Episodio 28 — Avv. Sergio Amato: In Questo Momento Diverse Decine di Soggetti Stanno Raccogliendo i Tuoi Dati

Privacy, GDPR e intelligenza artificiale: cosa significa davvero «non ho niente da nascondere» e perché la consapevolezza vale più di qualsiasi norma

La prima domanda della puntata è anche la più diretta: in questo momento, mentre parliamo, quanti soggetti stanno raccogliendo dati su di noi?

La risposta è secca: diverse decine.

Ma la seconda parte della risposta è quella che definisce il tono dell’intera conversazione:

«Questo però non deve farci spaventare. Non voglio lanciare un messaggio terroristico. È fisiologico che tutti noi lasciamo delle tracce digitali».

L’avvocato Sergio Amato lavora dove diritto e tecnologia si incontrano: privacy, GDPR, intelligenza artificiale e regolazione digitale. È partner di uno studio a Milano e assume il ruolo di Data Protection Officer per realtà pubbliche e private.

La ventottesima puntata di Paracadute Podcast è costruita attorno a una parola sola, che lui ripete decine di volte: consapevolezza.

Chi è l’avvocato Sergio Amato

Sergio Amato è avvocato e partner di uno studio legale a Milano, specializzato nell’area dove diritto e tecnologia si incontrano.

Di cosa si occupa

• Privacy e GDPR
• Intelligenza artificiale e AI Act
• Regolazione digitale

Il ruolo di DPO. Assume l’incarico di Data Protection Officer per diverse realtà, sia pubbliche sia private, incluse strutture sanitarie e ASL.

Cosa ha scritto. È autore di un libro sulla monetizzazione dei dati, e cura una newsletter mensile chiamata DPO News, dedicata agli aggiornamenti normativi del settore.

Come si descrive

Alla domanda su come lo percepiscano gli amici, la risposta è interessante:

«Un po’ come un hacker, un po’ come un tecnico. Una figura di mezzo. E in realtà è un po’ quello che sono».

Le tracce digitali che lasciamo

La risposta alla domanda d’apertura vale la pena riprenderla per intero, perché imposta tutto il resto.

«Direi diverse decine. Tutti gli oggetti tecnologici che abbiamo qui sono interconnessi, hanno dei sistemi con cui dialogano».

Il registro che sceglie

È il punto che distingue questa puntata da un allarmismo generico:

«Non voglio lanciare un messaggio terroristico. È fisiologico che tutti noi lasciamo delle tracce digitali del nostro percorso, delle nostre azioni».

Il punto

«Il tema è esserne consapevoli e, ove è possibile, controllare anche questa eredità digitale che lasciamo tutti i giorni».

Non azzerare le tracce, che è impossibile. Sapere che ci sono, e governarle dove si può.

Cosa fa che spaventa i suoi amici

Alla domanda su cosa faccia che risulti ridicolo o inquietante a una persona comune, la risposta è concreta e autoironica.

«Quando sono con i miei amici sono il primo che va a controllare eventuali installazioni di cookie o tecniche di tracciamento. Sto lì molto tempo a deselezionare tutto, il che rallenta parecchio le operazioni di ricerca».

Perché lo fa

L’espressione che usa è la migliore della sezione:

«Per non soffrire della sindrome del calzolaio che va in giro con le scarpe rotte».

Cosa comporta non farlo

«Porta a quel tracciamento, quindi a un’analisi molto più puntuale dei tuoi interessi, delle tue abitudini».

E anche qui non demonizza:

«Il che non è necessariamente un male. Però torna il tema della consapevolezza».

Dalla Sicilia a Milano

È la parte più personale della puntata, e Sergio Amato la affronta senza retorica.

Le origini

È originario della Sicilia, dove torna spesso anche per lavoro, seguendo diverse aziende del territorio.

E non esclude un ritorno futuro: «Un domani mi piacerebbe avere una seconda sede, o magari la sede principale».

Milano

La descrive con una formulazione che chiunque si sia trasferito riconoscerà:

«Milano è la seconda casa, che ha la capacità di farti sentire casa. Non tutte le città sono così».

Cosa si porta dietro dal Sud. «Un po’ di quel pragmatismo, di quella concretezza che caratterizza certi tessuti imprenditoriali».

La sfida che descrive

È l’osservazione più equilibrata della sezione, perché non contrappone i due mondi:

«Trovare il giusto bilanciamento tra una città che corre, dinamica per sua vocazione come Milano, e magari il Sud, le isole, che hanno quella componente di lentezza. Ma non è una lentezza statica: anche lì c’è un movimento, solo che scorre in maniera diversa».

L’orgoglio

Alla domanda se lo renda orgoglioso essere arrivato da lì a partner di uno studio milanese, la risposta è misurata:

«È un punto non di arrivo, ma di partenza».

La metafora dell’autostrada

È l’immagine più bella della puntata, e risponde a chiunque si chieda come si faccia a scegliere senza avere le idee chiare:

«Quando guidi di notte non hai tutti i chilometri con la luce davanti. Di metro in metro i fari vanno a illuminare la strada, e tu prosegui».

La conclusione: «Difficilmente parti già con un’idea chiara all’origine».

Perché ha scelto privacy e intelligenza artificiale

La motivazione dichiarata. «È nata dalla voglia di distinguersi, di fare un percorso un po’ diverso».

Il percorso. Pur avendo avuto una formazione classica in giurisprudenza, all’università ha frequentato cliniche di diritto dedicate alle nuove tecnologie e alla privacy.

La tesi

È il dettaglio che spiega meglio i suoi interessi attuali. La tesi era sulla profilazione ideologica:

«Tutta quell’attività di targeting che viene fatta verso noi cittadini e utenti per influenzare le nostre scelte politiche».

È un tema che tornerà più volte nella puntata, e che considera più grave della profilazione commerciale.

L’esperienza in azienda

Ha iniziato lavorando come legale interno, e indica questa esperienza come il suo vantaggio competitivo attuale:

«Il fatto di lavorare dentro le aziende ti dà il vantaggio di conoscere come ragionano, come sono suddivisi i dipartimenti, come imposta una politica il top management».

Il motto

La formula che usa per descrivere il proprio approccio è value for your business, ed è accompagnata da una riflessione sul mestiere:

«È il ruolo dell’avvocato che si sta evolvendo. Non deve essere qualcuno che applica soltanto le regole, ma che le applica in base al contesto, con l’obiettivo di facilitare il business e l’innovazione».

Achille e la tartaruga: diritto contro tecnologia

È l’immagine con cui Sergio Amato spiega il problema strutturale del suo settore, e la introduce definendola «un po’ colta».

Il paradosso. Nel paradosso di Zenone, Achille è velocissimo e la tartaruga lentissima. Ma la tartaruga parte avanti, e Achille non la raggiunge mai.

L’applicazione. «Il diritto, le leggi, la regolamentazione seguono la tecnologia e l’innovazione. Il problema è che deve rincorrere un qualcosa che è in continua evoluzione».

La conseguenza

Ed è il punto che collega tutta la puntata:

«Molto passa non solo dalle regole, ma anche dalla sensibilità di ciascuno di noi».

Se la norma arriva sempre dopo, la protezione non può dipendere solo da lei.

La giornata tipo e l’aggiornamento continuo

La sintesi che dà è ironica: «mail e riunioni». Ma la parte interessante è l’inizio.

L’aggiornamento come prima attività

«Una parte importante della mia giornata, spesso all’inizio, la dedico all’aggiornamento».

Riviste di settore, quotidiani, LinkedIn come fonte.

Perché. «Davvero in queste tematiche l’aggiornamento è qualcosa di fondamentale».

Come lo trasmette

Da qui nasce la DPO News, la sua newsletter mensile, e la ragione che dà per averla creata è empatica:

«Il vero problema oggi per un’azienda è stare dietro a tutte queste tematiche di compliance tecnologiche. Hai sempre la paura di essere un passo indietro».

La diagnosi

E qui fa un’osservazione che riguarda tutti, non solo le imprese:

«Probabilmente incide anche la comunicazione, il fatto che sia tutto così veloce, per cui hai sempre quella fear of missing out, quella paura di essere indietro».

La sua risposta:

«Non si possa fare altro che correre col proprio ritmo, perché altrimenti si rincorre un po’ come il cane contro i piccioni».

Il siciliano che studia cinese

È il dettaglio biografico più inatteso della puntata: ha studiato mandarino, e da un anno studia spagnolo.

La ragione. «Semplice curiosità verso un mondo che mi affascina molto». Attraverso la lingua, precisa, si studia anche la cultura.

Cosa gli ha dato

La parte più interessante è l’effetto pratico, che ha riscontrato anche in contesti lavorativi:

«La parte più soddisfacente è quando, anche con qualche parolina banale come ciao, arrivederci, come ti chiami, riesci a interagire con una persona cinese. Lo apprezzano molto».

Come sta cambiando il mestiere dell’avvocato

Sergio Amato individua due trasformazioni parallele.

Le modalità di lavoro. L’uso dell’AI, e il passaggio dalle riunioni in presenza a quelle da remoto. Cambiamenti che, osserva, riguardano tutti i professionisti.

Le competenze

È il cambiamento più sostanziale:

«Si sta andando sempre più verso competenze stragiudiziali, trasversali, di comprensione tecnologica dei sistemi».

Su cosa investe

È una scelta esplicita, e non è scontata per un avvocato:

«È importante conoscere i sistemi, conoscere i large language model su cui si basano le attività che i clienti svolgono».

Cosa non cambierà

Precisa però che i fondamenti restano:

«Pensiamo soltanto al diritto civile. Quando si parla di responsabilità, di utilizzo dei prodotti AI, rimarrà e ci sarà sempre».

L’AI sostituirà gli avvocati?

La risposta comincia con un «spero di no, però mai dire mai», e poi porta un argomento solido.

L’argomento della responsabilità

«Il fatto di andare da un legale per qualunque tipo di documento, che sia davvero una riga su un contratto, ti dà l’affidabilità e la sicurezza di esserti affidato a un professionista».

Il paragone che usa: «Nessuno sostituirebbe mai il medico con l’AI».

Come cambierà il rapporto col cliente

È la parte più realistica della risposta, e riguarda una situazione che ormai è quotidiana:

«Diventerà una professione in cui devi essere già abituato al fatto che il cliente ha fatto un po’ di riflessioni con l’AI, utilizzandola come sparring partner».

Il rifiuto del purismo

La sua posizione è esplicitamente contro l’atteggiamento difensivo:

«Negarlo sarebbe un po’ da bigotti. Dire: iniziamo dal foglio bianco, dimmi che esigenze hai».

Dove sta il valore aggiunto. «Tu hai una tua base, io ti porto il mio valore aggiunto, che è anche l’esperienza nell’aver visto certe situazioni in certi contesti».

«Io non ho niente da nascondere»

È la frase che Sergio Amato sente più spesso, e la sua analisi è la parte più concettuale della puntata.

Cosa nasconde quella frase. «Nasconde, nella maggior parte dei casi, poca sensibilità».

Perché non è solo un problema di sanzioni

Ed è qui che sposta il discorso su un piano che gli imprenditori capiscono meglio:

«Non è soltanto prevenire un rischio sanzionatorio. È anche: io devo essere credibile verso il mercato. Come mi propongo come partner, come provider?»

La riformulazione

Alla domanda se una persona trasparente possa comunque avere problemi, la risposta ribalta i termini:

«Non si tratta tanto di non nascondere, ma si tratta di fare i compiti a casa».

La proporzionalità

È un tema che ricorre in tutta la puntata:

«È chiaro che la startup neocostituita non può avere un sistema di controlli come Google, tanto per intenderci».

Il dato che riporta sulle startup

È l’osservazione più utile per chi sta costruendo qualcosa:

«Nei round di investimento ormai le prime cose che vengono chieste sono proprio quelle: il tuo prodotto è conforme, è sicuro, può andare sul mercato?»

E la conseguenza:

«Questo fa tutta la differenza del mondo per la crescita dell’azienda, ma in alcuni casi proprio per la sopravvivenza».

Perché i dati sono il nuovo petrolio

Sergio Amato cita le due formule che circolano da anni: data is the new oil e se è gratis, il prodotto sei tu.

Il modello. «Molti servizi che sembrano gratuiti in realtà sono un po’ premium. Non paghi in euro, ma paghi con i tuoi dati».

Cosa cambia con l’AI. «Con il diffondersi dell’intelligenza artificiale questo modello si sta evolvendo, ma mantiene questa radice comune. Anche l’intelligenza artificiale si nutre di dati».

L’esempio che nessuno riconosce come tale

È il passaggio più illuminante della sezione, e viene dal libro che ha scritto sulla monetizzazione dei dati:

«Anche i servizi che ti propongono: iscriviti alla newsletter, hai un 20% di sconto. In realtà sono una forma di monetizzazione del dato, perché tu stai vendendo il tuo indirizzo mail e il tuo consenso a ricevere materiale promozionale per uno sconto».

È una transazione. Solo che non la percepiamo come tale.

Il mercato illecito

Cita anche il lato patologico del fenomeno: l’esistenza di un mercato reale di dati e documenti d’identità.

«Un passaporto, una carta d’identità, possono valere fino a venti, trenta, quaranta euro».

Nota redazionale: la cifra è riportata come indicata dall’ospite. L’esistenza di mercati illeciti di documenti e credenziali è documentata da report di settore, con valori che variano molto per tipologia e provenienza.

Cosa regali accettando i cookie

Alla domanda diretta su cosa si stia cedendo, la risposta è precisa.

«Stai regalando la possibilità di essere monitorato, di essere tracciato, e la possibilità che nelle future navigazioni venga presentata della pubblicità a tua insaputa».

La camera d’eco

Il concetto che usa è efficace:

«Entri in quella camera d’eco in cui vengono riproposti sempre gli stessi messaggi promozionali».

Dove diventa un problema serio

Ed è qui che riprende il tema della sua tesi, distinguendo nettamente due piani:

«Il punto diventa più perturbante quando non si tratta della sfera commerciale, ma della sfera ideologica, politica, filosofica, religiosa».

Perché

«Se certe informazioni vengono utilizzate a tua insaputa per propinarti un certo contenuto, e influenzano il tuo modo di pensare, di informarti, di autodeterminare la tua opinione, lì diventa un problema per la società».

Cita come precedente il caso Cambridge Analytica.

Cosa chiede alle piattaforme. «Le aziende, i social, le piattaforme devono garantire una neutralità di fondo e soprattutto una trasparenza».

L’ascolto passivo degli assistenti vocali

È la risposta alla domanda che tutti si fanno: ci ascoltano?

Il meccanismo

«Molti sono in questo stato costante di passive listening. Sono silenti, ma appena arriva un comando vocale si attivano, perché devono risponderti se hai attivato quella funzionalità».

La conseguenza. «Quello stato di ascolto passivo genera comunque una mole di informazioni che può essere utilizzata per contenuti commerciali e promozionali».

La sua posizione personale. Nelle domande a raffica, alla domanda se userebbe un assistente vocale in casa, risponde di non averlo mai fatto.

Come proteggersi davvero

È la sezione più azionabile della puntata, e i consigli sono quattro.

1. Le istanze di accesso

È un diritto che il GDPR riconosce a chiunque nell’Unione Europea, e che quasi nessuno esercita:

«Sapere in qualunque momento cosa sta trattando quell’azienda su di noi, cosa sa su di noi».

Si fa senza formalismi particolari, e non serve un avvocato.

2. Le istanze di cancellazione. Sulla base di quanto emerge dalla risposta, si può chiedere la cancellazione dei propri dati.

3. Deselezionare l’apprendimento automatico

È il consiglio più specifico e riguarda chi usa l’AI, soprattutto per lavoro:

«Deselezionare nei settaggi privacy della piattaforma l’apprendimento automatico, il riutilizzo di quegli input, di quei dati e informazioni che vai a immettere».

4. La review periodica degli accessi

È il consiglio più sottovalutato e il più facile da mettere in pratica:

«Consiglio periodicamente una review di quali app possono accedere alla mia galleria, quali app possono accedere al mio conto bancario».

La ragione: «Avere il termometro di chi può accedere a cosa, chi può vedere cosa».

Il caso dell’app sull’auto

È l’esempio pratico che Sergio Amato porta per far capire cosa significhi davvero perdere il controllo su un dato, e non riguarda affatto la pubblicità.

La funzionalità. Molte auto moderne hanno app che permettono di controllare il chilometraggio percorso e dove il veicolo è parcheggiato.

Il problema

«Questi dati nelle mani sbagliate possono avere degli effetti devastanti».

L’esempio che porta è concreto: in una coppia, l’accesso di uno all’app dell’altro consente di sapere in tempo reale dove si trova il partner.

La doppia lezione

Per l’utente: attenzione alla propria geolocalizzazione, che è un dato personale a tutti gli effetti.

Per l’azienda: il prodotto va progettato conforme fin dagli accessi. Se il proprietario del veicolo è uno, l’utenza deve essere sua, non di terzi.

Privacy aziendale: interna ed esterna

È il modello con cui Sergio Amato semplifica il tema per le imprese, e funziona bene.

Il problema di partenza

«È un problema che non noti forse fin quando non nasce».

Finché non arriva un’istanza, una richiesta di cancellazione o una verifica ispettiva, non ce ne si accorge.

Privacy interna

Riguarda dipendenti, collaboratori e candidati. Gli aspetti che elenca:

• Trasparenza su cosa si fa con quei dati
• Come si valutano i dipendenti
• Monitoraggio, controllo e videosorveglianza
• Per quanto tempo si conservano contratti e curricula

Privacy esterna

Riguarda tutti i soggetti che orbitano attorno all’azienda: utenti del sito, clienti, prospect.

Qui la componente è spesso strategica, perché riguarda la possibilità di contattare quelle persone.

I dipendenti: videosorveglianza e valutazione

Perché il rapporto col dipendente è delicato. Perché si incastrano più discipline: data protection e diritto del lavoro.

L’esempio della videosorveglianza

Gli adempimenti che elenca sono concreti:

• In alcuni casi, istanza autorizzativa all’ispettorato del lavoro
• Accordi sindacali
• Cartellonistica informativa, perché il dipendente deve sapere che quel luogo è videosorvegliato

L’attività più delicata

È la valutazione dei dipendenti:

«Devi stare molto attento nel come valuti, quali dati hai a supporto e come li tratti, perché siamo in una sfera molto personale».

Cosa rischia l’azienda

Il rischio più concreto è il reclamo al Garante da parte di un dipendente, tipicamente quando il rapporto si chiude male.

«È uno spauracchio di molte aziende, perché da lì si apre tutto un filone di istruttoria».

La soluzione che indica

È sorprendentemente semplice, e riguarda la trasparenza:

«Spesso la frase in più, le due righe in più, aiutano nell’ottica di dire: io sono trasparente con te, sono stato accountable».

Il marketing: il trattamento più rischioso

Sul lato esterno, Sergio Amato indica un’area su tutte:

«Sul marketing il Garante ha proprio un focus specifico settoriale, che nei propri piani ispettivi semestrali va a toccare».

I due requisiti

Liceità a monte. Deve esserci una base giuridica, spesso il consenso.

E qui segnala l’errore più comune:

«A volte non c’è, a volte è preflaggato. E quello è un grande errore».

Conservazione limitata. Ed è qui che usa l’immagine migliore della puntata:

«La regola, un po’ come il diamante, il dato è per sempre, non vale».

Cosa va fatto. Il consenso al marketing va rinfrescato, cioè richiesto nuovamente a intervalli, e i dati vanno cancellati quando non più necessari.

Il consiglio operativo

È una nota metodologica che vale per chi lavora in azienda:

«È molto importante dialogare con la funzione marketing, trovare una quadra, vestire i processi commerciali che possono essere in fiera, eventi fisici, piuttosto che nativamente online».

Cos’è il Data Protection Officer

Alla domanda su cosa faccia un DPO, la definizione è semplice:

«È il responsabile della privacy, il soggetto a cui vengono destinate tutte le istanze in materia di trattamento dati».

Le attività

• Monitoraggio
• Sensibilizzazione, che indica come molto importante
• Corsi di formazione
• Newsletter e aggiornamento periodico
• Supervisione e dialogo con uffici legali, compliance e top management

La definizione del ruolo. «È il soggetto terzo imparziale che dovrebbe supervisionare tutti gli aspetti riguardo i dati e la privacy aziendale».

Come cambia in base al contesto

Nelle startup il ruolo è più ampio: si fa un po’ di tutto, e si diventa anche il partner che accompagna l’azienda davanti ai propri clienti.

Negli enti pubblici e nelle strutture sanitarie la sensibilità cresce enormemente, e con essa l’attenzione dell’autorità.

L’AI applicata alla sanità

È l’ambito che Sergio Amato indica come più delicato, e su cui lavora come DPO.

I processi coinvolti

• Telemedicina
• Gestione delle cartelle cliniche
• Processi di cura dei pazienti
• Marketing sanitario

Perché l’AI in sanità è un tema a sé. «Immagina quanto è centrale il fatto di avere un’AI sicura nella tua sanità, nei tuoi processi di cura, di diagnosi».

Cosa serve

• Valutazione del rischio
• Valutazione degli algoritmi
• Evitare i bias
• Controllo umano

Human in the loop

È il concetto che sottolinea di più, ed è anche previsto dalla normativa:

«Il fatto di avere un soggetto umano, un’intelligenza naturale, a supporto e controllo di quella artificiale».

Cos’è oggi l’intelligenza artificiale

La risposta è una delle più strutturate della puntata, e comincia con una presa di posizione.

Non è una moda

«Io credo non sia una moda, al contrario di altre mode come, ricordo qualche anno fa, il metaverso. È un’infrastruttura tecnologica, è una rivoluzione del web».

Le tre fasi del web

Web 1. Gli utenti erano passivi, cercavano su internet.

Web 2. Si iniziava a interagire, con la diffusione dei social.

Web AI. L’intelligenza artificiale integrata nella quasi totalità dei processi e delle ricerche.

Il paragone. «Un po’ come internet o l’elettricità. Non diremo più: usi elettricità, usi internet. È un po’ quasi ovvio, scontato».

La direzione

Indica l’evoluzione verso gli agenti autonomi:

«L’agente autonomo che svolge attività magari routinarie in autonomia, e tu sei lì a supervisionare quel processo».

Il rischio sui dati. «Il rischio che quei dati escano dal tuo controllo, escano dal presidio che tu puoi dare, perché li dai in pasto a quel motore».

Sulla sostituzione dei professionisti

C’è una posizione equilibrata su chi usa l’AI come consulente finanziario o psicologico:

«Un conto è dire: mi faccio un’idea, sono curioso. Un conto è dire: mi affido del tutto all’AI e non mi affido più al professionista».

La ragione che dà per il professionista è interessante:

«È un’intelligenza umana e ha visto tante altre cose nella sua esperienza, che aiutano ad analizzare il tuo caso».

L’AI Act: provider, deployer e semplificazione

La struttura

L’AI Act regolamenta due categorie di soggetti:

Provider — chi costruisce la tecnologia.

Deployer — chi la utilizza nei propri processi commerciali e di business.

L’esempio della catena

Un grande provider fornisce il modello. Una banca, un ospedale o una startup lo utilizza con un proprio dataset di addestramento, lo rende proprio e lo commercializza.

«La catena di obblighi è abbastanza suddivisa».

Con chi lavora di più. Il deployer, cioè l’azienda che adotta l’AI nei propri processi.

Il rischio principale che vede. «Il rischio è quello di non avere una struttura di compliance dietro. E il tutto nasce dall’individuazione dei ruoli nell’azienda».

La figura che serve

Indica l’emergere dell’AI officer, interno o delegato a un consulente, che coordina il tema con ufficio legale, compliance, privacy, IT e management.

«Serve davvero, più che in altre materie, un coordinamento di fondo».

Cosa chiede l’AI Act, in sostanza

• Documentazione tecnica
• Informare gli utenti quando si dialoga con loro
• Sistemi di supervisione umana
• Policy e procedure
• Processi supervisionati e controllati

La semplificazione in corso

Sergio Amato riconosce apertamente che il primo impianto era troppo ambizioso:

«Ci si è resi conto che forse l’AI Act era un po’ troppo pretenzioso. Alcuni obblighi andavano imposti in maniera più graduale».

Cita un intervento di semplificazione che ha posticipato diversi adempimenti.

Cosa resta comunque in vigore

È l’informazione più utile della sezione, perché tre obblighi restano:

1. Formazione e alfabetizzazione digitale dell’azienda e del personale
2. Trasparenza verso gli utenti
3. Policy e procedure per supervisione e controllo

I tre passaggi per mettersi in regola

1. Mappatura e classificazione del ruolo: sei provider o deployer?
2. Classificazione del rischio dei sistemi che usi
3. Individuazione degli adempimenti conseguenti

Le sanzioni: 4% e 7%

GDPR. Fino al 4% del fatturato o a 20 milioni di euro.

AI Act. Fino al 7% del fatturato, a seconda degli obblighi violati, della classificazione e dell’uso.

Il costo che pesa di più

È il punto su cui insiste, e non è economico:

«Sono temute non soltanto per l’importo, per il tetto edittale, ma anche per l’impatto reputazionale che hanno».

Il dipendente. Chi utilizza in maniera errata i dati aziendali o l’AI rischia una sanzione disciplinare interna.

Quali lavori spariranno davvero

È la domanda che tutti fanno, e la risposta di Sergio Amato è più sfumata di quanto ci si aspetti.

Il dato che cita

Fa riferimento a un report che avrebbe letto, e la distinzione che riporta è importante:

«Non c’è una corsa al licenziamento. L’AI non sta licenziando personale nelle aziende, sta rallentando l’assunzione. Che è una cosa un po’ diversa».

Il meccanismo. «Alcuni imprenditori dicono: io adesso sto bene con la mia struttura, quello che potrei delegare a nuove risorse provo a delegarlo all’AI».

Chi ne soffre di più

Secondo il report che cita, sono i neolaureati, la fascia tra i ventiquattro e i ventisei anni, con un rallentamento nei tassi di assunzione che indica intorno al 10-15% nel mercato americano.

Nota redazionale: la cifra e la fonte sono riportate come citate dall’ospite. I dati sull’impatto occupazionale dell’AI variano molto a seconda della metodologia e del periodo considerato, e il quadro è ancora in evoluzione.

Cosa dovrebbe cambiare nella formazione

È la parte più costruttiva della sezione, e riguarda direttamente chi studia oggi:

«Servirà che le università, i corsi di formazione, i master indirizzino i giovani verso quelle competenze che possono essere sovrapponibili e parallelizzanti rispetto all’AI».

Cosa chiede ai suoi collaboratori

È il consiglio più concreto dell’intera puntata per chi sta entrando nel mondo del lavoro:

«Quello che chiedo non è non utilizzare l’AI, perché sarebbe ancora una volta da bigotti. È invece sviluppare una capacità critica».

E la formula operativa:

«Dimmi cosa ha fatto l’AI e dimmi cosa hai modificato tu».

Come cambia la valutazione

«Non: non utilizzo l’AI, o la utilizzo e faccio copia incolla. Ma: l’ho utilizzata, mi ha dato questo output, io l’ho verificato, l’ho controllato, l’ho modificato, questo è il tenore dei miei interventi».

La sua sintesi: lavorare per soglie incrementali.

Le tre regole per usare l’AI in azienda

È la sezione più direttamente applicabile della puntata.

Regola 1: lo strumento deve essere aziendale

Serve un’autorizzazione formale da parte del management o della divisione IT.

Il metodo che descrive: policy aziendali con una black list di strumenti non utilizzabili e una white list di strumenti autorizzati.

E le licenze devono essere a pagamento, in versione enterprise, per due ragioni:

• Garanzie maggiori in termini di affidabilità
• Chiarezza sui ruoli privacy: il provider agisce come responsabile del trattamento, l’azienda come titolare

Il fenomeno da evitare

Ha un nome ed è molto diffuso:

«Evitare quel fenomeno della Shadow AI, cioè del dipendente che a casa utilizza la versione gratuita».

Regola 2: la base dati

Due opzioni:

• Caricare dati anonimizzati o pseudonimizzati
• Impostare architetture RAG, che non dialogano verso l’esterno ma attingono a una banca dati chiusa e presidiata

I vantaggi che indica sono due: si evitano bias e discriminazioni, e si può contare su una base dati affidabile che resta chiusa.

Regola 3: i settaggi

È il ritorno al consiglio dato per gli utenti privati, applicato all’azienda:

«L’opt-out rispetto all’apprendimento automatico dei modelli. È molto importante che vengano impostati questi presidi e controllati dalla funzione IT».

Deep fake, nudificazione e trasparenza

Lo stato normativo

Sergio Amato segnala che il tema sta a cuore sia al legislatore europeo sia a quello italiano, e cita l’introduzione di un reato relativo alla diffusione di deep fake, con pene che definisce sufficientemente severe.

L’obbligo di trasparenza

È l’informazione operativa più importante della sezione, e riguarda chiunque produca contenuti:

«Entreranno in vigore gli obblighi di trasparenza dell’AI Act, che vanno a informare se un contenuto è stato generato o manipolato artificialmente».

Le aziende che generano o manipolano contenuti con AI dovranno apporre un’icona fornita dall’AI Office europeo e informare gli utenti nei termini e condizioni.

Perché conta

La motivazione che dà va oltre la tutela individuale:

«Se arriviamo al paradosso di non riuscire a distinguere cosa è reale e cosa no, rischiamo di entrare in un mondo in cui quello che dovrebbe essere un processo democratico diventa un processo di disinformazione».

Le app di nudificazione

È il tema più grave che affronta, e la classificazione è netta:

«Le app e i sistemi di nudificazione a sfondo sessuale sono stati inseriti tra i sistemi ad alto rischio, o a rischio addirittura inaccettabile in alcuni casi».

Segnala inoltre che casi del genere sono già stati sanzionati dal Garante.

Il caso pubblico

L’intervistatore richiama il caso di immagini manipolate riguardanti la presidente del Consiglio, e Sergio Amato lo usa per chiarire la distinzione:

Ci sono cose che si possono fare a certe condizioni, informando l’utente sull’origine generativa o manipolata del contenuto. E ci sono cose che non si possono fare, punto.

La sintesi. «Va bene l’AI, la tecnologia potente, trasformativa, dirompente. Però va utilizzata nel modo giusto».

Come si evolvono le truffe

La domanda parte da un ricordo: la lettera dello zio d’Australia che ti ha lasciato due milioni di dollari.

Cosa è cambiato

«Si sono moltiplicate le superfici d’attacco».

L’AI ha fornito strumenti aggiuntivi a chi ha intenzioni malevole.

Il lato opposto della medaglia

È un’osservazione che raramente si sente, e viene dai tecnici con cui lavora:

«Io utilizzo tanto l’AI per fare detection, per fare recognition di eventuali eventi avversi, per fare difesa, per fare prevenzione, ma anche per fare remediation».

La stessa tecnologia sta su entrambi i lati.

La minaccia più nuova

La parte conversazionale, e in particolare i deep fake vocali:

«Diventa molto complicato riuscire a discernere cosa è reale e cosa no».

La difesa

Torna la parola chiave della puntata:

«Dalla consapevolezza di ciascuno di noi come utente, nel riuscire ad adottare quelle regole di igiene digitale che ci proteggono».

Cosa fare se ti clonano l’identità

La sequenza che indica è concreta.

1. Non entrare nel panico. Lo dice riconoscendo che è facile a dirsi: «anche se mi rendo conto non essere facile».

2. Denuncia alla polizia postale. Denuncia o querela.

3. Reclamo al Garante. Dove siano coinvolti dati personali e informazioni confidenziali.

4. Contattare il soggetto corretto. Nel caso di una truffa bancaria, prendere contatti con il proprio istituto di credito per informare dell’accaduto e mitigare i rischi.

La conclusione. «La prevenzione, in questi casi, è l’unica arma, l’unica medicina che è davvero efficace».

Come prevenire

Il consiglio riguarda un’abitudine molto diffusa:

«Spesso, anche di fretta, nei vari siti web, per la ricerca di un preventivo, carichiamo numeri di telefono, indirizzi email, documenti d’identità».

Quella parte, dice, andrebbe evitata o quantomeno ragionata.

Il Garante serve davvero a qualcosa?

La domanda è posta in modo diretto, e la risposta comincia con una precisazione che fa sorridere.

Il chiarimento

«Sorrido sempre quando si parla di Garante della privacy, perché molti pensano che sia solo un soggetto. In realtà è un’autorità amministrativa indipendente».

Ha un collegio con un presidente che adotta le decisioni, una serie di funzionari e una struttura articolata.

La risposta

«Certamente serve, certamente è importante».

Il suo obiettivo: sanzionare le aziende che non trattano i dati in maniera conforme e non assicurano tutele agli interessati.

Le altre autorità in gioco

È l’informazione più utile della sezione, perché il quadro è più frammentato di quanto si pensi:

• Garante della privacy — protezione dei dati personali
• Autorità per la cybersicurezza nazionale — controllo sull’AI
• Agenzia per l’Italia digitale — supervisione di alcuni processi
• AGCOM — tematiche digitali e piattaforme, con report recenti sull’uso dell’AI

«Non c’è un unico soggetto con cui interloquire».

Sorvegliati o più sicuri?

È la domanda più filosofica della puntata, e la risposta è un bilanciamento.

Il costo

«Più aumenta la pervasività della tecnologia nella vita di tutti i giorni, più è complicato ritagliarci quegli spazi di isolamento dal digitale, di privacy, e direi anche di libertà».

Perché parla di libertà

È il ragionamento più profondo dell’intera conversazione:

«Il fatto di avere il controllo sulla propria sfera personale, sulle proprie attività, sui propri spostamenti, alla fine è una libertà. Viceversa, il fatto che tutti o in molti sappiano toglie un po’ di quel concetto di libertà».

L’ammissione. «È chiaro che abbiamo ceduto un po’ una fetta della nostra libertà. Sicuramente sì».

La cautela sul termine

Ma rifiuta la parola sorveglianza usata a cuor leggero:

«Attenzione a parlare di sorveglianza, perché poi il rischio è quello di arrivare, non dico al futuro distopico di Orwell, però a quella sorveglianza di massa in cui tutti sanno tutto».

La legge che scriverebbe

Alla domanda su cosa cambierebbe, la risposta è una sola parola: proporzionalità.

Il problema

«Spesso la confusione, la difficoltà dell’azienda nasce dal fatto che non è mai chiaro cosa devono fare, ma soprattutto non è mai proporzionato rispetto al loro contesto».

La critica. «È vero che si parla di risk based approach, di proporzionalità. Però nel pratico spesso questa cosa non viene recepita».

La posizione che prende contro il proprio interesse

È il passaggio più onesto della puntata, e vale la pena riportarlo:

«Una startup neonata deve poter andare con delle regole di base, con dei presidi di base, ma investendo sul business. E lo dico contro i miei interessi, non troppo nella compliance».

Un avvocato che dice a una startup di spendere meno in consulenza legale sta dicendo qualcosa che merita ascolto.

La privacy esisterà ancora tra vent’anni?

La risposta è sì, ma con una precisazione terminologica interessante.

L’evoluzione del termine

«La privacy è un concetto già vecchio, perché si parla da diversi anni di data protection. La privacy riguarda un concetto ottocentesco, nel quale c’era la riservatezza della propria dimora».

Ipotizza che il termine possa evolvere ancora, verso qualcosa come data governance.

La tesi. «Più passa il tempo, più c’è necessità di privacy, data protection, chiamiamola come vogliamo».

La singola cosa che vorrebbe cambiare

Alla domanda su cosa dovrebbe restare a chi ascolta, la risposta è la parola che ricorre in tutta la puntata:

«Direi proprio la consapevolezza. Il fatto di avere quel briciolo di consapevolezza in più, magari perdere quel secondo in più, però a tutela della nostra riservatezza, della nostra vita digitale».

Domande a raffica

Il consiglio peggiore che sente dare sulla privacy. «Tanto non succede nulla».

Una cosa che fa e che sembra paranoia. Deselezionare i cookie prima di leggere una notizia, con gli amici a cena.

Un’app che non riscaricherebbe mai. Quelle che scansionano o trasformano documenti, soprattutto se gratuite.

La password più stupida vista. Il nome dell’azienda con un uno davanti.

L’AI è amica o nemica? «Amica a certe condizioni».

Una cosa che non fa mai online. «Evito di mettere carte di debito o credito. Cerco di utilizzare le prepagate, oppure account più sicuri, senza mettere i dati in chiaro».

Il mito sull’AI che lo fa più arrabbiare. «Che ci sostituirà tutti». Cambierà il lavoro e la formazione, ma resta l’intelligenza umana.

Un libro e un film sulla privacy

Libro: un testo di Giovanni Ziccardi sull’uso dei social network in politica, che ha usato per la tesi.

Film: 2001: Odissea nello spazio. Non sulla privacy, precisa, ma su come la tecnologia possa controllarci o dominarci.

Un consiglio a sua nonna. «Stare attenta alle telefonate».

Una cosa su cui ha cambiato idea

È la risposta più interessante della sezione, ed è professionale:

«All’inizio pensavo che facendo l’avvocato dovessi occuparmi solo ed esclusivamente di diritto. Mi sono reso conto col tempo che non è solo quello».

iPhone o Android? iPhone.

Privacy o comodità? Privacy.

Più pericoloso lo Stato o le big tech? «Big tech, perché sono dei privati, se non altro».

L’AI ci salva o ci frega? «Nel complesso ci salva».

Legge i termini e condizioni?

La risposta è la migliore battuta della puntata:

«Intanto li scrivo, quindi quando li scrivo li leggo».

Il diritto all’oblio funziona? «Sì, funziona».

Ci pagheranno per i nostri dati? «Secondo me avviene già».

Cos’è per te la privacy, in una parola? «Libertà».

La Domanda Finale

Come in ogni puntata, la chiusura è sulla domanda dell’istante dopo aver chiuso gli occhi per l’ultima volta.

La risposta di Sergio Amato è la più inattesa di tutta la serie:

«Credo l’immagine di noi da bambino, dove tutto è iniziato».

Perché funziona

È l’unica risposta della serie che non riguarda un dopo, ma un ritorno all’inizio.

Ed è curiosamente coerente con un’ora e venti passata a parlare di tracce digitali, eredità e di tutto ciò che di noi resta registrato altrove. L’ultima immagine che immagina non è archiviata da nessuna parte: è l’unica cosa che nessun sistema ha raccolto.

Due avvocati, due porte d’ingresso

Sezione redazionale.

Gli episodi 27 e 28 ospitano due avvocati che lavorano sugli stessi temi — privacy, GDPR, intelligenza artificiale — ma entrano dalla porta opposta.

Erika Bonollo (EP 27) parte dall’impresa

Il suo focus è il contratto: cosa succede quando un documento è valido ma non tutelante, e come si costruisce prima che nasca il problema.

La sua distinzione centrale: valido non significa protetto.

Sergio Amato parte dall’utente

Il suo focus è la consapevolezza: cosa sappiamo di ciò che cediamo, e quali strumenti abbiamo per governarlo.

La sua distinzione centrale: le regole arrivano sempre dopo la tecnologia, quindi la sensibilità individuale non è sostituibile.

Su cosa concordano

L’AI non è un concorrente dei professionisti. Entrambi la usano, entrambi rifiutano l’atteggiamento difensivo, entrambi indicano lo stesso problema: la mancanza di verifica critica sull’output.

La proporzionalità. Entrambi ripetono che una startup non può avere il sistema di controlli di una multinazionale, e che chiedere lo stesso standard a tutti è controproducente.

La prevenzione. Nessuno dei due lavora principalmente sul contenzioso, e entrambi lo dicono esplicitamente.

Letti insieme. Coprono le due metà dello stesso problema: cosa firmi, e cosa cedi. Chi ha un’impresa dovrebbe leggerli in sequenza.

Checklist pratica

Sezione redazionale, ricavata dai contenuti della puntata. Non sostituisce una valutazione professionale.

Come utente

• Deseleziona i cookie non necessari, anche se rallenta la navigazione
• Fai una review periodica delle app che accedono a galleria, posizione, conto bancario
• Disattiva l’apprendimento automatico nei settaggi degli strumenti AI che usi
• Puoi fare un’istanza di accesso a qualsiasi azienda per sapere cosa tratta su di te, senza formalismi
• Puoi chiedere la cancellazione dei tuoi dati
• Verifica chi ha accesso all’app della tua auto
• Evita di caricare documenti d’identità su siti per ottenere preventivi
• Preferisci prepagate o intermediari di pagamento ai dati della carta in chiaro

Come azienda

• Usa solo strumenti AI autorizzati e in versione enterprise, con black list e white list
• Contrasta la Shadow AI: il dipendente che usa la versione gratuita a casa
• Carica dati anonimizzati o usa architetture chiuse
• Imposta e fai controllare i settaggi di opt-out
• Mappa il tuo ruolo: sei provider o deployer?
• Classifica il rischio dei sistemi che usi
• Forma il personale: l’obbligo di alfabetizzazione è in vigore
• Sul marketing: verifica la base giuridica, non preflaggare i consensi, rinfrescali
• Sui dipendenti: trasparenza su valutazione, monitoraggio e videosorveglianza
• Se produci contenuti con AI: preparati agli obblighi di trasparenza

Glossario

• GDPR — Regolamento europeo sulla protezione dei dati personali.
• DPO — Data Protection Officer, responsabile della protezione dei dati.
• Titolare del trattamento — Chi decide finalità e modalità del trattamento.
• Responsabile del trattamento — Chi tratta i dati per conto del titolare.
• Istanza di accesso — Diritto di sapere quali propri dati un soggetto sta trattando.
• Portabilità — Diritto di trasferire i propri dati a un altro fornitore. Si esercita, per esempio, cambiando operatore telefonico.
• Profilazione ideologica — Targeting mirato a influenzare opinioni e scelte politiche.
• Passive listening — Stato di ascolto silente degli assistenti vocali in attesa del comando.
• Provider — Nell’AI Act, chi sviluppa il sistema di intelligenza artificiale.
• Deployer — Chi utilizza il sistema nei propri processi.
• Human in the loop — Presenza obbligatoria di supervisione umana sui processi automatizzati.
• Shadow AI — Uso di strumenti AI non autorizzati dall’azienda.
• RAG — Architettura che fa attingere il modello a una banca dati chiusa e presidiata.
• Opt-out — Disattivazione del riutilizzo dei propri dati per l’addestramento.
• Data breach — Violazione dei dati personali.
• Accountability — Principio per cui il titolare deve poter dimostrare la conformità delle proprie scelte.
• Risk based approach — Approccio che gradua gli obblighi in base al rischio effettivo.

Domande Frequenti

Quanti soggetti raccolgono i miei dati adesso? Diverse decine, secondo l’ospite. Ma il punto non è azzerarli: è esserne consapevoli e governare ciò che si può.

«Non ho niente da nascondere» è una posizione valida?

No, e per due ragioni: non è una questione di nascondere ma di fare i compiti a casa, e la conformità oggi è anche un fattore di credibilità verso il mercato.

Gli assistenti vocali ci ascoltano? Sono in stato di ascolto passivo per poter reagire al comando vocale, e questo genera informazioni utilizzabili a fini commerciali.

Cosa posso fare concretamente?

Deselezionare i cookie, fare una review periodica degli accessi delle app, disattivare l’apprendimento automatico nei tool AI, ed esercitare i diritti di accesso e cancellazione previsti dal GDPR.

Posso chiedere a un’azienda cosa sa di me? Sì. È l’istanza di accesso, si fa senza formalismi e non serve un avvocato.

Cos’è la Shadow AI? L’uso di strumenti AI non autorizzati dall’azienda, tipicamente la versione gratuita usata dal dipendente per conto proprio.

Quanto rischia un’azienda? Fino al 4% del fatturato per il GDPR, fino al 7% per l’AI Act. Ma l’impatto più temuto, secondo l’ospite, è reputazionale.

L’AI mi ruberà il lavoro? Secondo i dati che cita, il fenomeno attuale non è il licenziamento ma il rallentamento delle assunzioni, che colpisce soprattutto i neolaureati.

Come devo usarla per non essere sostituito? Sviluppando capacità critica. La formula che usa: «dimmi cosa ha fatto l’AI e cosa hai modificato tu».

Il Garante è una persona? No. È un’autorità amministrativa indipendente con un collegio, un presidente e una struttura articolata.

Conclusioni: la parola che ricorre

In un’ora e venti, Sergio Amato ripete una parola più di ogni altra: consapevolezza.

E la ragione non è retorica, è strutturale. Sta nel paradosso che cita all’inizio: il diritto rincorre la tecnologia e non la raggiunge mai. Se la norma arriva sempre dopo, la protezione non può dipendere solo da lei.

Cosa si porta a casa un utente

Tre gesti che costano pochi minuti: deselezionare i cookie, controllare quali app accedono a cosa, disattivare l’apprendimento automatico negli strumenti AI.

E un diritto che quasi nessuno esercita: chiedere a un’azienda cosa sa di te. Si fa senza avvocato e senza formalismi.

Cosa si porta a casa un’azienda

Le tre regole sull’AI: strumento autorizzato in versione enterprise, base dati controllata, settaggi di opt-out verificati.

E un’osservazione che pesa più delle sanzioni: nei round di investimento la conformità è ormai tra le prime cose che vengono chieste.

La cosa più onesta che dice

Viene da un avvocato che vive di consulenza, e vale la pena rileggerla:

«Una startup neonata deve poter andare con delle regole di base, ma investendo sul business. E lo dico contro i miei interessi».

E la definizione che chiude tutto

Alla domanda su cosa sia la privacy in una parola, la risposta non è conformità, né tutela, né riservatezza:

«Libertà».

Contatti

L’avvocato Sergio Amato è partner di uno studio legale a Milano e si occupa di privacy, GDPR, intelligenza artificiale e regolazione digitale.

Assume il ruolo di Data Protection Officer per realtà pubbliche e private, comprese strutture sanitarie, e affianca le imprese nell’individuazione dei rischi prima che diventino problemi.

Cura la newsletter DPO News, dedicata agli aggiornamenti normativi del settore, ed è autore di un libro sulla monetizzazione dei dati.

Trovi tutti i suoi riferimenti, i social e i contatti nella descrizione dell’episodio su YouTube.

Hashtag

#ParacadutePodcast #SergioAmato #Privacy #GDPR #DataProtection #DPO #AIAct #IntelligenzaArtificiale #Cybersecurity #DeepFake #ShadowAI #Consapevolezza #DirittoDigitale #Milano #DataGovernance

Ascolta su Tutte le Piattaforme

• YouTube
• Spotify
• Apple Podcasts