L’Art. 6(3) dell’AI Act introduce quattro esenzioni che permettono a sistemi potenzialmente high-risk di sfuggire agli obblighi più stringenti della normativa.
Mentre sulla carta queste esclusioni appaiono come strumenti di proporzionalità — evitando di soffocare usi minimali o preparatori dell’IA — nella pratica si stanno rivelando un varco ambiguo.
Il rapporto EDPS di dicembre 2025 documenta come le istituzioni europee applichino queste esenzioni nell’80% dei casi potenzialmente high-risk, spesso senza nemmeno sapere dove siano ospitati i dati trattati (57,69% dei casi risulta “Blank”).
Parallelamente, la proposta Digital Omnibus introduce un legittimo interesse esplicito per il web scraping destinato al training AI e sostituisce la cancellazione fisica dei dati con misure di “protezione efficace” dai contorni tecnici incerti.
Il rischio non è solo l’elusione deliberata, ma l’auto-valutazione inadeguata in un quadro normativo sovrapposto e confuso.
1. L’architettura delle esenzioni: quattro porte d’uscita
L’Art. 6(3) dell’AI Act disegna quattro categorie di esenzione per sistemi che, pur rientrando nell’Annex III, possono evitare la classificazione high-risk:
(a) Sistemi che svolgono un compito procedurale ristretto (narrow procedural task)
(b) Sistemi che migliorano il risultato di un’attività umana previamente completata
(c) Sistemi che rilevano pattern decisionali senza sostituire la valutazione umana (con supervisione sostanziale)
(d) Sistemi che svolgono un compito preparatorio rispetto alla valutazione finale prevista dall’Annex III
L’intento del legislatore è chiaro: evitare che attività marginali, di supporto o meramente strumentali vengano travolte da obblighi sproporzionati. Un sistema che si limita a formattare documenti per la gestione archivistica, o che estrae pattern statistici da decisioni già assunte senza influenzarle, non dovrebbe essere equiparato a un sistema che seleziona automaticamente candidati per un colloquio.
Il problema non è l’intenzione, ma la capacità di tracciare con precisione il confine tra supporto e decisione sostanziale.
2. L’80% delle istituzioni UE applica le esenzioni: i dati EDPS
Il EDPS High-Risk AI Systems Mapping Report del 4 dicembre 2025 fotografa una situazione che merita attenzione: su un campione di casi potenzialmente rientranti nell’Annex III (gestione HR, sistemi di matching job-seeker, biometric identification in contesti AFSJ), le istituzioni europee hanno applicato esenzioni Art. 6(3) in circa l’80% dei casi.
Non si tratta di un campione irrilevante: parliamo di sistemi utilizzati in contesti sensibili — giustizia, migrazione, gestione del personale pubblico — dove la posta in gioco per i diritti fondamentali è altissima.
La maggioranza di questi sistemi è stata qualificata come “narrow procedural”, “preparatory” o “pattern detection with human review”, evitando così gli obblighi di risk management, data governance, trasparenza e human oversight previsti per i sistemi high-risk.
Ma c’è un dato ancora più inquietante: il 57,69% delle istituzioni europee ha lasciato in bianco (Blank) il campo relativo all’ambiente di hosting dei dati nel mapping EDPS.
Come è possibile condurre un’auto-valutazione seria sulla natura “procedurale” o “preparatoria” di un sistema AI se non si ha nemmeno visibilità sul perimetro infrastrutturale? Se i dati risiedono su cloud pubblico condiviso, su server on-premise, o in giurisdizioni extra-UE?
L’auto-assessment diventa un esercizio di check-the-box formale, non una valutazione sostanziale dei rischi.
L’EDPS non nasconde le preoccupazioni: le categorie di esenzione si sovrappongono concettualmente, creando ambiguità interpretative. Un sistema può essere contemporaneamente “narrow procedural” e “preparatory”, oppure “pattern detection” con una supervisione umana più formale che sostanziale.
Il confine è sfumato, e in assenza di linee guida stringenti (previste solo per febbraio 2026), ciascun provider può disegnare il proprio perimetro.
Va aggiunto un elemento critico: il rapporto EDPS qualifica esplicitamente questi risultati come “preliminari”, basati su auto-valutazioni che le istituzioni stesse hanno condotto con gradi variabili di certezza.
Diverse EUIs hanno ammesso “dubbi” sull’applicazione corretta delle categorie high-risk e delle relative esenzioni.
Non si tratta quindi di dati consolidati, ma di una fotografia di un processo di interpretazione ancora in corso — il che rende ancora più urgente la pubblicazione di linee guida operative chiare.
Questo non implica necessariamente malafede. Molte istituzioni europee svolgono effettivamente compiti di puro back-office — traduzione automatica di documenti, gestione documentale, formattazione di database — che l’AI Act deve esentare per non paralizzare l’operatività quotidiana.
Il problema è la fragilità del self-assessment in assenza di criteri operativi chiari e in presenza di dubbi dichiarati dagli stessi soggetti valutatori.
3. Il caso concreto: HR screening e la questione della profilazione
Prendiamo uno scenario concreto: un Sistema di pre-screening dei CV in una PA europea.
Un algoritmo analizza migliaia di candidature per una posizione pubblica, assegnando score di compatibilità basati su keyword matching e analisi semantica.
Il provider sostiene che il sistema svolge un “compito preparatorio” (categoria d), perché la selezione finale è comunque umana. Ma il filtro algoritmico ha già scartato il 70% dei candidati, che non vedranno mai un valutatore umano.
Qui emerge una questione tecnica cruciale: il sistema sta effettuando profilazione ai sensi dell’Art. 4(4) GDPR?
Se sì, l’esenzione Art. 6(3) non può applicarsi, perché la profilazione automatizzata di candidati rientra espressamente nei casi high-risk che richiedono salvaguardie.
Ma definire “profilazione” in questo contesto non è banale: assegnare uno score di compatibilità basato su keyword è profilazione o è semplice matching deterministico?
La distinzione è sottile, e dipende dalla complessità del modello.
Se l’algoritmo si limita a contare occorrenze di termini in un CV, probabilmente no.
Se estrae inferenze su caratteristiche personali (soft skills, propensioni, background culturale) da pattern linguistici, probabilmente sì.
Ma chi decide? Il provider, in auto-valutazione.
E se il 57,69% delle istituzioni non ha nemmeno compilato il campo sull’hosting dei dati, quante avranno competenze tecniche sufficienti per discernere questa differenza?
4. Il cortocircuito con il Digital Omnibus: dati personali e web scraping per AI
Mentre l’AI Act cerca di disciplinare i sistemi ad alto rischio, la proposta Digital Omnibus modifica il GDPR in modi che facilitano paradossalmente l’alimentazione di tali sistemi con dati personali, complicando ulteriormente il quadro.
4.1 La sentenza C-413/23 P e la definizione soggettiva di “dato personale”
La Corte di Giustizia UE, nella sentenza C-413/23 P (EDPS v SRB, 4 settembre 2025), ha chiarito che i dati pseudonimizzati sono “dati personali” solo se il titolare del trattamento può identificare l’interessato con informazioni aggiuntive disponibili a sé al momento della raccolta.
Tuttavia, la Corte ha lasciato una zona grigia: cosa accade quando il ricevente dei dati (terzo soggetto) ha mezzi ragionevoli per reidentificare, anche se il titolare originario no?
Il Digital Omnibus propone di modificare l’Art. 4(1) GDPR, estendendo questa definizione per includere anche la prospettiva di terzi (es. ricettori dei dati).
L’intento è tutelare da re-identification in downstream use, ma la conseguenza è una definizione relativa di dato personale: lo stesso dataset può essere “anonimo” per chi lo raccoglie e “personale” per chi lo riceve.
Questo complica gli obblighi informativi (Art. 15 Reg. 2018/1725), che la CGUE aveva ancorato alla prospettiva unilaterale del titolare proprio per chiarezza operativa.
5. Web scraping e legittimo interesse: la highway normativa del Digital Omnibus
L’EDPB Opinion 28/2024 ha riconosciuto che il legittimo interesse (Art. 6(1).f GDPR) può costituire base legale per il web scraping di dati pubblici destinati al training di AI generativa, subordinandolo però a test rigorosi di necessità, proporzionalità e bilanciamento con i diritti degli interessati.
Il GPDP italiano (Provvedimento 15 giugno 2024) è più cauto: raccomanda misure di sicurezza per ostacolare scraping indiscriminato, ma non si pronuncia definitivamente sulla liceità del legittimo interesse, lasciando la questione aperta (indagini su OpenAI in corso).
La proposta Digital Omnibus, art. 88c, fa un salto: introduce un legittimo interesse esplicito per sviluppo e operazione di sistemi AI, coprendo raccolta, preprocessing, training e fine-tuning di dati.
Include anche dati di categorie speciali (Art. 9(2)(k)), con salvaguardie generiche (minimizzazione, PETs).
La differenza con l’approccio EDPB è sostanziale: mentre l’Opinion 28/2024 mantiene test stringenti caso per caso, il Digital Omnibus punta a certezza giuridica, legittimando ex ante un’intera classe di trattamenti.
Qui emerge una questione di policy non dichiarata: esiste una differenza abissale tra scraping di dati pubblici strutturati (registri imprese, open data governativi) e scraping di dati social (profili LinkedIn, post Twitter/X, contenuti generati dagli utenti su piattaforme).
I primi sono pubblicati con finalità di trasparenza istituzionale, i secondi sono condivisi in contesti relazionali con aspettative di privacy variabili.
L’Art. 88c tratta entrambi con lo stesso framework, creando una highway normativa che semplifica il compliance ma ignora la granularità dei contesti.
Vale la pena chiedersi: senza questa certezza giuridica, l’Europa riuscirebbe a sviluppare modelli sovrani come Mistral o Aleph Alpha?
Oppure saremmo condannati a inviare tutti i nostri dati a OpenAI (USA) o Baidu (Cina)?
La critica all’Art. 88c è legittima, ma va bilanciata con il rischio di paralisi regolatoria che renderebbe impossibile qualsiasi innovazione AI europea.
6. Il nodo irrisolto: rettifica e cancellazione nei LLM
E quando qualcosa va storto? Quando un individuo scopre che i suoi dati personali sono stati ingeriti da un LLM e vuole esercitare i diritti di rettifica (Art. 16 GDPR) o cancellazione (Art. 17 GDPR)?
La risposta tecnica è brutale: non è fattibile.
I dati personali, una volta memorizzati nei pesi distribuiti di un LLM durante il training, non possono essere “estratti” o “corretti” senza ritraining completo del modello — operazione economicamente e computazionalmente irrealistica.
È come chiedere di togliere lo zucchero da una torta già cotta.
Peggio: i LLM soffrono di “hallucinations”, generando output errati o inventati anche quando i dati originali sono stati corretti o rimossi dai dataset di training.
L’opacità dei dataset aggrava il problema: spesso nemmeno il provider sa esattamente quali dati sono stati utilizzati.
Il Digital Omnibus (nuovo Art. 9.5) propone una soluzione: sostituire la rimozione fisica con misure di “protezione efficace”, come output filtering o PETs (es. differential privacy).
In pratica: i dati restano nel modello, ma il sistema è “aggiustato” per non esporli in output. La norma precisa che questa alternativa è applicabile solo quando la cancellazione richiede uno “sforzo sproporzionato”.
È una soluzione ragionevole? Da un punto di vista ingegneristico, sì: il GDPR è stato scritto per database SQL del 1990, non per architetture neurali distribuite. Il “principio di realtà” impone di adattare le garanzie alle possibilità tecniche.
Ma c’è un problema: chi definisce “sproporzionato”? Se un provider può invocare sistematicamente questa eccezione perché il ritraining costa troppo, i diritti degli interessati si riducono a misure indirette — filtering algoritmico che può fallire, differential privacy che riduce l’accuratezza ma non garantisce l’oblio.
La critica non è che il Digital Omnibus “diluisce” i diritti per malafede, ma che introduce una zona grigia dove l’interpretazione di “sproporzionato” diventa discrezionale.
E in assenza di enforcement stringente da parte delle autorità di protezione dati, la discrezionalità tende a favorire chi detiene il modello, non chi subisce il trattamento.
7. Cosa ci dice questo cortocircuito normativo
Siamo di fronte a un paradosso regolatorio in tre atti:
- L’AI Act introduce esenzioni (Art. 6(3)) per evitare over-regulation di sistemi minimali, ma il self-assessment è inadeguato: l’80% delle istituzioni UE le applica massivamente, e il 57,69% non ha nemmeno compilato il campo sull’hosting dei dati. Le stesse EUIs hanno ammesso dubbi interpretativi, e i risultati dell’analisi dell’EDPS sono dichiaratamente preliminari.
- Il Digital Omnibus facilita il web scraping per training AI tramite un legittimo interesse esplicito, creando una corsia preferenziale per alimentare i LLM con dati personali pubblici, ma senza distinguere tra dati strutturati istituzionali e contenuti social.
- I diritti degli interessati (rettifica/cancellazione) vengono condizionati da valutazioni di “sforzo sproporzionato”, riducendo le garanzie GDPR a misure di protezione efficace tecnicamente vaghe.
Il risultato non è regolazione bilanciata, ma regulatory arbitrage: i provider possono navigare tra AI Act e GDPR scegliendo la via di minor resistenza.
Un sistema può:
- evitare gli obblighi high-risk invocando esenzioni Art. 6(3),
- raccogliere dati personali via web scraping sotto Art. 88c Digital Omnibus, e
- rispondere a richieste di cancellazione con output filtering anziché erasure reale.
Va detto: questi sistemi restano comunque soggetti all’Art. 35 GDPR (DPIA) e alle verifiche dell’EDPS come autorità di protezione dati.
Non sono “nel nulla normativo”.
Ma gli obblighi specifici dell’AI Act — risk management, data governance ex ante, trasparenza verso gli interessati, human oversight strutturato — vengono bypassati. E le DPIA, quando condotte da enti che non hanno compilato il 57,69% dei campi sull’hosting dati, rischiano di diventare esercizi formali.
Conclusioni: le linee guida EDPS non basteranno
L’EDPS ha annunciato la pubblicazione di linee guida per febbraio 2026, con focus su settori critici (AFSJ, migrazione, HR pubblico). È un passo necessario, ma probabilmente insufficiente.
Le esenzioni Art. 6(3) non sono tecnicamente sbagliate: in molti casi, distinguere tra compito preparatorio e decisione sostanziale è legittimo.
Il problema è l’assenza di enforcement stringente e la sovrapposizione concettuale tra categorie, che trasforma uno strumento di proporzionalità in una scappatoia involontaria.
Il Digital Omnibus, dal canto suo, riflette una scelta politica: privilegiare la competitività dell’industria AI europea e la sovranità tecnologica rispetto alla tutela rigida dei diritti individuali.
Non è necessariamente sbagliato — ogni regolazione è un trade-off — ma crea un rischio simmetrico: se le linee guida EDPS del 2026 saranno troppo stringenti, le istituzioni pubbliche europee smetteranno di innovare per paura delle sanzioni, lasciando la PA tecnologicamente preistorica rispetto a USA e Cina.
Se saranno troppo permissive, l’Art. 6(3) diventerà un salvacondotto per sistemi che impattano diritti fondamentali senza supervisione adeguata.
La vera domanda è:
- quando un sistema IA smette di essere “preparatorio” o “narrow procedural” e diventa un decision-maker de facto?
- E chi decide?
Se la risposta è “il provider, in auto-valutazione”, abbiamo un problema di governance.
Se la risposta è “le linee guida EDPS”, dobbiamo sperare che siano più stringenti di quanto la pratica attuale — 57,69% di campi lasciati in bianco, dubbi interpretativi ammessi dalle stesse istituzioni, risultati preliminari soggetti a revisione — suggerisca.
Perché altrimenti, l’Art. 6(3) non sarà uno scudo per la proporzionalità, ma un’illusione di regolazione: carta che brucia alla prima frizione con la realtà.