In breve Per l'AI Act (regolamento UE 2024/1689) è ad alto rischio un sistema di IA che valuta l'affidabilità creditizia delle persone o ne stabilisce il merito di credito, salvo l'individuazione di frodi finanziarie. Lo è anche uno che valuta il rischio o fissa il prezzo di assicurazioni vita e salute (Allegato III, punto 5, lettere b e c). Un punteggio che misura autenticità e qualità del dato non rientra in questi casi, finché resta tale. Dopo l'Omnibus digitale sull'IA (regolamento UE 2026/1744) gli obblighi per questi sistemi si applicano dal 2 dicembre 2027. Intanto vale già l'art. 22 del GDPR: per la Corte di giustizia anche un punteggio passato a un terzo può essere una decisione automatizzata.
Due punteggi molto diversi
Nel lavoro con i lead «punteggio» indica due cose diverse.
- Punteggio di qualità del dato. Dice se il contatto è vero e utilizzabile: email che riceve posta, telefono nel formato giusto, campi coerenti, nessun doppione, fonte affidabile, compilazione non sospetta.
- Punteggio della persona. Dice quanto la persona è affidabile come debitore o quanto costa assicurarla. Usa reddito, debiti, storia di pagamenti, stato di salute.
Il primo protegge chi compra lead dai contatti falsi. Il secondo è il lavoro di una banca o di una compagnia, e l'AI Act lo tratta come alto rischio.
Che cosa dice l'Allegato III, punto 5
L'art. 6, par. 2, dell'AI Act considera ad alto rischio i sistemi elencati nell'Allegato III. Al punto 5, fra i servizi privati essenziali, ci sono:
- lettera b): i sistemi destinati a valutare l'affidabilità creditizia delle persone fisiche o a stabilirne il merito di credito, a eccezione di quelli usati per individuare frodi finanziarie;
- lettera c): i sistemi destinati alla valutazione dei rischi e alla determinazione dei prezzi per persone fisiche nelle assicurazioni vita e salute.
Il considerando 58 spiega perché: questi sistemi decidono l'accesso a risorse finanziarie e a servizi come casa, elettricità e telecomunicazioni, e possono discriminare. Lo stesso considerando descrive l'esclusione delle frodi in modo più stretto dell'Allegato: parla dei sistemi «previsti dal diritto dell'Unione» per individuare frodi nell'offerta di servizi finanziari. Il punto va valutato con un legale.
Conta la destinazione d'uso. Un sistema che valuta i dati di un modulo non diventa un sistema di credit scoring perché il modulo riguarda un prestito. Lo diventa se viene costruito o usato per stimare chi rimborserà.
L'art. 6: alto rischio ed eccezioni
L'art. 6, par. 3, prevede una deroga. Un sistema dell'Allegato III non è ad alto rischio se non presenta un rischio significativo per salute, sicurezza o diritti fondamentali, perché per esempio:
- esegue un compito procedurale limitato;
- migliora il risultato di un'attività umana già completata;
- rileva schemi o deviazioni nelle decisioni, senza sostituire la valutazione umana;
- svolge solo un compito preparatorio a una valutazione.
C'è però un limite netto: un sistema dell'Allegato III che effettua profilazione di persone fisiche è sempre ad alto rischio. Chi applica la deroga dovrà documentare la valutazione prima di mettere il sistema sul mercato e registrarlo (art. 6, par. 4, e art. 49, par. 2).
La deroga riguarda solo i sistemi che rientrano già nell'Allegato III. Un punteggio di qualità del dato, se non valuta il merito di credito né il rischio assicurativo, non ha bisogno della deroga: non è un caso dell'Allegato III. Se il punteggio sia «profilazione» ai sensi dell'art. 4, punto 4, del GDPR dipende dai segnali che usa. La definizione cita espressamente la situazione economica, la salute e l'affidabilità della persona. È una domanda da porre a un legale, caso per caso.
Le date dopo l'Omnibus digitale sull'IA
Il regolamento (UE) 2026/1744 dell'8 luglio 2026, l'Omnibus digitale sull'IA, è stato pubblicato nella Gazzetta ufficiale dell'Unione il 24 luglio 2026 ed è in vigore dal terzo giorno successivo. È legge, non una proposta. Per quello che interessa qui:
- gli obblighi per i sistemi ad alto rischio (capo III, sezioni 1-3) si applicano dal 2 dicembre 2027 per quelli dell'Allegato III, e dal 2 agosto 2028 per quelli legati ai prodotti dell'Allegato I. Per l'Allegato III la data era il 2 agosto 2026;
- l'art. 4 sull'alfabetizzazione è stato riscritto. Fornitori e deployer devono adottare misure per sostenere l'alfabetizzazione in materia di IA del personale e di chi usa i sistemi per loro conto, senza dover garantire un livello preciso a ogni persona;
- l'art. 50 sulla trasparenza non è stato rinviato e si applica dalla data generale del 2 agosto 2026. Solo per la marcatura dei contenuti generati (par. 2), chi aveva già un sistema sul mercato prima di quella data ha tempo fino al 2 dicembre 2026.
Resta invece una proposta l'altro pacchetto della Commissione, l'Omnibus digitale sui dati (COM(2025) 837 del 19 novembre 2025). Fra l'altro riscriverebbe i paragrafi 1 e 2 dell'art. 22 del GDPR. Al 3 novembre 2026 la scheda della procedura al Parlamento europeo la dà in attesa di decisione della commissione competente.
Trasparenza e alfabetizzazione: cosa vale già
Due obblighi riguardano anche chi non fa nulla di alto rischio:
- un assistente o un chatbot che parla con le persone deve far sapere che è un'IA, salvo che sia evidente (art. 50, par. 1);
- un editore che pubblica testi generati o modificati con l'IA per informare il pubblico su questioni di interesse pubblico deve dirlo. L'obbligo cade se il testo è passato da una revisione umana o da un controllo editoriale e qualcuno ne ha la responsabilità editoriale (art. 50, par. 4).
L'art. 22 del GDPR e la sentenza SCHUFA
L'art. 22 dà alla persona il diritto di non essere sottoposta a una decisione basata unicamente su un trattamento automatizzato, profilazione compresa, che produca effetti giuridici o incida in modo analogo e significativo su di lei. Le eccezioni sono tre: contratto, legge, consenso esplicito. Nei casi di contratto e consenso servono garanzie, almeno il diritto all'intervento umano, a esprimere la propria opinione e a contestare. Il considerando 71 fa proprio l'esempio del rifiuto automatico di una domanda di credito online.
Con la sentenza del 7 dicembre 2023, causa C-634/21, la Corte di giustizia ha stabilito un principio che riguarda chi passa punteggi ad altri. Il calcolo automatizzato, da parte di una società di informazioni commerciali, di un tasso di probabilità sulla capacità di una persona di pagare è già una decisione automatizzata, se da quel tasso dipende in modo decisivo la scelta di un terzo di stipulare, eseguire o chiudere un contratto con lei.
La lezione per chi vende lead: il rischio non dipende dal nome del punteggio ma da che cosa ne fa chi lo riceve. Se una banca usa il tuo punteggio per accettare o rifiutare una richiesta di prestito, il ragionamento della Corte può valere anche per te.
La legge italiana sull'IA
La legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025, si applica accanto all'AI Act e va interpretata in conformità a esso (art. 1). Richiede che le informazioni sul trattamento dei dati legato all'IA siano in linguaggio chiaro e semplice, anche sul diritto di opporsi (art. 4). Designa come autorità nazionali per l'IA l'Agenzia per l'Italia digitale e l'Agenzia per la cybersicurezza nazionale. Per i sistemi ad alto rischio usati da banche, intermediari e assicurazioni, la vigilanza del mercato resta a Banca d'Italia, CONSOB e IVASS (art. 20, che rinvia all'art. 74, par. 6, dell'AI Act).
Che cosa tenere fuori dal punteggio
Una checklist pratica, non una regola di legge:
- Fuori: reddito, debiti, rate in corso, rapporti con banche o centrali rischi, stato di salute, abitudini che fanno pensare alla salute, dati delle categorie particolari (art. 9 GDPR).
- Dentro: validità dell'email e del telefono, coerenza dei campi, doppioni, storia della fonte, segnali di compilazione automatica o in serie.
- Scrivi la destinazione d'uso del punteggio e non cambiarla senza una nuova valutazione.
- Nei contratti con i partner, stabilisci che il punteggio di qualità non si usa per decidere sul credito o sul prezzo di una polizza.
- Tieni una persona nel giro per le decisioni che toccano il singolo contatto.
Come lo stiamo progettando in Markmatix
Markmatix è in costruzione. Il punteggio di qualità è progettato per misurare autenticità e qualità del dato, mai il merito creditizio né il rischio assicurativo. Reddito, debiti e salute non entreranno fra i segnali del punteggio IA, e ogni punteggio avrà la spiegazione del perché. Il rilevamento delle frodi metterà in quarantena le fonti anomale, e a riaprirle o scartarle sarà una persona. Prima della vendita sono previste una valutazione d'impatto e la revisione di un legale. Vale anche per i settori prestiti e assicurazioni.
Fonti
- Regolamento (UE) 2024/1689 (AI Act) del 13 giugno 2024: artt. 4, 6, 49, 50, 74 e 113; Allegato III, punto 5; considerando 58. EUR-Lex
- Regolamento (UE) 2026/1744 dell'8 luglio 2026 (Omnibus digitale sull'IA), GUUE serie L del 24 luglio 2026. EUR-Lex
- Regolamento (UE) 2016/679 (GDPR): art. 4, punto 4; artt. 9 e 22; considerando 71. EUR-Lex
- Corte di giustizia dell'Unione europea, sentenza del 7 dicembre 2023, causa C-634/21 (SCHUFA Holding). curia.europa.eu
- Legge 23 settembre 2025, n. 132, «Disposizioni e deleghe al Governo in materia di intelligenza artificiale» (G.U. Serie Generale n. 223 del 25 settembre 2025): artt. 1, 4 e 20. Gazzetta Ufficiale · Normattiva
- Commissione europea, proposta COM(2025) 837 final del 19 novembre 2025 (Omnibus digitale), procedura 2025/0360(COD). EUR-Lex · Osservatorio legislativo del Parlamento europeo
Questa guida spiega le regole in generale e non è una consulenza legale: per il tuo caso chiedi a un avvocato.