazioni l’introduzione di tutele essenziali anche sotto il profilo lavoristico.

Rispetto alla soglia di età per l’accesso ai social, il Garante ha espresso alcune perplessità, ricordando come la scelta – operata nel 2018- dei 14 anni quale limite minimo di età per il consenso digitale vantasse ragioni importanti.

In favore di tale scelta si era, infatti, ricordato - anche da parte del Garante - come il raggiungimento dei 14 anni determina, nel nostro ordinamento, il riconoscimento al minore di una, significativa benché parziale, capacità di agire in determinati ambiti. Significativa, in tal senso, la legge sul cyberbullismo (l. n. 71 del 2017), che legittima il minore ultraquattordicenne a richiedere autonomamente, alla piattaforma su cui siano pubblicati contenuti per lui pregiudizievoli, la rimozione degli stessi. In caso di inerzia del gestore, lo stesso minore può rivolgere analoga istanza, in via autonoma, al Garante. Previsione analoga caratterizza la disciplina del revenge porn che, appunto, legittima i minori che abbiano compiuto 14 anni a richiedere il blocco del caricamento dei contenuti intimi. Tra le norme recenti rileva, in modo particolare, la legge sull’i.a. (n. 132 del 2025), che individua nei 14 anni la soglia di età per avvalersi autonomamente dell’i.a.

Non meno rilevante appariva (e appare) la previsione dell’art. 97 del codice penale che, al compimento dei 14 anni, riconnette la fine della presunzione assoluta di inimputabilità penale del minore. Altrettanto importante è la previsione- anch’essa di altro settore normativo, ma comunque significativa – del diritto del minore che abbia compiuto 14 anni a prestare il proprio consenso all’adozione. Correttamente, sul punto, il Garante rileva che “sarebbe parso, pertanto, incoerente ammettere il quattordicenne a prestare il proprio consenso per essere adottato, ma non per avvalersi di un social network”

Altra considerazione condivisibile del Garante riguarda l’eccessiva distanza – che in tal modo si rimarcherebbe – tra il diritto e la realtà, ovvero tra la previsione normativa dell’età per il consenso digitale e l’età a cui, nei fatti, i ragazzi accedono ai social. Un’eccessiva divaricazione tra queste due componenti rischia, infatti, di rendere le norme del tutto ineffettive perché inconciliabili con le istanze sociali.

Ciò che – sottolinea il Garante – è indispensabile garantire, comunque, è un metodo efficace, attendibile ma anche non eccessivamente invasivo di verifica dell’età degli utenti che accedono ai social, bilanciando “l’esigenza di un controllo effettivo con quella di evitare una “schedatura” massiva, tanto più di minorenni”.

Altrettanto dirimente è comunque, in ogni caso, una campagna di sensibilizzazione e formazione dei minori (ma anche degli adulti, figure di riferimento dei primi tanto quanto utenti della rete) che li responsabilizzi nell’uso, appunto consapevole, della rete.

In assenza di un’adeguata consapevolezza dei rischi, oltre che delle opportunità cui ci espone il web, infatti, nessun limite di età nell’accesso ai social, per quanto elevato, potrà mai risultare, in alcun modo, utile.

La privacy delle persone migranti 

Particolare rilevanza ha assunto, tra le norme adottate nel periodo considerato, la disciplina dell’ispezione dei dispositivi elettronici dei migranti, per fini identificativi, contenuta nel decreto flussi (d.l. 145 del 2024)

Nell’ipotesi d’inosservanza dell’obbligo di cooperazione del richiedente protezione internazionale (o del migrante trattenuto nei centri per il rimpatrio) con le autorità a fini identificativi, la norma legittima, infatti, ufficiali e agenti di pubblica sicurezza, su disposizione del Questore, all’ “accesso immediato ai dati identificativi dei dispositivi e supporti di dati elettronici e delle eventuali schede elettroniche (S.I.M.) o digitali (eS.I.M.) in possesso dello straniero, nonché ai documenti, anche video o fotografici, contenuti nei medesimi dispositivi”, escluse la corrispondenza e “qualunque altra forma di comunicazione”. Quest’ispezione è legittimata anche nei confronti dei minori stranieri non accompagnati, al ricorrere degli stessi presupposti. In entrambi i casi, le ispezioni sono soggette a convalida da parte del giudice di pace o, nel caso di minorenni, del Tribunale dei minori con previsione dell’inutilizzabilità (e relativa cancellazione) dei dati che siano stati consultati illegittimamente a fronte della mancata convalida, anche solo parziale. Il migrante, con l’assistenza del mediatore culturale e, ove nominato, l’esercente poteri tutelari per i minori stranieri non accompagnati è ammesso a partecipare alle operazioni ispettive.

Ora, l’articolo 9, paragrafo 5, del Regolamento (UE) 2024/1348 legittima simili operazioni limitatamente, però, alla persona del richiedente o ai suoi “effetti personali” (tra cui, secondo il Considerando 22, possono rientrate anche i dispositivi mobili), se “necessario e debitamente giustificato per l'esame della domanda” di protezione internazionale. Per i minori, tuttavia, il Reg. 1348 esige garanzie rafforzate, evitando accertamenti irragionevoli, contrastanti con il loro superiore interesse e presumendo la minore età in caso di dubbio. Anche in ragione di ciò, il Garante ha espresso dubbi sulla proporzionalità di questa forma d’ispezione, considerando “l’ampio novero di informazioni (dell’interessato e di terzi) suscettibile di essere reperito all’interno di un dispositivo mobile e la particolare “gravità” (tale definita dalla sent. CGUE, 4 ottobre 2024, C-548/21) di tale ingerenza nei diritti fondamentali dell’interessato. In quella sentenza- ricorda il Garante - , relativa a una norma austriaca sull’accesso ai dispositivi mobili di indagati per fini investigativi la Corte ha ritenuto tale misura – in ragione della gravità dell’ingerenza nei diritti dell’indagato - ammissibile “nella misura in cui definisca in modo sufficientemente preciso la natura o le categorie dei reati in questione, garantisca il rispetto del principio di proporzionalità e sottoponga l'esercizio di tale possibilità, salvo casi di emergenza debitamente giustificati, al controllo preventivo di un giudice o di un ente amministrativo.” La Corte aveva anche osservato che “la valutazione della proporzionalità implichi “ una ponderazione di tutti gli elementi rilevanti nel caso di specie (…)”, tra i quali “la gravità della limitazione così posta all’esercizio dei diritti fondamentali in questione, che dipende dalla natura e dalla sensibilità dei dati” accessibili, “il collegamento esistente tra il proprietario del telefono cellulare e il reato in questione o anche la pertinenza dei dati in questione per l'accertamento dei fatti.”.

In conformità a tali principi, il Garante ha osservato che “l’espressa inclusione, nel novero dei contenuti suscettibili di accesso, dei “documenti, anche video o fotografici” consente una perquisizione potenzialmente ampia del dispositivo, senza l’immediata evidenza di un collegamento diretto, richiesto dalla Corte di giustizia, tra i contenuti accessibili e l’esigenza di identificazione. In tale categoria di contenuti possono, infatti, essere ricompresi anche dati “sensibili”, persino di terzi. La stessa esclusione (necessaria ex art. 15 Cost.) dei contenuti inerenti corrispondenza e ogni altra forma di comunicazione dal novero di quelli accessibili si presta a possibili elusioni, nella misura in cui tra le foto accessibili ben potrebbe esservi anche la fotografia di chat o altro tipo di comunicazione. La “sanzione” dell’inutilizzabilità dei contenuti acceduti in caso di mancata convalida, ancorché doverosa, non attenua peraltro del tutto il pregiudizio derivante dall’accesso illegittimo ai dati in questione. Sarebbe quindi opportuno sopprimere almeno il riferimento espresso all’accessibilità dei documenti video o fotografici o, eventualmente, includere nel divieto di accesso i contenuti diversi da documenti identificativi dell’interessato o dalla documentazione inerente i Paesi di transito. Si consideri, del resto, che la legge tedesca sull’asilo che, pur come extrema ratio – e sempre che non siano disponibili mezzi meno invasivi secondo circostanze da documentare - ammette (non esplicitamente per i minori) tale misura, la esclude però in presenza di “indicazioni concrete per supporre che l’analisi dei dati porterebbe all'acquisizione di informazioni tutelate dal diritto alla riservatezza”. Inoltre, si prevede che i dati utilizzati per stabilire l’identità e la nazionalità dello straniero debbano essere cancellati non appena non siano più necessari per tali scopi e si dispone l’adozione comunque di garanzie di sicurezza per evitare accessi indebiti ai dati”.

L’Autorità ha anche osservato che “la limitazione dell’intervento giudiziale alla fase solo successiva della convalida è difficilmente compatibile con quell’esigenza di previa verifica del rispetto, in concreto, del principio di proporzionalità che la CGUE ha affermato rispetto al procedimento penale nella sentenza del 4 ottobre e che, dunque, dovrebbe essere a fortiori considerata nell’ambito di un procedimento amministrativo. Sarebbe dunque auspicabile limitare la convalida, come suggerito dalla Corte, ai soli casi di urgenza come deroga alla previa autorizzazione giudiziale, sia pur da rendere in tempi ridotti”. Infine, si è rilevato che “l’estensione ai minori stranieri non accompagnati del potere di accesso a fini identificativi va attentamente valutato considerando le garanzie loro accordate (secondo il principio del superiore interesse del minore) dal Reg. 1384, che delinea sul punto alcune possibili verifiche da eseguire secondo un criterio di gradualità”.

Benché ripresi nel dibattito parlamentare e, in particolare, nelle pregiudiziali di costituzionalità, questi rilievi non si sono, tuttavia, tradotti in modifiche normative e, dunque, il testo del decreto-legge è rimasto invariato.

Ciò è tanto più singolare considerando che, a dicembre 2025, nell’ambito dell’esame parlamentare del disegno di legge di delegazione europea, è stata introdotta una specifica delega legislativa per la riforma della disciplina dell’accesso ai dati contenuti in dispositivi digitali a fini di prevenzione, accertamento e repressione penale che, tenendo conto dei principi espressi dalla Corte di giustizia Ue nella sentenza citata e soprattutto del principio di proporzionalità, tipizzi con precisione i presupposti di accesso e acquisizione dei dati e subordini l’ accesso ai dati al controllo preventivo di un giudice o di un organo amministrativo indipendente, salvo in casi di urgenza.

Raccomandazioni

Preferire (o quantomeno affiancare) al divieto di accesso ai social per i soggetti di età inferiore a quella stabilita, un’adeguata formazione e sensibilizzazione dei ragazzi (e non solo) rispetto ai rischi suscettibili di derivare da un uso scorretto o poco consapevole della rete;

Introdurre misure efficaci di age verification per impedire che gli utenti della rete più piccoli possano accedere a contenuti non adeguati al loro grado di sviluppo etico e cognitivo

Rivedere la disciplina dell’ispezione dei dispositivi dei migranti a fini identificativi secondo le indicazioni del Garante e i principi sanciti dalla Corte di giustizia ;

Assicurare un adeguato coinvolgimento del Garante per la protezione dei dati personali nell’attuazione del Regolamento europeo sull’i.a., monitorandone gli effetti sui diritti e le libertà fondamentali