Sì, ma con limiti precisi e a determinate condizioni. Lo stesso DPO può seguire anche le attività legate all’AI Act, purché il doppio ruolo non generi conflitto di interessi e l’azienda valuti il carico di lavoro effettivo.
Il DPO (Data Protection Officer) è la figura prevista dal GDPR per vigilare sul trattamento dei dati personali e fungere da punto di contatto con l’autorità di controllo. L’AI Act è il regolamento europeo che disciplina lo sviluppo e l’uso dei sistemi di intelligenza artificiale in base al loro livello di rischio.
Le due normative si toccano ma non coincidono. Per questo la sovrapposizione dei ruoli va costruita con criterio. Non è automatica e non è priva di rischi se gestita male.
Cosa dice davvero la normativa sul doppio ruolo
L’AI Act non istituisce una figura obbligatoria equivalente al DPO. Non esiste un “responsabile AI Act” definito per legge come ruolo unico e nominato.
Il regolamento attribuisce responsabilità all’organizzazione nel suo complesso. Spetta all’azienda decidere a chi affidare la governance dei sistemi di intelligenza artificiale. Questo apre lo spazio per assegnare il compito al DPO già in carico.
Il GDPR invece è esplicito sul punto del conflitto di interessi. L’articolo 38 vieta al DPO di ricoprire incarichi che lo portino a controllare sé stesso. È il vincolo principale da verificare prima di unire le due funzioni.
Quando il doppio ruolo funziona e quando crea conflitto
Il doppio ruolo funziona quando il DPO mantiene una funzione di controllo e vigilanza, non di gestione operativa dei sistemi AI. Se invece partecipa alle decisioni su come progettare o impiegare un sistema, finisce per supervisionare il proprio operato.
Il conflitto di interessi nasce esattamente qui. Un DPO che disegna la governance dell’intelligenza artificiale non può poi giudicarne la conformità in modo indipendente. Le due posizioni si annullano a vicenda.
Prima di assegnare entrambi i ruoli, verifico questi elementi:
- Indipendenza del controllo: il DPO non deve decidere le scelte tecniche sui sistemi AI che dovrà poi vigilare.
- Competenze specifiche: l’AI Act richiede conoscenze su classificazione del rischio e documentazione tecnica, diverse da quelle sulla privacy.
- Carico di lavoro reale: due funzioni complesse sullo stesso professionista possono saturare il tempo disponibile.
- Dimensione dell’azienda: in una PMI con pochi sistemi AI il doppio ruolo è più sostenibile che in una struttura complessa.
- Mappatura dei sistemi: serve sapere quanti e quali sistemi AI sono in uso prima di stimare il carico.
La regola pratica è semplice. Il DPO può presidiare l’AI Act finché resta un organo di vigilanza e non un decisore operativo. Quando questa linea si supera, serve separare le funzioni.
Quali competenze servono in più rispetto al GDPR?
Servono competenze tecniche sulla classificazione del rischio e sulla documentazione dei sistemi AI. Il GDPR ragiona sui dati personali, l’AI Act ragiona sui sistemi e sul loro impatto.
Un DPO esperto di privacy non possiede in automatico queste conoscenze. Deve capire come si classifica un sistema ad alto rischio, quali obblighi di trasparenza scattano e come si tiene la documentazione tecnica richiesta dal regolamento. Sono materie nuove anche per chi conosce bene la protezione dei dati.
Per questo la Formazione AI mirata diventa il primo passo. Affidare l’AI Act a un DPO non formato sul tema significa avere una nomina sulla carta senza presidio reale. La formazione colma il divario tra le due normative.
Come imposto la governance AI in azienda
Parto sempre da una mappatura dei sistemi di intelligenza artificiale già in uso o in arrivo. Senza sapere cosa l’azienda sta usando, qualsiasi nomina è teorica. Questa fase è il cuore di un AI Assessment.
L’AI Assessment è l’analisi che individua i sistemi AI presenti, il loro livello di rischio e gli obblighi che ne derivano. Da qui capisco se il DPO può assumere anche questo presidio o se serve una figura distinta.
Come AI Manager Esterno affianco l’azienda nella governance dell’intelligenza artificiale senza creare conflitti con il ruolo del DPO. In molti casi la soluzione migliore è separare il controllo dalla gestione operativa, assegnando a me la parte di indirizzo e mantenendo il DPO sulla vigilanza.
Le domande che ricevo più spesso sul doppio ruolo
Il DPO è obbligatorio anche per l’AI Act?
No. L’AI Act non prevede una figura obbligatoria equivalente al DPO. Il regolamento attribuisce le responsabilità all’organizzazione, che decide a chi affidare la governance dei sistemi AI. Il DPO resta obbligatorio solo nei casi previsti dal GDPR, indipendentemente dall’intelligenza artificiale.
Cosa rischia l’azienda se unisce i ruoli senza valutare il conflitto?
Rischia di avere un controllo non indipendente e quindi inefficace. Se il DPO supervisiona sistemi AI che lui stesso ha contribuito a impostare, la vigilanza perde validità. In caso di contestazione, l’azienda non può dimostrare di aver garantito un controllo terzo, come richiesto dal principio di indipendenza del GDPR.
Serve nominare un responsabile AI Act per legge?
No, non esiste una nomina obbligatoria di “responsabile AI Act” definita dal regolamento. L’azienda deve però organizzarsi per rispettare gli obblighi previsti. Può farlo con figure interne, con il DPO o con un consulente esterno. La scelta dipende dal numero di sistemi AI in uso e dal loro livello di rischio.
Quanto tempo richiede in più al DPO seguire anche l’AI Act?
Dipende dalla quantità e dalla complessità dei sistemi AI presenti. In una PMI con pochi sistemi a basso rischio l’impegno aggiuntivo è contenuto. In strutture con molti sistemi ad alto rischio il carico può diventare incompatibile con le attività ordinarie sulla privacy. La mappatura iniziale serve proprio a stimare questo sforzo.
Posso affidare la governance AI a un consulente esterno invece che al DPO?
Sì, ed è spesso la soluzione che riduce i rischi di conflitto. Un consulente esterno cura l’indirizzo e la governance dei sistemi AI, mentre il DPO mantiene il proprio ruolo di vigilanza sui dati personali. Le due funzioni restano separate e indipendenti, come la normativa richiede.
Parliamo della tua situazione specifica
Ogni azienda parte da un punto diverso. Il numero di sistemi AI, il livello di rischio e il carico già in capo al DPO cambiano completamente la risposta giusta per te.
Per questo non esiste una formula valida in ogni caso. In alcune realtà il doppio ruolo è sostenibile, in altre crea più problemi di quelli che risolve. Un primo confronto serve proprio a capire dove ti collochi.
Se vuoi valutare come impostare la governance dell’intelligenza artificiale nella tua azienda senza creare conflitti, scrivimi dalla pagina contatti e definiamo insieme i prossimi passi.