CCPA: le nuove regole californiane su ADMT, rischi e audit

In sintesi

• Le regole attuative del CCPA sono cambiate il 1° gennaio 2026: nuovi articoli su audit di cibersicurezza, valutazioni del rischio, tecnologie decisionali automatizzate (ADMT) e imprese di assicurazione.
• Chi usa già una ADMT per decisioni significative su consumatori, candidati o dipendenti deve avere entro il 1° gennaio 2027 informativa preventiva, opt-out (o un’eccezione ammessa) e procedura di accesso.
• Ogni nuovo trattamento ad alto rischio richiede subito una valutazione del rischio; per quelli avviati prima del 2026 il termine è il 31 dicembre 2027, con l’attestazione di un dirigente entro il 1° aprile 2028.
• Gli audit indipendenti di cibersicurezza partono il 1° aprile 2028 per le imprese oltre 100 milioni di dollari di ricavi, poi nel 2029 e nel 2030 per le altre.
• Le sanzioni del 2026 colpiscono ostacoli all’opt-out e raccolte eccessive: gli stessi presidi che i nuovi obblighi metteranno alla prova in ogni programma di conformità dell’IA.

CCPA: che cos’è il regolamento e che cosa è cambiato il 1° gennaio 2026

Il «regolamento CCPA» raccoglie le disposizioni del Titolo 11 del California Code of Regulations che rendono operativo il California Consumer Privacy Act, come modificato dal CPRA. Lo redige e lo applica la California Privacy Protection Agency, oggi CalPrivacy, mentre il Procuratore generale della California mantiene una competenza parallela. Le regole CCPA attuali nascono da un procedimento di due anni. L’Office of Administrative Law le ha approvate il 22 settembre 2025 (Latham & Watkins), l’agenzia le ha annunciate il giorno dopo e sono efficaci dal 1° gennaio 2026 (annuncio della CPPA). Quattro articoli sono nuovi: il 9 sugli audit di cibersicurezza (sezioni da 7120 a 7124), il 10 sulle valutazioni del rischio (da 7150 a 7157), l’11 sulle ADMT (da 7200 a 7222) e il 12 sulle imprese di assicurazione (testo approvato). Cambiano anche regole esistenti: chiudere un banner dei cookie non equivale al consenso, l’opt-out non può richiedere più passaggi dell’adesione e l’impresa deve dimostrare di aver rispettato la richiesta, anche quando arriva tramite Global Privacy Control (Greenberg Traurig). È una logica già nota a chi applica le linee guida sui cookie del Garante per la protezione dei dati personali. I dati sensibili includono ora i dati neurali e quelli dei consumatori che l’impresa sa avere meno di 16 anni. Il perimetro del CCPA non cambia: si applica all’impresa a scopo di lucro che opera in California e soddisfa una di tre condizioni, cioè ricavi lordi annui oltre 26.625.000 dollari (soglia rivalutata il 1° gennaio 2025), acquisto, vendita o condivisione dei dati personali di almeno 100.000 consumatori o nuclei familiari, oppure almeno metà dei ricavi dalla vendita o condivisione di dati personali (pagina CPI di CalPrivacy). Dal 1° gennaio 2023 sono «consumatori» anche dipendenti, candidati e referenti commerciali: un gruppo italiano con una filiale statunitense o personale in California può quindi rientrarvi. Per il quadro generale, si veda la panoramica sulle leggi sull’intelligenza artificiale nel 2026.

CCPA dal 2026 al 2030: il calendario delle scadenze

Il regolamento entra in applicazione per gradi in quattro anni. Ecco le date verificate sul testo e sugli annunci dell’agenzia, aggiornate al 16 settembre 2026. <table header-row=”true”> <tr> <td>Data</td> <td>Che cosa si applica</td> <td>A chi</td> </tr> <tr> <td>1° gennaio 2026</td> <td>Regole CCPA riviste in vigore; valutazione del rischio prima di ogni nuovo trattamento ad alto rischio</td> <td>Tutte le imprese soggette</td> </tr> <tr> <td>1° agosto 2026</td> <td>Richieste di cancellazione DROP evase almeno ogni 45 giorni</td> <td>Data broker registrati</td> </tr> <tr> <td>1° gennaio 2027</td> <td>Informativa preventiva, opt-out e accesso per le ADMT nelle decisioni significative</td> <td>Imprese che usano ADMT</td> </tr> <tr> <td>1° gennaio 2027</td> <td>Segnale di preferenza di opt-out obbligatorio nei browser (AB 566); rivalutazione di soglie e sanzioni; contributo dei data broker a 9.500 dollari</td> <td>Produttori di browser, tutte le imprese, data broker</td> </tr> <tr> <td>31 dicembre 2027</td> <td>Valutazioni del rischio per i trattamenti iniziati prima del 2026 e ancora in corso</td> <td>Tutte le imprese soggette</td> </tr> <tr> <td>1° aprile 2028</td> <td>Primo invio delle valutazioni con attestazione; prima certificazione di audit (ricavi 2026 oltre 100 milioni di dollari)</td> <td>Tutte le imprese soggette; le più grandi</td> </tr> <tr> <td>1° aprile 2029</td> <td>Prima certificazione di audit, ricavi 2027 tra 50 e 100 milioni di dollari</td> <td>Imprese medie</td> </tr> <tr> <td>1° aprile 2030</td> <td>Prima certificazione di audit, ricavi sotto i 50 milioni di dollari</td> <td>Imprese più piccole</td> </tr> </table> Il 1° gennaio 2027 è l’unico termine vincolante dei prossimi mesi, mentre altre leggi statunitensi sull’IA, come quella descritta nella guida al Colorado AI Act, impongono obblighi analoghi. L’arretrato delle valutazioni e il primo periodo di audit coprono invece tutto il 2027: le evidenze prodotte l’anno prossimo saranno quelle attestate nel 2028.

CCPA e ADMT: gli obblighi da rispettare entro il 1° gennaio 2027

L’articolo 11 è la parte delle regole CCPA più vicina all’intelligenza artificiale. Secondo la sezione 7200(b), chi usa una ADMT per una decisione significativa prima del 1° gennaio 2027 deve adeguarsi entro quella data; gli strumenti introdotti dopo vanno resi conformi prima del primo utilizzo.

È davvero una ADMT? Il test del coinvolgimento umano

È ADMT qualsiasi tecnologia che tratta dati personali e ricorre al calcolo per sostituire, o sostituire in misura sostanziale, la decisione umana (sezione 7001(e)). La sostituzione è sostanziale salvo che il revisore umano sappia interpretare e usare il risultato, lo esamini insieme alle altre informazioni pertinenti e abbia l’autorità per prendere o modificare la decisione. Chi clicca «approva» su una rosa di candidati già ordinata, senza contesto né potere reale, non supera il test. La profilazione rientra quando sostituisce il giudizio umano; fogli di calcolo, filtri antispam, firewall e database no. Come per l’art. 22 GDPR, un intervento umano solo formale non basta. Gli obblighi valgono solo per le decisioni significative (sezione 7001(ddd)): servizi finanziari o di credito, alloggio, iscrizione o opportunità formative, opportunità di lavoro o di incarico e retribuzione, servizi sanitari. Il lavoro comprende assunzione, assegnazione dei compiti, retribuzione e premi, promozione, demansionamento, sospensione e licenziamento; la pubblicità è esclusa. Sul tema, si vedano le guide all’intelligenza artificiale nelle assunzioni e alla sorveglianza umana. In Italia la legge 132/2025 obbliga già il datore di lavoro a informare i lavoratori sull’uso dell’IA: una sola mappatura serve entrambi gli adempimenti.

L’informativa preventiva all’uso

La sezione 7220 del CCPA chiede un’informativa al momento della raccolta o prima, oppure prima di destinare a una ADMT dati già raccolti. Deve indicare in linguaggio chiaro la finalità specifica («prendere una decisione significativa» non basta), l’opt-out o l’eccezione invocata, il diritto di accesso, il divieto di ritorsioni e il funzionamento della tecnologia: categorie di dati personali che incidono sul risultato, tipo di risultato, suo impiego nella decisione, procedura alternativa per chi si oppone. Segreti commerciali e dettagli di sicurezza possono essere omessi, ed è ammessa un’informativa consolidata per più finalità o più strumenti.

L’opt-out e le sue tre eccezioni

La sezione 7221 del CCPA dà al consumatore il diritto di sottrarsi alla ADMT nelle decisioni significative, con almeno due modalità di richiesta, di cui una coerente con il canale abituale di contatto; un banner dei cookie non è accettabile. Il trattamento cessa entro 15 giorni lavorativi, i fornitori di servizi vanno informati e prima di sollecitare di nuovo la persona devono passare 12 mesi. In alternativa all’opt-out valgono tre eccezioni:

1. Ricorso a una persona. Il consumatore contesta la decisione davanti a un revisore formato, che può ribaltarla e deve esaminare quanto il consumatore presenta.
2. Ammissione, accettazione o assunzione. La ADMT serve solo a valutare la capacità di svolgere un lavoro o un percorso formativo, e funziona per quello scopo senza discriminazioni illecite.
3. Assegnazione del lavoro e retribuzione. Uso esclusivo per questo scopo, alla stessa condizione.

Le ultime due eccezioni hanno un costo: sostenere che lo strumento «funziona e non discrimina illecitamente» è un’affermazione di fatto, che le regole CCPA obbligano in pratica a documentare con validazioni e test sui bias. La prima richiama il diritto all’intervento umano e a contestare la decisione dell’art. 22, paragrafo 3, GDPR.

Le richieste di accesso

Con la sezione 7222 del CCPA il consumatore può chiedere come una ADMT è stata usata nei suoi confronti. La risposta indica finalità specifica, logica in termini comprensibili (anche con i parametri e il risultato che lo riguarda) ed esito, precisando se il risultato è stato l’unico fattore e che ruolo ha avuto l’intervento umano. Oltre quattro utilizzi sulla stessa persona in 12 mesi basta una risposta aggregata. I fornitori devono aiutare i clienti a rispondere.

Valutazioni del rischio: l’arretrato da chiudere entro il 31 dicembre 2027

L’articolo 10 è l’obbligo del CCPA con la coda più lunga. La sezione 7150 elenca sei attività a rischio significativo, da valutare prima dell’avvio:

• vendere o condividere dati personali;
• trattare dati sensibili (con una deroga ristretta per retribuzioni, benefici, accomodamenti e autorizzazione al lavoro);
• usare una ADMT per una decisione significativa;
• dedurre in modo automatizzato caratteristiche dall’osservazione sistematica di candidati, studenti, dipendenti o collaboratori;
• dedurle dalla presenza di un consumatore in un luogo sensibile;
• addestrare ADMT per decisioni significative, o tecnologie di riconoscimento facciale, delle emozioni, di identificazione o biometriche.

La sezione 7152 fissa il contenuto: finalità specifica; categorie di dati e dati minimi necessari; elementi operativi (metodo, fonti, conservazione, numero di consumatori, informative, destinatari); per le ADMT, logica e uso del risultato; benefici; impatti negativi (sicurezza, discriminazione, perdita di controllo, coercizione, danni economici, fisici, reputazionali, psicologici); salvaguardie; decisione di procedere; contributori; approvatori con autorità, nomi e date. Per la sezione 7154 il trattamento va limitato o vietato quando i rischi per la privacy superano i benefici: una valutazione che non cambia mai una decisione, come una DPIA scritta a cose fatte, sarà difficile da difendere. Secondo il regolamento CCPA, la valutazione si riesamina almeno ogni tre anni, si aggiorna entro 45 giorni di calendario da una modifica sostanziale e si conserva finché dura il trattamento o per cinque anni dalla conclusione, se più a lungo. La sezione 7156 ammette una valutazione unica per trattamenti comparabili e il riuso di una DPIA ai sensi dell’art. 35 GDPR o delle valutazioni di Colorado, Virginia e Connecticut, integrando gli elementi mancanti. La sezione 7153 obbliga chi mette una ADMT a disposizione di altri a fornire ai clienti i fatti necessari alla loro valutazione: una clausola da prevedere in ogni due diligence sui fornitori di IA. L’invio all’agenzia è il punto in cui il CCPA morde. Entro il 1° aprile 2028 per le valutazioni del 2026 e del 2027, poi ogni 1° aprile, l’impresa comunica il numero di valutazioni per presupposto, le categorie di dati e un’attestazione sotto pena di spergiuro firmata da un dirigente direttamente responsabile (sezione 7157). Agenzia o Procuratore generale possono chiedere i rapporti completi, da produrre entro 30 giorni di calendario. Le guide alla valutazione d’impatto sulla privacy e alla valutazione d’impatto dell’IA mostrano come usare un solo modello.

Audit di cibersicurezza: chi, quando e con quale indipendenza

L’articolo 9 delle regole CCPA riguarda le imprese che ricavano almeno metà dei ricavi dalla vendita o condivisione di dati personali, e quelle sopra la soglia di ricavi che nell’anno precedente hanno trattato i dati di almeno 250.000 consumatori o nuclei familiari, o i dati sensibili di almeno 50.000 consumatori (sezione 7120). I tempi dipendono dai ricavi (sezione 7121): oltre 100 milioni di dollari nel 2026, audit sul 2027 e certificazione entro il 1° aprile 2028; tra 50 e 100 milioni, 1° aprile 2029; sotto i 50 milioni, 1° aprile 2030. Poi l’audit è annuale. Le regole di indipendenza della sezione 7122 del CCPA pesano più delle date. L’auditor può essere interno, ma il responsabile della revisione interna deve riferire a un dirigente estraneo al programma di cibersicurezza, che ne fissa retribuzione e valutazione. L’auditor non può aver progettato né gestito i controlli verificati, e le conclusioni devono basarsi su documenti, campionamenti e test, non principalmente sulle dichiarazioni della direzione. La certificazione (sezione 7124) è firmata sotto pena di spergiuro. In Italia la legge 132/2025 affida la vigilanza sui sistemi di IA all’Agenzia per la cybersicurezza nazionale (ACN): meglio un unico impianto di evidenze. Se la vostra funzione di audit dell’IA copre anche la cibersicurezza, verificatene la linea di riporto.

Le sanzioni del 2026: che cosa raccontano le multe

I provvedimenti del 2026 basati sul CCPA anticipano i prossimi casi su ADMT e valutazioni del rischio.

• Disney, 2,75 milioni di dollari (Procuratore generale, 11 febbraio 2026). Opt-out limitati a un solo servizio o dispositivo, Global Privacy Control non rispettato sull’intero account (Hunton).
• PlayOn Sports, 1,1 milioni di dollari (CalPrivacy, 3 marzo 2026). Studenti costretti ad accettare il tracciamento per usare i biglietti; il provvedimento impone valutazioni del rischio (Hunton).
• Ford, 375.703 dollari (CalPrivacy, 5 marzo 2026). Conferma dell’indirizzo email pretesa prima di elaborare l’opt-out (CalPrivacy).
• General Motors, 12,75 milioni di dollari (Procuratore generale con CalPrivacy e quattro procuratori distrettuali, 8 maggio 2026). Il più alto accordo transattivo mai concluso sul CCPA e il primo caso di minimizzazione dei dati: dati di guida e localizzazione venduti a data broker (Procuratore generale della California).
• LocateSmarter, 116.490 dollari (CalPrivacy, 11 agosto 2026). Prima azione contro un data broker fondata sia sul CCPA sia sul Delete Act, per cifre del numero di Social Security pretese prima dell’opt-out (CalPrivacy).

Il filo comune: ostacoli all’esercizio dei diritti e dati raccolti o conservati oltre la finalità. Le sanzioni del CCPA arrivano a 2.663 dollari per violazione e 7.988 dollari per violazione intenzionale o riguardante minori di 16 anni, ma ogni consumatore coinvolto può contare come violazione distinta, da cui importi a sette e otto cifre. Il 6 e 7 agosto 2026 il consiglio di CalPrivacy ha dato mandato di preparare la procedura formale per citare Global Privacy Control nel regolamento (Wilson Sonsini), e dal 1° gennaio 2027 ogni browser dovrà offrire un segnale di preferenza di opt-out ai sensi dell’AB 566 (CalPrivacy). Come nei provvedimenti del Garante, conta la facilità di esercizio del diritto: un monitoraggio della conformità dei sistemi di IA deve testare proprio quei percorsi.

Una valutazione, quattro regimi: CCPA, GDPR, AI Act e altri Stati USA

Per un gruppo attivo in California e in Europa, il CCPA si sovrappone in gran parte a obblighi già presidiati. Questa mappatura fa rispondere una stessa evidenza a più autorità. <table header-row=”true”> <tr> <td>Obbligo del regolamento CCPA</td> <td>GDPR</td> <td>AI Act</td> <td>Altri Stati USA</td> </tr> <tr> <td>Valutazione del rischio (sezioni da 7150 a 7157)</td> <td>DPIA, art. 35</td> <td>Valutazione d’impatto sui diritti fondamentali, art. 27, per alcuni deployer dal 2 dicembre 2027</td> <td>Valutazioni di protezione dei dati in Colorado, Virginia, Connecticut</td> </tr> <tr> <td>Opt-out o ricorso a una persona (sezione 7221)</td> <td>Garanzie dell’art. 22, intervento umano</td> <td>Sorveglianza umana, artt. 14 e 26</td> <td>Colorado AI Act: revisione umana e riesame</td> </tr> <tr> <td>Accesso a logica ed esito (sezione 7222)</td> <td>Artt. da 13 a 15, informazioni significative sulla logica</td> <td>Diritto alla spiegazione, art. 86</td> <td>Colorado AI Act: comunicazione entro 30 giorni da un esito sfavorevole</td> </tr> <tr> <td>Audit di cibersicurezza (sezioni da 7120 a 7124)</td> <td>Art. 32, sicurezza del trattamento</td> <td>Accuratezza, robustezza e cibersicurezza, art. 15</td> <td>NYDFS Part 500 per le imprese vigilate</td> </tr> </table> In Italia l’interlocutore resta il Garante per la protezione dei dati personali, destinatario della consultazione preventiva dell’art. 36 GDPR e autore dell’elenco dei trattamenti soggetti a DPIA, che include già profilazione su larga scala, decisioni automatizzate e controllo a distanza dei dipendenti. La legge 132/2025 vi affianca AgID (notifica) e ACN (vigilanza) come autorità nazionali per l’IA. Le date europee riflettono il regolamento (UE) 2026/1744, che modifica il regolamento (UE) 2024/1689 e rinvia al 2 dicembre 2027 gli obblighi per l’alto rischio dell’allegato III e la valutazione dell’art. 27 (EUR-Lex). La scadenza californiana sulle ADMT arriva undici mesi prima: informativa, canale di ricorso e spiegazione della logica costruiti per il CCPA diventano la prima bozza del fascicolo del deployer europeo. Per la classificazione, si veda la guida ai sistemi di IA ad alto rischio nell’AI Act.

Il fascicolo delle evidenze che CalPrivacy può chiedere

L’agenzia può esigere i rapporti completi entro 30 giorni e le attestazioni sono firmate sotto pena di spergiuro: il CCPA è anzitutto un obbligo di documentazione. Da tenere pronti:

1. Inventario degli usi di ADMT, con categoria di decisione significativa e data del primo utilizzo.
2. Tutte le versioni delle informative preventive, con date e canali di pubblicazione.
3. Registri di opt-out e ricorsi: ricezione, interruzione entro 15 giorni lavorativi, avvisi ai fornitori di servizi.
4. Documentazione sui revisori del ricorso: identità, formazione, autorità, esiti.
5. Test di validazione e di non discriminazione per le ADMT che invocano le eccezioni su assunzioni o assegnazione del lavoro.
6. Modelli e risposte campione alle richieste di accesso.
7. Rapporti di valutazione del rischio con approvatori, date di riesame e fattori di aggiornamento, conservati almeno cinque anni.
8. Informazioni ricevute dai fornitori ai sensi della sezione 7153 e relative clausole contrattuali.
9. Ricevute di invio e attestazioni firmate.
10. Rapporti di audit, prove dell’indipendenza dell’auditor (linea di riporto, retribuzione, valutazione) e certificazione.

È la struttura di un registro di responsabilità dell’IA, da aggiornare in continuo accanto al registro dei trattamenti dell’art. 30 GDPR.

Un piano in 107 giorni verso il 1° gennaio 2027

Dal 16 settembre 2026 mancano 107 giorni agli obblighi del CCPA sulle ADMT. Un piano realistico:

1. Settimane da 1 a 3: inventario. Censire ogni strumento che assegna punteggi, ordina, filtra o raccomanda in assunzioni, gestione del personale, credito, alloggio, istruzione o sanità, applicando con onestà il test del coinvolgimento umano.
2. Settimane da 4 a 6: scelta della strada. Per ogni uso, opt-out con procedura alternativa, ricorso a una persona o una delle due eccezioni ristrette, con motivazione scritta.
3. Settimane da 7 a 10: costruzione e collaudo. Informative preventive, due modalità di opt-out, modello di risposta all’accesso, formazione dei revisori, richiesta ai fornitori delle informazioni della sezione 7153.
4. Settimane da 11 a 15: valutazione ed evidenze. Prima le valutazioni del rischio sulle ADMT, poi il calendario 2027 per l’arretrato anteriore al 2026; se si rientra nell’articolo 9, correzione della linea di riporto della revisione interna.

Gestite il piano nello stesso registro del vostro framework di governance dell’IA: la prossima scadenza statale o europea aggiungerà righe, non un nuovo programma, e il revisore californiano potrà coincidere con chi esercita la sorveglianza umana ai sensi dell’art. 26 dell’AI Act.

Domande frequenti

Quali sono i nuovi requisiti CCPA per il 2026? Le regole attuative riviste del CCPA sono in vigore dal 1° gennaio 2026. Impongono valutazioni del rischio prima dei trattamenti ad alto rischio, fissano dal 1° gennaio 2027 informativa, opt-out e accesso per le ADMT e introducono dal 2028 audit indipendenti di cibersicurezza. Inoltre chiudere un banner dei cookie non vale come consenso, e l’impresa deve confermare in modo visibile di aver rispettato gli opt-out, compresi i segnali Global Privacy Control. Il CCPA è ancora in vigore? Sì. Il CCPA, come modificato dal CPRA, e il regolamento che lo attua sono pienamente in vigore, applicati sia da CalPrivacy sia dal Procuratore generale della California. Nel 2026 i controlli hanno accelerato: accordo da 12,75 milioni di dollari con General Motors a maggio, prima azione contro un data broker ad agosto. Soglie e sanzioni saranno rivalutate di nuovo per l’inflazione il 1° gennaio 2027. Chi deve rispettare il regolamento CCPA? Le imprese a scopo di lucro che operano in California e superano 26.625.000 dollari di ricavi lordi annui, oppure acquistano, vendono o condividono i dati personali di almeno 100.000 consumatori o nuclei familiari, oppure ricavano almeno metà dei ricavi dalla vendita o condivisione di dati personali. Avere la sede in Italia o altrove non esonera, e dipendenti e candidati contano come consumatori. Qual è la differenza tra CCPA e GDPR? Il GDPR richiede una base giuridica per ogni trattamento; il CCPA disciplina soprattutto informativa, diritti dei consumatori e vendita o condivisione dei dati. Le nuove regole riducono la distanza: le valutazioni del rischio somigliano alle DPIA e i diritti sulle ADMT alle garanzie dell’art. 22 GDPR. Il CCPA si applica per soglie di ricavi e volumi, il GDPR a quasi ogni organizzazione che tratta dati personali nell’Unione. Approfondimenti nella guida alla valutazione d’impatto sulla privacy. Le regole sulle ADMT riguardano anche l’IA generativa e i chatbot? Solo quando lo strumento prende, o sostituisce in misura sostanziale chi prende, una decisione significativa su una persona, come selezionare candidati o concedere un finanziamento. Un chatbot di assistenza clienti o un assistente alla scrittura non è una ADMT ai sensi del CCPA, salvo che il suo risultato determini uno di quegli esiti senza un reale coinvolgimento umano. Conta l’uso concreto: lo stesso modello può essere irrilevante in un reparto e soggetto agli obblighi in un altro. Un’impresa europea deve rispettare il CCPA? Sì, se opera in California e supera una soglia, ad esempio tramite clienti californiani, una filiale statunitense o dipendenti in California. Gran parte del lavoro coincide con le DPIA del GDPR, con gli obblighi dei deployer nell’AI Act e, in Italia, con gli adempimenti della legge 132/2025. Di solito conviene un unico modello di valutazione con un allegato dedicato alla California.

Conclusione

Il CCPA non è più una proposta da osservare: le nuove regole si applicano dal 1° gennaio 2026, gli obblighi sulle ADMT scattano il 1° gennaio 2027 ed entro il 1° aprile 2028 un dirigente attesterà, sotto pena di spergiuro, l’esistenza delle valutazioni del rischio. Le sanzioni del 2026 mostrano che cosa verificano per prime le autorità: se un diritto si esercita facilmente e se l’uso dei dati rispetta la finalità. I prossimi 107 giorni servono a censire gli strumenti decisionali, scegliere per ciascuno una strada lecita e avviare il fascicolo per l’attestazione del 2028. Mappato su GDPR, AI Act e legge 132/2025, quel fascicolo risponde a più autorità insieme. Per valutare più giurisdizioni, partite dalla panoramica sulle leggi sull’intelligenza artificiale nel 2026.