Cosa dice il GDPR sulle chiamate gestite da AI vocale
Il GDPR è il Regolamento (UE) 2016/679 applicato dal 25 maggio 2018. Si applica al trattamento di qualunque dato personale di persone fisiche nell'Unione Europea, indipendentemente da dove si trovi il titolare del trattamento.
Quando l'AI vocale gestisce una chiamata aziendale, tratta dati personali: nome, voce, numero di telefono, contenuti della conversazione. Tutti questi dati ricadono sotto il GDPR. I principi che ti riguardano direttamente come titolare:
- Base giuridica (art. 6): consenso, contratto, obbligo legale, legittimo interesse, devi poter dimostrare quale si applica
- Trasparenza (artt. 5, 13-14): chi chiama deve sapere chi tratta i suoi dati e come
- Minimizzazione (art. 5): raccogliere solo i dati necessari per la finalità dichiarata
- Conservazione limitata (art. 5): tenere i dati solo per il tempo strettamente necessario
- Sicurezza (art. 32): misure tecniche e organizzative adeguate (cifratura, controllo accessi)
Il rispetto di questi principi è la base. Sopra ci sono obblighi specifici (DPIA per trattamenti ad alto rischio, registro dei trattamenti, nomine, accordi con responsabili).
AI Act europeo: cosa cambia per l'AI vocale
Il Regolamento UE 2024/1689, conosciuto come AI Act, è entrato in vigore il 1° agosto 2024 con applicazione progressiva fino al 2027. È il primo quadro normativo organico al mondo sull'intelligenza artificiale.
Per i sistemi di AI vocale che gestiscono chiamate aziendali, le disposizioni più rilevanti riguardano:
- Trasparenza obbligatoria: chi interagisce con un sistema AI deve essere informato (art. 50 AI Act), il chiamante deve sapere che parla con un'AI
- Pratiche vietate: tecniche manipolative, sfruttamento di vulnerabilità, scoring sociale (art. 5)
- Classificazione del rischio: i sistemi AI sono classificati per livello di rischio (inaccettabile, alto, limitato, minimo) con obblighi proporzionati
- Documentazione tecnica: per sistemi a rischio specifico è richiesta documentazione di conformità
Il provider di AI vocale che scegli deve dichiarare esplicitamente la conformità all'AI Act e fornire documentazione adeguata. È un nuovo elemento di valutazione che si affianca al GDPR.
Le basi giuridiche per usare l'AI vocale aziendale
L'art. 6 del GDPR prevede 6 basi giuridiche alternative. Per le chiamate aziendali gestite da AI vocale, le tre più comuni sono:
1. Esecuzione di un contratto (art. 6.1.b)
Si applica quando il chiamante è già cliente o sta contattando l'azienda per richiedere un servizio. Esempio: un cliente che chiama per assistenza tecnica su un prodotto acquistato. Il trattamento è necessario per eseguire il contratto.
2. Legittimo interesse (art. 6.1.f)
Si applica per finalità commerciali ordinarie come la gestione di richieste informative o prospect. Richiede un bilanciamento documentato fra l'interesse aziendale e i diritti del chiamante. Per le campagne di richiamata automatica richiedono particolare cautela.
3. Consenso (art. 6.1.a)
Necessario per finalità di marketing telefonico verso soggetti che non hanno una relazione preesistente. L'Autorità Garante italiana è particolarmente rigorosa su questo punto. Il consenso deve essere specifico, informato, libero, revocabile.
Sovranità del dato: dove vivono le tue chiamate
Uno dei temi più delicati riguarda il luogo fisico dove vengono trattati i dati. Il GDPR (capo V) pone restrizioni significative sui trasferimenti di dati personali al di fuori dello Spazio Economico Europeo (SEE).
Molti provider di AI vocale (specialmente quelli US-based) processano i dati su infrastrutture americane. Lo scenario è problematico per molte aziende italiane, soprattutto in settori regolati. L'invalidazione del Privacy Shield (Schrems II, 2020) e i criteri stringenti delle clausole contrattuali standard (SCC) hanno reso difficile la conformità.
Agent24 ha scelto la strada della sovranità del dato: server SIP localizzati in Italia, infrastrutture cloud su data center europei, processing dei dati interamente nel SEE. Per la tua azienda significa:
- nessun trasferimento extra-UE da gestire
- compatibilità immediata col GDPR senza SCC complesse
- tempistiche di risposta più rapide (latenza ridotta)
- fiducia verso clienti e partner italiani
Per i settori sensibili (sanità, legale, finanziario, pubblica amministrazione) la sovranità è spesso un requisito, non solo una preferenza.
Trasparenza verso chi chiama: come informare correttamente
Il principio di trasparenza richiede che chi chiama sia informato sul trattamento dei suoi dati. Per le chiamate AI servono due livelli di informazione:
Avviso AI all'inizio della chiamata
L'agente vocale dovrebbe dichiararsi come AI all'inizio della conversazione. Una formula tipica: «Sono l'assistente vocale di [Azienda], la conversazione è registrata e gestita da intelligenza artificiale». Questo soddisfa l'art. 50 AI Act e contribuisce al principio GDPR di trasparenza.
Informativa privacy dettagliata
L'informativa completa (artt. 13-14 GDPR) può essere fornita per riferimento (es. «trovi l'informativa completa sul nostro sito a privacy») e deve coprire: titolare, finalità, base giuridica, destinatari, conservazione, diritti del chiamante.
Diritti esercitabili
Devi predisporre canali per l'esercizio dei diritti del chiamante: accesso, rettifica, cancellazione (art. 17 GDPR), opposizione, portabilità. Tipicamente via email a un indirizzo dedicato (es. privacy@azienda.it).
Sicurezza tecnica: cosa chiedere al provider
L'art. 32 GDPR richiede misure tecniche e organizzative adeguate. Quando valuti un provider di AI vocale, queste sono le domande chiave da porre prima di firmare:
- Dove sono i server? SIP, processing, storage trascrizioni, chiedi la localizzazione esatta
- Le trascrizioni sono cifrate? A riposo e in transito (TLS, AES-256 standard)
- Chi ha accesso ai dati? Solo il tuo team o anche personale del provider?
- I dati delle chiamate vengono usati per addestrare modelli AI? La risposta dovrebbe essere «no, mai»
- Politica di retention configurabile? Cancellazione automatica dopo X giorni?
- Audit log: chi accede ai dati, quando, perché, tracciabili?
- Certificazioni (ISO 27001, SOC 2 Type II) o equivalenti?
- DPA (Data Processing Agreement) disponibile e firmato prima del go-live?
Un provider che evita queste domande o le risponde in modo vago è da considerare con cautela. La conformità è un dettaglio dell'ingegneria, non una clausola marketing.
Settori regolati: quando il GDPR non basta
Alcuni settori hanno normative aggiuntive che si sovrappongono al GDPR. Per l'AI vocale aziendale i più rilevanti:
Settore sanitario
Dati sanitari sono «categorie particolari» (art. 9 GDPR) e richiedono base giuridica rafforzata. Le regole deontologiche professionali (Codice di deontologia medica, OMCeO) si aggiungono. Per il settore medico vedi i casi d'uso AI vocale per studi medici.
Settore assicurativo e bancario
Vigilanza IVASS (assicurazioni) e Banca d'Italia (intermediari finanziari) impongono regole stringenti sulla comunicazione precontrattuale e sulla registrazione delle conversazioni. L'AI vocale può essere usata, ma con script revisionato dal responsabile compliance. Vedi i casi d'uso AI vocale per assicurazioni.
Pubblica amministrazione
Linee Guida AgID, modelli di interoperabilità, cloud qualificato AgID, regole specifiche per i contact center pubblici. Servizi al cittadino con AI vocale richiedono progettazione GDPR-by-design fin dall'inizio.
Privacy by design: il principio operativo
L'art. 25 GDPR introduce due concetti che ti proteggono già a livello di design:
- Privacy by design: la protezione dei dati deve essere integrata nella progettazione del sistema, fin dall'inizio
- Privacy by default: le impostazioni predefinite devono essere quelle più protettive (raccolta minima, accesso minimo, conservazione minima)
Concretamente: scegli un provider che applica questi principi nei default della piattaforma. Su Agent24 la trascrizione è automatica ma cifrata. L'accesso è limitato al tuo team, la retention è configurabile da dashboard, l'avviso AI è abilitato di default.
Conclusione: la conformità come investimento, non come ostacolo
L'AI vocale e il GDPR non sono in conflitto. Anzi: il GDPR offre un framework chiaro che, se applicato correttamente, rende l'adozione dell'AI vocale più solida, proteggendoti da contestazioni, sanzioni, perdite di reputazione.
Le tre scelte progettuali che fanno la differenza: provider con sovranità del dato, trasparenza esplicita con chi chiama, principio della minimizzazione applicato in ogni configurazione.
Per il tuo settore specifico, ricordati di consultare il tuo DPO (Data Protection Officer) o il consulente legale di riferimento prima dell'attivazione. La guida offre un quadro generale; la valutazione caso-per-caso è irrinunciabile.