Question 1

Ho sviluppato un sistema di raccomandazione prodotti e un cliente mi ha scritto chiedendo la cancellazione dei suoi dati. Il modello è già stato addestrato e distribuito. Devo per forza rifare tutto da capo o ci sono casi in cui posso rifiutare?

Accepted Answer

Non devi necessariamente rifare tutto da capo. Il GDPR prevede eccezioni al diritto alla cancellazione: puoi rifiutare la richiesta se dimostri un legittimo interesse prevalente, come l'integrità del modello per garantire raccomandazioni corrette ad altri utenti. Devi rispondere entro un mese motivando la decisione, documentare il bilanciamento degli interessi e informare il cliente del diritto di reclamo al Garante. La normativa riconosce la complessità tecnica dei modelli AI distribuiti e non impone automaticamente il riaddestramento, purché la base giuridica sia solida e documentata.

Question 2

Abbiamo ricevuto la richiesta via email tre giorni fa. Non abbiamo ancora capito se tecnicamente possiamo farlo senza riaddestrare tutto. Quali sono i tempi legali per rispondere e cosa succede se sforo la scadenza?

Accepted Answer

Dovete rispondere entro un mese dalla ricezione della richiesta, quindi avete ancora circa 27 giorni di tempo. Se la situazione è complessa, potete prorogare di altri due mesi, ma dovete comunicare al cliente entro il primo mese i motivi del ritardo. L'obbligo di cancellazione dipende dal GDPR: se i dati sono personali e la richiesta è legittima, dovete eliminarli anche se tecnicamente complesso, salvo che non sussistano motivi legali imperativi per conservarli. Se sforate i termini senza rispondere o negate la cancellazione ingiustificatamente, rischiate sanzioni fino a 20 milioni di euro o il 4% del fatturato globale annuo, oltre a possibili danni risarcibili al cliente. Valutate subito la base giuridica del trattamento e documentate ogni difficoltà tecnica nella risposta.

Question 3

Siamo una startup, rifare il training costerebbe settimane di lavoro e migliaia di euro. Se ignoro la richiesta o rispondo che non è tecnicamente possibile, quali sanzioni GDPR rischio? Vale la pena il rischio o devo per forza adeguarmi?

Accepted Answer

Il diritto di cancellazione previsto dal GDPR non è assoluto e ammette eccezioni, ma ignorare completamente la richiesta del cliente è rischioso. Le sanzioni per violazione possono arrivare fino a 20 milioni di euro o il 4% del fatturato annuo mondiale, importi che per una startup rappresentano un rischio esistenziale ben superiore al costo di riaddestramento del modello. La soluzione migliore è rispondere in modo documentato alla richiesta, spiegando le difficoltà tecniche nell'eliminare selettivamente i dati da un modello già addestrato, offrendo alternative concrete come l'esclusione dei dati dagli output futuri o la cessazione dell'utilizzo per nuovi addestramenti, dimostrando così la vostra conformità al principio di accountability. Affidarsi semplicemente all'impossibilità tecnica senza documentazione adeguata o ignorare la richiesta configura una violazione palese che il Garante ha già sanzionato in casi simili.

Question 4

I dati li ho raccolti legalmente con consenso per sviluppare il prodotto. Il modello AI è il nostro core business. Ho diritto a oppormi alla cancellazione per legittimo interesse? Esistono basi giuridiche che mi proteggono?

Accepted Answer

Se hai raccolto i dati con consenso generico per sviluppare il prodotto, non puoi automaticamente opporti alla cancellazione invocando il legittimo interesse: il GDPR riconosce all'interessato il diritto di opposizione anche contro trattamenti basati su tale base giuridica, e tu devi dimostrare che il tuo interesse prevalga concretamente sui diritti della persona. Il Garante Privacy ha confermato questo principio proprio nei casi di addestramento AI, riconoscendo il diritto di opporsi a tale finalità specifica. Puoi resistere alla richiesta solo se dimostri una prevalenza documentata del tuo legittimo interesse, se il consenso iniziale era esplicitamente riferito all'addestramento AI, o se i dati sono stati effettivamente anonimizzati rendendoli non più personali. In mancanza di queste condizioni, devi accogliere la richiesta entro un mese, eventualmente applicando tecniche di machine unlearning per ridurre l'influenza dei dati già utilizzati nel modello.

Question 5

Potrei eliminare i dati dal database originale ma il modello rimarrebbe addestrato su quei dati. È sufficiente per essere conforme o devo dimostrare che il modello non li usa più? Come faccio a provarlo tecnicamente?

Accepted Answer

Se un cliente esercita il diritto alla cancellazione dei propri dati, eliminare i dati dal database originale non è sufficiente per essere conforme al GDPR e alla normativa italiana sull'intelligenza artificiale. Il modello AI, infatti, rimane influenzato dai dati assorbiti durante l'addestramento attraverso i suoi pesi e parametri, potenzialmente continuando a generarli o a riflettere bias derivati. Per dimostrare tecnicamente la conformità, dovresti implementare tecniche di machine unlearning per rimuovere selettivamente l'influenza di quei dati, accompagnate da test di membership inference che verifichino se il modello può ancora ricostruire le informazioni eliminate, e mantenere documentazione trasparente attraverso audit tecnici e DPIA. La soluzione più sicura, seppur onerosa, rimane il riaddestramento completo del modello su un dataset privo dei dati del cliente richiedente.

Question 6

Per gestire questa richiesta in modo formalmente corretto, devo documentare qualcosa? Serve un registro delle richieste, una risposta scritta particolare, una valutazione tecnica? Cosa devo conservare per eventuali controlli del Garante?

Accepted Answer

Per gestire correttamente la richiesta di cancellazione dati dal modello AI, devi seguire un processo documentato e formale. Innanzitutto, registra la richiesta in un registro dedicato indicando data, richiedente e dettagli della pretesa. Effettua una valutazione tecnica e giuridica per verificare se la cancellazione selettiva sia tecnicamente possibile o se i dati siano ancora personali dopo l'addestramento, coinvolgendo il DPO se necessario. Rispondi per iscritto entro un mese spiegando se accogli o respingi la richiesta con motivazioni dettagliate, garantendo trasparenza come richiesto dal GDPR e dalla Legge 132/2025. Conserva tutta la documentazione per almeno cinque anni: registro richieste, valutazioni tecniche, eventuali DPIA, risposte fornite e base giuridica del trattamento originario, poiché il Garante può verificare la tua accountability in ogni momento.

Question 7

Un tecnico mi ha suggerito di anonimizzare i dati invece di eliminarli completamente, così mantengo il dataset funzionante. È una soluzione accettabile per il GDPR o il cliente può comunque pretendere la cancellazione totale?

Accepted Answer

L'anonimizzazione preventiva dei dati non soddisfa una richiesta di cancellazione secondo il GDPR, che impone l'eliminazione totale dei dati personali senza indebito ritardo. Nei modelli AI il problema è più complesso perché i dati di addestramento vengono incorporati nei pesi del modello in forma compressa, quindi l'anonimizzazione successiva non retroagisce sul modello già formato. Per conformarsi al diritto all'oblio occorrono tecniche di machine unlearning o riaddestramento completo senza quei dati, operazioni tecnicamente costose ma necessarie salvo eccezioni limitate previste dalla normativa. Il cliente può pretendere la cancellazione totale se non ricorrono specifiche deroghe legali, pena sanzioni fino al 4% del fatturato globale annuo.

Question 8

Temo che qualunque cosa faccia, il cliente possa comunque lamentarsi al Garante. Se dimostra che i suoi dati sono ancora nel modello, anche indirettamente, posso difendermi? Quali prove tecniche servono per dimostrare la buona fede?

Accepted Answer

Se il cliente ha diritto alla cancellazione secondo il GDPR, l'obbligo esiste e non è discrezionale. Per dimostrare la buona fede serve documentazione dettagliata del processo: log tecnici dell'eliminazione dai sistemi di storage, evidenza del riaddestramento del modello con data e metodologia applicata, e possibilmente audit indipendenti sulla conformità procedurale. È fondamentale dimostrare che il trattamento originario era lecito e basato su una valida base giuridica. La sfida principale è che i modelli AI memorizzano i dati in forma compressa rendendo tecnicamente difficile sia la cancellazione selettiva che la verifica assoluta dell'avvenuta eliminazione, ma una documentazione meticolosa costituisce la principale difesa contro eventuali contestazioni del Garante.

Devo cancellare i dati di training della mia AI su richiesta?

Ti stai facendo queste domande?

Sono obbligato a cancellare sempre?

Quanto tempo ho per rispondere?

Quanto costa non conformarsi?

Quali sono i miei diritti come azienda?

Cosa succede se cancello solo dal DB?

Quali documenti devo preparare?

Posso anonimizzare invece di cancellare?

Come difendermi se il cliente fa reclamo?

Ecco cosa risponderebbe un’AI avanzata

Ecco cosa risponderebbe un’AI avanzata

Ecco cosa risponderebbe un’AI avanzata

Ecco cosa risponderebbe un’AI avanzata

Ecco cosa risponderebbe un’AI avanzata

Ecco cosa risponderebbe un’AI avanzata

Ecco cosa risponderebbe un’AI avanzata

Ecco cosa risponderebbe un’AI avanzata

Perché scegliere IUSPERT

Risposte rapide e mirate

Avvocati selezionati per competenza reale

Sicuro, trasparente e garantito

Come funziona

Marzo 2026 - Disponibilità avvocati in tempo reale

Cosa ottieni concretamente

Inquadramento del problema

Analisi di rischi e opzioni

Strategia immediata

Il Report riepilogativo

Domande frequenti

Posso annullare o spostare l'appuntamento con l'avvocato?

Cosa succede dopo la prenotazione?

E se ho bisogno di più tempo?

Devo preparare documenti prima della call?

La consulenza è davvero riservata?

Come funziona il rimborso se non sono soddisfatto?