L’intelligenza artificiale è già entrata nelle organizzazioni, mentre la sua governance procede con maggiore lentezza. In questo quadro, il DPO, pur non essendo la figura alla quale l’AI Act attribuisce la responsabilità generale della conformità al nuovo Regolamento, si trova sempre più spesso coinvolto nelle questioni connesse all’IA.
I dati che emergono quinta indagine della CNIL sul ruolo del Data Protection Officer nell’era dell’intelligenza artificiale pubblicata dalla CNIL il 22 settembre 2026 descrivono una situazione precisa: il 70% delle organizzazioni coinvolte utilizza o prevede di utilizzare sistemi di intelligenza artificiale e, tra queste, l’81% ricorre all’IA generativa.
A fronte di una diffusione già significativa delle tecnologie, meno di un quarto dispone però di una strategia o di una policy formalizzata sull’IA, meno di un terzo ha realizzato attività di sensibilizzazione dei dipendenti o adottato un codice di condotta e soltanto il 31% aveva iniziato a prepararsi all’applicazione dell’AI Act.
Il quadro diventa ancora più significativo osservando direttamente i dati relativi ai DPO. Più della metà degli intervistati dichiara di essere coinvolta spesso o sistematicamente nei progetti di intelligenza artificiale; il 55% considera già l’AI Act compreso nelle proprie responsabilità e il 71% vorrebbe che il proprio ruolo fosse esteso alla conformità al Regolamento europeo sull’IA.
Tuttavia, a questa progressiva estensione delle attività non corrisponde ancora un livello equivalente di preparazione specialistica, visto che soltanto il 27% dei DPO dichiara di possedere una buona conoscenza dell’AI Act e l’85% non ha ancora ricevuto una formazione specifica sull’intelligenza artificiale.
C’è poi un ulteriore dato da leggere insieme ai precedenti: il 79% dei DPO opera internamente all’organizzazione, ma l’85% dei DPO interni e condivisi svolge la funzione a tempo parziale.
Ne risulta un quadro nel quale l’utilizzo dell’IA aumenta, la governance interna rimane ancora poco formalizzata e il DPO viene progressivamente coinvolto in un ulteriore ambito regolatorio, pur operando molto spesso part-time e senza avere ancora ricevuto una formazione specifica sulla materia.
Indice degli argomenti
Un osservatorio sulla trasformazione del ruolo del DPO
Un elemento che merita particolare attenzione riguarda il metodo con cui in Francia viene seguita da anni l’evoluzione della figura del DPO. Dal 2018 la CNIL e la Délégation générale à l’emploi et à la formation professionnelle (DGEFP), in collaborazione con l’Association française des correspondants à la protection des données (AFCDP), hanno infatti affiancato all’attività propriamente regolatoria un’osservazione periodica delle condizioni concrete nelle quali la funzione viene esercitata.
L’Osservatorio non considera quindi il DPO soltanto come la figura prevista dagli articoli 37-39 del GDPR, definita attraverso un insieme di requisiti, garanzie e compiti. L’attenzione è rivolta anche al professionista e alla sua effettiva collocazione all’interno delle organizzazioni: formazione e provenienza professionale, esperienza, modalità di esercizio dell’incarico, tempo dedicato alla funzione, risorse disponibili e progressiva evoluzione delle competenze richieste.
È un’impostazione particolarmente significativa perché consente di verificare come il modello normativo del DPO trovi concreta attuazione nel tessuto organizzativo di imprese ed enti pubblici e come la funzione venga modificata dall’evoluzione tecnologica e regolatoria.
La quinta edizione dello studio, realizzata dall’Afpa e avviata nel 2025, si inserisce in questo percorso e concentra l’analisi sull’intelligenza artificiale e sull’AI Act. La scelta del tema non riguarda soltanto l’acquisizione di nuove competenze normative da parte dei DPO, ma investe la possibile evoluzione della loro posizione all’interno delle organizzazioni.
L’indagine considera infatti congiuntamente il profilo professionale dei DPO, il grado di diffusione dell’IA nelle organizzazioni, le modalità di acquisizione dei sistemi, lo stato della governance interna, il coinvolgimento del DPO nei progetti di intelligenza artificiale, il livello di conoscenza dell’AI Act e le aspettative dei professionisti rispetto all’estensione delle proprie funzioni.
Il valore dell’indagine risiede proprio nella lettura congiunta di questi elementi. Non viene esaminato soltanto ciò che il DPO dovrebbe fare in base alla normativa, ma ciò che gli viene concretamente richiesto nelle organizzazioni, le condizioni nelle quali opera e le competenze di cui dispone per svolgere le attività che progressivamente entrano nel suo perimetro.
Se le organizzazioni iniziano ad attribuire al DPO attività connesse all’AI Act, occorre verificare come questa estensione si concili con la posizione già occupata dal professionista, con le altre funzioni eventualmente esercitate, con il tempo dedicato all’incarico e con le risorse disponibili.
L’approccio francese pone quindi al centro dell’analisi non soltanto la conformità formale della funzione al GDPR, ma la sua effettiva sostenibilità organizzativa. Ed è precisamente questa prospettiva che rende particolarmente significativi i dati della quinta edizione sull’intelligenza artificiale.
L’IA è già utilizzata, la governance molto meno
Il primo elemento che emerge dall’indagine riguarda la distanza tra l’utilizzo delle tecnologie e l’organizzazione dei relativi processi di governo e controllo.
Anche la provenienza delle tecnologie è rilevante: circa due terzi delle organizzazioni acquistano le soluzioni da fornitori esterni, mentre soltanto il 22% le sviluppa internamente.
I dati sulla limitata formalizzazione della governance assumono inoltre particolare rilievo considerando le modalità con cui l’IA entra nelle organizzazioni: l’adozione di sistemi di IA, in particolare generativa, può infatti avvenire attraverso acquisti effettuati dalle singole funzioni, servizi cloud, funzionalità integrate in prodotti già utilizzati o strumenti direttamente accessibili ai dipendenti. L’organizzazione spesso utilizza sistemi di IA prima di avere definito procedure per censirli, valutarli e autorizzarli.
La prima esigenza di compliance diventa allora organizzativa, in quanto occorre per primo conoscere quali sistemi siano effettivamente utilizzati, da quali funzioni, per quali finalità, con quali dati e attraverso quali fornitori.
Il DPO entra nei processi di AI governance
Secondo i DPO intervistati, i sistemi di IA vengono utilizzati prevalentemente per trattare dati personali e più della metà di essi dichiarano di essere coinvolti spesso o sistematicamente nei progetti di intelligenza artificiale.
Il coinvolgimento del DPO nei progetti di IA trova una propria giustificazione nel GDPR ogni volta che l’utilizzo del sistema comporta trattamenti di dati personali; possono essere infatti interessati la base giuridica del trattamento, la trasparenza, la minimizzazione, la sicurezza, l’esercizio dei diritti, i rapporti con i fornitori, i trasferimenti internazionali e la valutazione d’impatto sulla protezione dei dati.
Il dato più interessante riguarda però il passaggio dalla protezione dei dati alla compliance rispetto all’AI Act. L’AI Act non attribuisce infatti al DPO una competenza generale sulla propria applicazione. Il dato suggerisce quindi che l’estensione del perimetro del DPO stia avvenendo, almeno in parte, per effetto delle scelte organizzative delle imprese, e non per una specifica attribuzione dell’AI Act.
A ciò si aggiunge il tema delle competenze. La conoscenza del GDPR costituisce una base importante per affrontare i trattamenti di dati personali effettuati attraverso sistemi di IA, ma non coincide con le competenze necessarie per applicare l’AI Act, che introduce differenti categorie di sistemi, ruoli degli operatori e obblighi specifici.
Il dato del DPO part-time
Tra i risultati dell’indagine merita particolare attenzione la prevalenza dei DPO interni e, soprattutto, il fatto che l’85% dei DPO interni e condivisi svolga la funzione a tempo parziale.
La scelta di un DPO interno presenta evidenti vantaggi in termini di conoscenza dell’organizzazione, dei processi, dei sistemi informativi e delle dinamiche attraverso le quali vengono assunte le decisioni. Il dato relativo al part-time introduce, tuttavia, un ulteriore elemento di valutazione.
In molti casi il DPO interno non è un professionista che dedica alla protezione dei dati l’intera propria attività, ma una risorsa dell’organizzazione alla quale la funzione di DPO viene attribuita insieme ad altri incarichi, talvolta già esercitati prima della designazione.
Il dato non riguarda soltanto il tempo disponibile, ma anche la frequente compresenza di ulteriori incarichi, con i noti problemi di delimitazione delle funzioni e di possibile conflitto di interessi. Un profilo destinato ad assumere maggiore rilievo con l’intelligenza artificiale, che amplia ulteriormente le questioni tecniche, giuridiche e organizzative sulle quali il DPO può essere chiamato a intervenire, incidendo anche sull’adeguatezza delle competenze e delle risorse a sua disposizione.
L’eventuale estensione delle attività del DPO alle materie disciplinate dall’AI Act, infatti, dovrebbe essere preceduta da una verifica dell’assetto già esistente: quali altri incarichi svolga, quali responsabilità gli siano attribuite, quanto tempo possa effettivamente dedicare alla funzione e quali risorse abbia a disposizione. Prima di aggiungere nuove competenze al DPO occorre, in altri termini, verificare che siano assicurate le condizioni necessarie per esercitare correttamente e in autonomia quelle che il GDPR già gli attribuisce.
Dalla Francia all’Italia: due approcci differenti al ruolo del DPO
Le questioni organizzative evidenziate dall’indagine assumono rilievo anche nel contesto italiano. Il confronto con l’esperienza francese mostra, tuttavia, una diversa impostazione nell’attenzione dedicata alla figura del DPO e alla sua evoluzione professionale.
Dal 2018 la CNIL segue in modo continuativo, insieme agli altri soggetti coinvolti nell’Osservatorio, l’evoluzione del DPO anche rispetto alla sua concreta collocazione nelle organizzazioni, alle competenze, alle risorse disponibili e alla trasformazione delle attività che gli vengono progressivamente richieste.
A questa attività di osservazione si affianca una produzione costante di strumenti operativi destinati ai DPO e, più in generale, ai professionisti della protezione dei dati: guide applicative, metodologie, strumenti e modelli per la realizzazione delle DPIA, indicazioni pratiche e risorse dedicate ai nuovi ambiti tecnologici, compresa l’intelligenza artificiale. L’approccio della CNIL tende quindi ad affiancare all’attività regolatoria un supporto operativo rivolto a chi deve tradurre le prescrizioni normative nei processi delle organizzazioni.
Anche il Garante italiano è intervenuto in numerose occasioni sulla figura del Responsabile della protezione dei dati, attraverso FAQ, provvedimenti e documenti di indirizzo. Particolarmente articolato è il documento del 2021 sulla designazione, posizione e sui compiti del RPD in ambito pubblico, nel quale sono state affrontate anche questioni relative all’indipendenza, alle risorse e ai conflitti di interessi. Non è stato tuttavia adottato un documento di analoga organicità specificamente rivolto alle realtà private, nelle quali la varietà degli assetti organizzativi e la frequente collocazione del DPO all’interno di funzioni Legal, Compliance o Privacy renderebbero particolarmente utile un approfondimento sulla sua effettiva posizione, sull’autonomia e sulla compatibilità con gli ulteriori incarichi ricoperti.
Nel nostro Paese non risulta inoltre un’attività periodica di osservazione dell’evoluzione professionale e organizzativa del DPO comparabile, per continuità e impostazione, all’esperienza francese. Né è stato finora sviluppato un approfondimento istituzionale altrettanto specifico sull’impatto che la diffusione dell’intelligenza artificiale e l’applicazione dell’AI Act stanno producendo sulla funzione.
L’esperienza francese considera da tempo il DPO anche come professionista inserito in un determinato assetto organizzativo, del quale occorre monitorare competenze, condizioni di esercizio e trasformazioni, accompagnandone l’attività con strumenti applicativi. È una prospettiva particolarmente rilevante oggi, quando alla funzione vengono richieste competenze ulteriori e il confine tra protezione dei dati, governance dell’IA e altre aree della compliance digitale diventa sempre più complesso da definire.
Otto anni dopo il GDPR, sappiamo davvero chi fa il DPO nelle aziende?
Il confronto con la Francia mette in evidenza una questione che in Italia meriterebbe maggiore attenzione: a otto anni dalla piena applicazione del GDPR continuiamo ad avere una conoscenza limitata di come la funzione del DPO sia concretamente inserita negli assetti organizzativi delle imprese.
La prassi restituisce con una certa frequenza figure ibride, nelle quali il DPO cumula attività proprie della gestione operativa della privacy, oppure è collocato nell’area Legal o Compliance dalla quale dipende gerarchicamente e nella quale può avere già svolto, o continuare a svolgere, altre funzioni.
Sebbene nessuna di queste circostanze determini automaticamente e in astratto una violazione del GDPR, il problema è più propriamente di governance: quanto è realmente distinguibile, in questi assetti, chi costruisce e gestisce il sistema di compliance da chi deve sorvegliarne l’osservanza? Quanto è effettivo il rapporto diretto del DPO con il vertice se la funzione è inserita nella linea gerarchica di un’altra direzione? E quanto rimane dell’autonomia del controllo quando la stessa persona partecipa alla predisposizione delle procedure, alla gestione degli adempimenti o alle decisioni che sarà poi chiamata a valutare?
Sono questioni note sul piano giuridico, ma molto meno conosciute nella loro dimensione reale. Il Garante è intervenuto su indipendenza, conflitti di interessi, risorse e corretta collocazione del RPD, ma manca una rilevazione periodica che consenta di comprendere quanto siano diffuse le sovrapposizioni tra DPO e funzioni operative, dove siano collocati i DPO interni, a chi riportino effettivamente, quali altri incarichi svolgano e quanto tempo possano dedicare alla funzione.
Come dimostra la CNIL nella sua indagine, prima ancora di discutere se il DPO debba diventare anche uno degli attori della compliance all’AI Act, sarebbe utile sapere se nelle organizzazioni italiane sia stato realmente attuato il modello di governance previsto dal GDPR.
Diversamente, il rischio è costruire la governance dell’intelligenza artificiale sopra una governance della protezione dei dati nella quale sono ancora poco definiti i confini tra gestione, decisione e controllo.
L’AI Act può estendere una sovrapposizione già esistente
Se il DPO svolge già contemporaneamente funzioni di consulenza, sorveglianza e gestione operativa della privacy, l’attribuzione anche della compliance relativa all’AI Act può infatti aumentare ulteriormente la concentrazione delle attività sulla stessa funzione.
Il DPO potrebbe essere coinvolto nella predisposizione delle regole interne sull’utilizzo dell’IA, nel censimento e nella classificazione dei sistemi, nella valutazione dei fornitori, nella predisposizione della documentazione e nelle procedure di autorizzazione e, contemporaneamente, essere chiamato a valutare quegli stessi sistemi sotto il profilo della protezione dei dati.
Il problema riguarda sia il possibile conflitto di interessi sia la corretta distribuzione delle responsabilità e l’adeguatezza delle risorse.
L’AI Act non individua infatti il DPO come responsabile generale della conformità alla disciplina sull’intelligenza artificiale, poiché gli obblighi sono distribuiti tra gli operatori in funzione del ruolo assunto rispetto al sistema di IA e comprendono, a seconda dei casi, attività relative alla gestione del rischio, alla documentazione, alla conservazione dei log, alla sorveglianza umana e al monitoraggio.
Esistono numerosi punti di contatto con il GDPR, ma gli ambiti applicativi rimangono distinti. Lo dimostra anche l’articolo 27 dell’AI Act, che, nei casi in cui trova applicazione la valutazione d’impatto sui diritti fondamentali, disciplina espressamente il coordinamento con la DPIA prevista dall’articolo 35 GDPR.
Coordinamento, quindi, non sovrapposizione delle funzioni.
Chi deve governare l’IA nelle organizzazioni
La definizione dell’AI governance dovrebbe partire da una ricognizione delle responsabilità già attribuite alle diverse funzioni.
Legal, Compliance, Privacy Officer, DPO, IT, cybersecurity, risk management, procurement, internal audit, HR e funzioni di business possono partecipare, con competenze differenti, ai processi relativi all’intelligenza artificiale.
Occorre stabilire chi propone l’adozione di un sistema, chi ne verifica la classificazione ai sensi dell’AI Act, chi individua il ruolo assunto dall’organizzazione, chi valuta i fornitori, chi ne autorizza l’utilizzo, chi verifica gli aspetti di cybersecurity e data governance, chi effettua le valutazioni richieste dalla normativa e chi assicura il monitoraggio.
Nelle organizzazioni di maggiori dimensioni questa distribuzione dovrebbe essere formalizzata attraverso una governance multidisciplinare. Nelle PMI il modello sarà proporzionato alle dimensioni, alle risorse disponibili e alle caratteristiche dei sistemi utilizzati, senza rinunciare alla chiara attribuzione delle responsabilità.
Per il DPO la distinzione rimane essenziale: il suo coinvolgimento è necessario quando l’impiego dell’IA comporta trattamenti di dati personali; tuttavia, da questo non deriva l’attribuzione della gestione operativa della compliance AI.
Al contrario, l’assenza di una chiara attribuzione delle competenze sull’intelligenza artificiale non dovrebbe tradursi nel trasferimento al DPO di tutte le attività che presentano una componente normativa, tecnologica o relativa ai dati.
L’AI Act impone alle organizzazioni di definire con chiarezza competenze, responsabilità e funzioni di controllo. Concentrare sul DPO, in assenza di un assetto definito, tutto ciò che riguarda dati, tecnologia e compliance rischia di produrre una governance dell’IA solo formale, nella quale aumentano gli adempimenti ma rimane incerta la responsabilità di chi decide, di chi attua e di chi controlla.
Per questo, anche in Italia sarebbe opportuno sviluppare un’osservazione sistematica dell’evoluzione del DPO, seguendo l’approccio adottato dalla CNIL con un monitoraggio periodico di come la funzione sia concretamente esercitata nelle organizzazioni: collocazione, incarichi ulteriori, risorse, competenze, autonomia e condizioni effettive di esercizio.
La diffusione dell’intelligenza artificiale rende questa analisi ancora più necessaria, perché rischia di estendere ulteriormente il perimetro di una funzione della quale conosciamo ancora poco l’effettiva configurazione nel tessuto organizzativo italiano.
Prima di attribuire al DPO nuove responsabilità nella governance dell’IA, dovremmo conoscere meglio quale DPO abbiamo realmente costruito oltre otto anni di applicazione del GDPR.
Partecipa alla community