Assistente telefonico IA e GDPR: che cosa è consentito (2026)

I conti li conosci. Circa il 30 % delle chiamate alle piccole e medie imprese resta senza risposta, e ogni chiamata persa vale tra gli 80 e i 150 euro di fatturato mancato. Un agente telefonico IA che risponde sempre, nelle ore di punta, fuori orario, nei fine settimana, sembra la soluzione ovvia. Eppure molti titolari esitano, non per il prezzo o per la tecnologia, ma per una preoccupazione precisa: «È davvero consentito dal GDPR, e rischio una sanzione?».

Questo articolo risponde direttamente a quella domanda, e con più profondità di quanto offrano di solito sia le spiegazioni puramente giuridiche sia le pagine dei fornitori. La versione breve, subito: sì, un agente telefonico IA è in generale conforme al GDPR e consentito in Germania, Austria e Svizzera. La conformità non è una proprietà del software: è il risultato di come lo configuri, della base giuridica su cui ti appoggi, di quanta trasparenza offri, di dove sono ospitati i dati e del consenso che raccogli per la registrazione.

L’essenziale in breve:

• Serve una base giuridica ai sensi dell’articolo 6 del GDPR: di norma esecuzione di un contratto o legittimo interesse, e consenso per la registrazione.
• Devi dichiarare l’IA come IA. L’obbligo di trasparenza dell’articolo 50 del regolamento europeo sull’IA si applica dal 2 agosto 2026.
• Un contratto di responsabile del trattamento ai sensi dell’articolo 28 è obbligatorio ogni volta che un fornitore esterno tratta dati per tuo conto.
• L’hosting nell’UE elimina del tutto il problema del trasferimento verso paesi terzi: la via più semplice alla conformità.
• Il consenso serve solo per registrare o trascrivere integralmente, non per il trattamento in diretta.
• Nessuna decisione vincolante interamente automatizzata: l’agente non deve concludere da solo un contratto che obbliga (articolo 22).

Un avvertimento, in evidenza e subito: questo articolo è un orientamento ben documentato, non un parere legale per il tuo caso specifico. In caso di dubbio, consulta il tuo responsabile della protezione dei dati o un avvocato. Ciò che invece ti dà, e che i siti giuridici e le pagine dei fornitori tralasciano: script di saluto e consenso pronti da copiare, una lista di avvio e un catalogo neutrale per valutare i fornitori. Puoi anche creare un agente gratis e provare tu stesso la configurazione nel browser, senza carta di credito.

Un agente telefonico IA è conforme al GDPR? La risposta breve e quella lunga

Sì. Un agente telefonico IA tratta dati personali, voce, nome, richiesta e numero di chi chiama, in modo conforme al GDPR, a condizione che esista una base giuridica, che l’interlocutore sia informato con trasparenza, che sia in essere un contratto di responsabile del trattamento e che i dati siano trattati con minimizzazione e all’interno dell’UE.

Qui va chiarita una confusione comune. «Conforme al GDPR» non è una certificazione impressa su un software. Lo stesso identico software può essere gestito in modo conforme o non conforme, a seconda della tua configurazione e di quella del fornitore. La conformità è un esito, non una funzionalità di prodotto.

Vale anche la pena fissare le responsabilità. Tu, l’azienda che adotta l’agente, sei il «titolare del trattamento» ai sensi dell’articolo 4, punto 7, del GDPR. Il fornitore di IA agisce come tuo «responsabile». È proprio quella relazione a richiedere un contratto di responsabile del trattamento, punto su cui torniamo in dettaglio più avanti.

Quando si applica il GDPR ai sistemi di IA?

Nel momento in cui si trattano dati personali. Per un agente telefonico è praticamente sempre: un numero di telefono è già un dato personale, e di solito lo è anche la richiesta parlata. Che il trattamento avvenga tramite «IA» o «sistemi automatizzati» non cambia nulla di quella soglia: le regole sono le stesse di qualsiasi altro strumento che tocchi dati personali.

Il resto dell’articolo percorre le quattro leve che determinano davvero la conformità: base giuridica, trasparenza e regolamento sull’IA, registrazione e consenso, hosting e trasferimenti verso paesi terzi. Considera le sezioni che seguono come una mappa. Se vuoi in parallelo il retroterra tecnico e di sicurezza, vedi la nostra panoramica sulla sicurezza.

Su quale base giuridica un agente telefonico IA può trattare dati? (Articolo 6 del GDPR)

Ogni trattamento di dati personali richiede una base giuridica ai sensi dell’articolo 6, paragrafo 1, del GDPR. Per un agente telefonico di accoglienza, in pratica ne rilevano tre.

• Esecuzione di un contratto o misure precontrattuali (art. 6.1.b): per richieste in entrata come fissare un appuntamento o preparare un preventivo. Chi chiama vuole qualcosa che porta a un contratto o lo esegue, quindi il trattamento è giustificato.
• Legittimo interesse (art. 6.1.f): per la reperibilità generale e la qualità del servizio, per esempio raccogliere una richiesta di richiamata. Richiede un bilanciamento tra il tuo interesse e i diritti di chi chiama, ed è opportuno documentarlo.
• Consenso (art. 6.1.a): obbligatorio per registrare o trascrivere e per qualsiasi chiamata in uscita di marketing.

Una corrispondenza semplice aiuta a evitare gli errori tipici:

C’è poi una categoria particolare da segnalare. L’articolo 9 del GDPR copre i dati sensibili: salute, religione, appartenenza sindacale. Uno studio medico, per esempio, può ricevere informazioni sanitarie, e allora serve in più un’eccezione ai sensi dell’articolo 9, paragrafo 2. Più avanti le specificità settoriali.

Un punto controverso merita una risposta netta, perché gli approfondimenti giuridici e i siti dei fornitori tendono a parlarsi addosso. Una registrazione vocale non è automaticamente un dato biometrico ai sensi dell’articolo 4, punto 14. Diventa dato dell’articolo 9 solo quando la voce è trattata deliberatamente per identificare in modo univoco una persona: un’impronta vocale, l’autenticazione del parlante. Capire semplicemente che cosa vuole chi chiama (trascrizione senza intenzione di identificare) di regola non attiva l’articolo 9.

La conclusione pratica: se non usi impronte vocali né autenticazione del parlante, non ti serve il consenso dell’articolo 9 per il trattamento del parlato in quanto tale. Potresti comunque averne bisogno per registrare, ma è una questione distinta con una base distinta. Qualunque base scegli, documentala; il principio di responsabilizzazione si aspetta che tu possa mostrare il tuo ragionamento.

Devo dire a chi chiama che sta parlando con un’IA? (Art. 50 del regolamento sull’IA e art. 13 del GDPR)

Sì. Devi informare chi chiama, in modo chiaro e inequivocabile, all’inizio della conversazione, che sta parlando con un sistema di IA. Deriva dall’obbligo di trasparenza dell’articolo 50 del regolamento europeo sull’IA, applicabile dal 2 agosto 2026, e dagli obblighi informativi degli articoli 13 e 14 del GDPR.

Che cosa richiede concretamente l’articolo 50? Che l’interazione con l’IA sia riconoscibile da una persona fisica e che il contenuto vocale generato artificialmente o sintetico sia etichettato come tale. In parole semplici, risponde alla domanda che molti si pongono: «Come riconosco un’IA al telefono?». La riconosci perché un operatore conforme te lo dice subito.

Una parola contro l’allarmismo: un normale agente telefonico di accoglienza o prenotazione non è, di regola, un sistema ad alto rischio ai sensi del regolamento sull’IA. Si applica solo l’obbligo di trasparenza, non il pesante regime dell’alto rischio. I fornitori che agitano avvertimenti sull’alto rischio per creare urgenza stanno esagerando.

Sul fronte GDPR, l’informativa va un po’ oltre il semplice «sono un’IA». Chi chiama va anche indirizzato al trattamento dei dati e a dove trovare più informazioni: la tua informativa sulla privacy. Al telefono si risolve con un breve avviso parlato che rimanda al sito, e un collegamento dalla tua pagina privacy.

Questo si collega al diritto di raggiungere una persona. Una soluzione seria offre sempre un ripiego umano: «parlare con un membro del team» in qualsiasi momento. È una buona pratica di per sé, e sostiene anche l’articolo 22 (trattato più avanti). Come esempio di come lo affronta un operatore conforme: piattaforme come Hanc.AI sono costruite esplicitamente attorno all’articolo 50 e si dichiarano IA all’inizio della chiamata. Puoi configurare tu stesso questi saluti quando imposti un ruolo dell’agente.

Un assaggio degli script pronti da copiare che seguono: «Buongiorno, sono l’assistente digitale di [Azienda]. Sono un’IA e sarò felice di aiutarla.»

Registrazione, trascrizione e consenso: quando diventa rischioso?

Ecco la distinzione che conta di più, e quella che quasi tutte le spiegazioni confondono. Il trattamento in diretta, in cui l’IA capisce e risponde senza conservare l’audio in modo permanente, è molto più facile da giustificare di una registrazione audio permanente o di una trascrizione integrale. Queste ultime richiedono di norma un consenso attivo.

Pensalo come un semaforo:

La luce rossa non è un’esagerazione. In Germania, registrare di nascosto la parola non destinata al pubblico è un reato ai sensi del § 201 del codice penale, e ciò include registrare in silenzio una telefonata, e può estendersi alle trascrizioni. La conseguenza è semplice: non registrare mai senza avviso e consenso preventivi.

Al telefono esistono tre meccaniche di consenso, e vale la pena vederle tutte e tre insieme, perché di solito nessuno le espone per intero:

1. Pressione di un tasto (DTMF): «Per autorizzare la registrazione, prema 2».
2. «Sì» parlato in risposta a una domanda chiara.
3. Consenso tacito: «resti in linea se è d’accordo».

Ora risolviamo un disaccordo reale tra fonti. Alcuni sostengono che «resti in linea» sia difendibile; altri dicono che non basta. La risposta onesta: il consenso tacito è giuridicamente contestato e non regge a un controllo. La scelta sicura per impostazione predefinita è la conferma attiva, un «sì» parlato o un tasto, con il vantaggio aggiuntivo di essere registrabile.

La minimizzazione dei dati è la migliore strategia predefinita (art. 5.1.c). Conserva solo un riepilogo o una nota strutturata, non un archivio audio completo. Quella singola scelta riduce insieme il rischio e la necessità di consenso. E un confine: le chiamate in uscita di marketing sono un tema distinto e più severo (consenso ai sensi della normativa sulla concorrenza sleale e del GDPR) e non sono oggetto di questo articolo, centrato sull’accoglienza.

Script di saluto e consenso pronti da copiare (modelli)

È la parte che i concorrenti raramente forniscono: blocchi completi e utilizzabili invece di una singola frase d’esempio. Adattali al tuo caso e al tuo responsabile della protezione dei dati.

Blocco 1, Saluto con dichiarazione IA (art. 50), senza registrazione. Da usare quando tratti solo in diretta.

«Buongiorno, sono l’assistente digitale di [Azienda]. Sono un’IA e posso aiutarla a fissare un appuntamento o rispondere alle sue domande. Come posso aiutarla?»

Blocco 2, Saluto più informativa GDPR (art. 13), con rimando all’informativa privacy.

«Buongiorno, sono l’assistente IA di [Azienda]. Per aiutarla tratterò i dati che mi fornirà. Trova maggiori informazioni sulla protezione dei dati su [sito]. Come posso aiutarla?»

Blocco 3, Consenso attivo alla registrazione (sì parlato).

«Questa chiamata può essere registrata per gestire la sua richiesta. Acconsente alla registrazione? Risponda sì o no.» Se no: «Capito, non registro. Come posso aiutarla?», e il trattamento prosegue solo in diretta.

Blocco 4, Consenso tramite tasto DTMF.

«Se acconsente alla registrazione di questa chiamata, prema 2 ora. Se preferisce di no, non prema alcun tasto e la aiuterò senza registrazione.» (Registra la pressione con marca temporale.)

Blocco 5, Ripiego umano.

«Può parlare con un membro del team in qualsiasi momento: dica semplicemente “operatore”.» (Sostiene l’articolo 22 e la trasparenza.)

Tre saluti completi specifici per settore, dato che mancano ovunque:

• Studio medico (dati sanitari, art. 9): «Buongiorno, sono l’assistente digitale dello [Studio]. Sono un’IA. Posso fissare appuntamenti e raccogliere i suoi dati. La prego di non comunicare diagnosi o informazioni sanitarie sensibili: se ne occuperà personalmente un membro del team.»
• Studio legale (segreto professionale): «Buongiorno, ha contattato l’assistente IA dello [Studio]. Sono un’IA e posso raccogliere i suoi recapiti e la sua pratica a grandi linee. Per i dettagli riservati la metto in contatto con un membro del team.»
• Artigiani (presa in carico lavoro / richiamata): «Buongiorno, sono l’assistente digitale di [Azienda]. Sono un’IA. Posso raccogliere la sua richiesta e organizzare una richiamata. Che cosa possiamo fare per lei?»

Se operi in più lingue, saluto e consenso devono essere resi nella lingua di chi chiama: il consenso è valido solo se informato. Le soluzioni che cambiano lingua durante la chiamata e coprono molte lingue rendono tutto più semplice. Come prima: sono modelli, da adattare al tuo caso e al tuo responsabile.

Contratto di responsabile del trattamento e hosting nell’UE: il fornitore come rischio privacy

Un contratto di responsabile del trattamento ai sensi dell’articolo 28 del GDPR è obbligatorio. Dal momento in cui un fornitore esterno di IA tratta dati personali per tuo conto, devi stipularlo. Senza, l’adozione è formalmente illecita, per quanto buona sia la tecnologia.

Come minimo, il contratto dovrebbe coprire: oggetto e finalità del trattamento, l’obbligo di agire solo su tue istruzioni, la riservatezza, le misure tecniche e organizzative, la gestione dei sub-responsabili e la cancellazione o restituzione dei dati alla fine.

Il punto dei sub-responsabili viene spesso glissato. Un fornitore serio dichiara quali sub-responsabili intervengono, telefonia, modello vocale, hosting, e dove si trovano. Conta soprattutto quando nella catena c’è un fornitore di modelli statunitense.

La via di gran lunga più semplice è una localizzazione dei server nell’UE o in Germania. Se il trattamento avviene interamente dentro l’UE, il problema del paese terzo scompare del tutto. Non c’è nulla da valutare né da documentare sui trasferimenti, perché non ce ne sono.

Se interviene un fornitore statunitense, ti serve un meccanismo di trasferimento: il quadro UE-USA per la protezione dei dati (in vigore da luglio 2023) oppure clausole contrattuali tipo più una valutazione d’impatto del trasferimento. Senza uno dei due, il trasferimento è esposto. E c’è una domanda da porre per iscritto a qualunque fornitore: i miei dati di conversazione vengono usati per addestrare i vostri modelli di IA? Un fornitore conforme lo esclude contrattualmente.

Come riferimento positivo: Hanc.AI è gestita da Good Point GmbH (FN 618845t, Vienna, verificabile su firmenbuch.at); l’infrastruttura applicativa e vocale si trova in Germania e il database principale a Francoforte; alcune elaborazioni IA ausiliarie possono avvenire fuori dall’UE, e l’informativa sulla privacy elenca ogni sub-responsabile del trattamento e come vengono gestiti i trasferimenti, così la questione del paese terzo ha una risposta scritta. Un contratto di responsabile è disponibile, e la piattaforma è progettata per il GDPR e il regolamento europeo sull’IA. I dettagli tecnici di sicurezza (cifratura e altro) vengono ora; puoi anche esaminare le integrazioni che determinano dove fluiscono i dati.

Minimizzazione, conservazione e misure di sicurezza nella pratica

La minimizzazione dei dati (art. 5.1.c) significa raccogliere solo ciò che la finalità richiede. Un numero di telefono e la richiesta di chi chiama, sì. Un archivio audio non necessario, no. Dove possibile, oscura o pseudonimizza gli identificativi personali.

Un piano di cancellazione è la parte che quasi tutte le spiegazioni sfiorano appena. Definisci periodi chiari di conservazione per i dati di conversazione e di contatto, e applicali automaticamente, per esempio cancellazione automatica dopo un numero fissato di giorni. I periodi variano per settore e per obblighi sovrapposti (fiscali, deontologici): fissali con intenzione, non per inerzia.

Le misure tecniche concrete che distinguono un fornitore serio sono in larga parte standard di mercato, e dovresti poterle verificare: cifratura a riposo (per esempio AES-256) e in transito (TLS 1.3), controlli di accesso, processi di cancellazione automatica e, dove disponibile, un’attestazione esterna come SOC 2.

La migliore impostazione predefinita è «riepilogo invece di audio». Una nota strutturata della conversazione invece dell’audio grezzo riduce insieme volume di dati, rischio e necessità di consenso. E controlla le impostazioni di fabbrica: la registrazione è attiva o disattiva alla consegna? La protezione dei dati per impostazione predefinita (art. 25) si aspetta che l’opzione che minimizza i dati sia quella preimpostata. Tutto questo confluisce direttamente nella lista di valutazione che segue. Per un quadro più completo delle tutele, vedi la panoramica sulla sicurezza.

Lista di controllo: come riconoscere un agente telefonico IA conforme al GDPR

Quali sistemi di IA sono conformi al GDPR? Quelli che superano i punti seguenti. Le pagine dei fornitori si elogiano da sole; quasi nessuno offre una griglia neutrale. Eccone una, da copiare e usare. Percorrila fornitore per fornitore:

1. La localizzazione dei server è nell’UE o in Germania?
2. Ci sono dati trasferiti fuori dall’UE o sub-responsabili statunitensi?
3. È disponibile e pronto alla firma un contratto di responsabile ai sensi dell’articolo 28?
4. I sub-responsabili sono dichiarati?
5. I dati di conversazione vengono usati per addestrare modelli, sì o no?
6. La registrazione è disattivata per impostazione predefinita?
7. I periodi di conservazione sono configurabili?
8. È supportata l’etichettatura IA dell’articolo 50?
9. È possibile un ripiego umano?
10. La cifratura, e idealmente un certificato, è dimostrata?
11. Il fornitore è raggiungibile giuridicamente (sede nell’UE, verificabile in un registro pubblico)?

La risposta diretta a «quali sistemi di IA sono conformi al GDPR?» è: quelli che soddisfano questi punti. Non decide la parola d’ordine sulla pagina iniziale, ma l’hosting, il contratto, le impostazioni predefinite e l’esclusione contrattuale dell’uso per addestramento.

Segnali d’allarme, al contrario: nessun contratto di responsabile offerto, hosting solo negli Stati Uniti senza meccanismo di trasferimento, registrazione attiva per impostazione predefinita, nessuna risposta sull’addestramento dei modelli e un fornitore non raggiungibile giuridicamente.

Come riga di riferimento lavorata: Hanc.AI: infrastruttura applicativa e vocale in Germania, database principale a Francoforte, sub-responsabili e trasferimenti elencati nell’informativa sulla privacy (alcune elaborazioni IA ausiliarie possono avvenire fuori dall’UE), contratto di responsabile disponibile, chi chiama informato all’inizio che parla con un’IA, gestore verificabile nel registro delle imprese. Per il quadro completo e un’idea di che cosa soppesare, la pagina prezzi e la panoramica delle funzioni completano la visione d’acquisto.

Lista di avvio: introdurre un agente telefonico IA in 8 passi conformi

Una vera tabella di marcia passo per passo, con il responsabile di ciascun passo, perché la concorrenza tende a restare astratta.

1. Definisci il caso d’uso e la base giuridica (art. 6). Responsabile: direzione / responsabile protezione dati.
2. Seleziona un fornitore con il catalogo di valutazione e firma il contratto di responsabile (art. 28).
3. Costruisci lo script di saluto e consenso dai modelli e integra l’etichettatura IA (art. 50).
4. Attiva le impostazioni che minimizzano i dati (riepilogo invece di audio, registrazione solo con consenso) e imposta i periodi di conservazione.
5. Aggiorna l’informativa privacy del sito per coprire la telefonia IA, e richiamala nell’avviso parlato.
6. Aggiorna il registro dei trattamenti e verifica se serve una valutazione d’impatto (sezione successiva).
7. Predisponi un processo per i diritti degli interessati (accesso, cancellazione, revoca devono essere praticabili) e attiva la registrazione dei consensi.
8. Informa il personale, prova il ripiego umano e vai in produzione, correggendo in modo iterativo.

Una nota pratica: con una configurazione che non richiede programmazione, la parte tecnica è la più rapida. La cura va nell’impianto di protezione dei dati, non nella tecnologia. Puoi creare un agente gratis, senza carta di credito, e percorrere questa lista su una configurazione reale.

Documentazione e responsabilizzazione: valutazione d’impatto, registro e consenso dimostrabile

La responsabilizzazione (art. 5.2) significa che devi poter dimostrare la conformità: la base giuridica scelta, il contratto di responsabile, i consensi raccolti e il piano di cancellazione, tutto documentato.

Il tuo registro dei trattamenti (art. 30) deve elencare la telefonia IA come attività, con finalità, categorie di dati, destinatari e periodi di conservazione.

Una valutazione d’impatto sulla protezione dei dati (art. 35) è attivata da determinati fattori: una tecnologia davvero nuova, profilazione o analisi del sentiment, biometria, o portata su larga scala. Un semplice assistente di accoglienza senza profilazione né biometria di norma non la attiva. Aggiungi analisi del sentiment, impronte vocali o larga scala, e può attivarla, e allora potrebbe servire una consultazione preventiva (art. 36).

Sull’obbligo di responsabile della protezione dei dati: in Germania il § 38 della BDSG fissa una soglia oltre la quale la nomina è obbligatoria; Austria e Svizzera differiscono, quindi verifica la tua giurisdizione.

Per una registrazione dimostrabile del consenso, altra cosa che nessuno modella, annota marca temporale, formulazione della domanda di consenso, risposta (sì / tasto) e identificativo della chiamata. È così che il consenso diventa provabile (art. 7.1).

Rendi i diritti degli interessati realmente esercitabili: accesso compresa copia di un’eventuale registrazione (art. 15), rettifica dei nomi capiti male (art. 16), cancellazione (art. 17), portabilità in JSON o CSV (art. 20), revoca del consenso anche durante la chiamata (art. 7.3) e opposizione quando ti appoggi al legittimo interesse (art. 21).

Infine, collega l’articolo 22: nessuna decisione esclusivamente automatizzata con effetti giuridici. Un assistente IA non deve, per esempio, concludere da solo un contratto vincolante. Metti in sicurezza questo aspetto con un ripiego umano e una validazione umana finale dove conta.

Sanzioni: quanto costa davvero una violazione del GDPR?

I concorrenti restano vaghi sulle conseguenze. I numeri non lo sono. Il quadro sanzionatorio del GDPR arriva a 20 milioni di euro o al 4 % del fatturato annuo mondiale, il maggiore dei due, per le violazioni gravi. Per le violazioni formali, come la mancanza del contratto di responsabile, fino a 10 milioni o al 2 %.

C’è anche un piano penale. La registrazione audio segreta ai sensi del § 201 del codice penale tedesco è un reato (reclusione o multa), e colpisce la persona, non solo l’azienda.

Un inquadramento realistico per le PMI, senza allarmismo: i massimi da tracollo puntano alle grandi imprese. Per una piccola azienda contano di più ammonimenti, ordini dell’autorità di controllo, richieste di risarcimento (art. 82) e danno reputazionale. Il rischio è reale, e del tutto evitabile.

Gli errori più comuni ed evitabili che portano a un procedimento: contratto di responsabile mancante, registrazione segreta, assenza di etichettatura IA, un trasferimento verso gli Stati Uniti non risolto e un’informativa privacy mancante. L’inquadramento positivo è quello onesto: con un’implementazione corretta (vedi la lista di avvio), questo rischio è pienamente gestibile. La conformità è questione di ore di lavoro, non un ostacolo. Il dettaglio vive sulla pagina privacy.

Casi particolari settoriali: sanità, professioni legali, servizi finanziari e dati dei dipendenti

La profondità settoriale è dove la maggior parte dei contenuti si ferma, ed è dove stanno le differenze vere.

Studi medici. I dati sanitari sono categoria particolare (art. 9): requisiti più severi, minimizzazione ancora più importante e dovere di segreto professionale. L’IA può raccogliere una richiesta e fissare appuntamenti, ma dovrebbe evitare di acquisire dettagli diagnostici sensibili. Lo approfondiamo nella guida per gli studi medici, e ci sono configurazioni dedicate medico.

Studi legali e commercialisti. Valgono il segreto professionale e il § 203 del codice penale tedesco (rivelazione di segreti). Il fornitore va vincolato in modo pulito come ausiliario tenuto al segreto tramite il contratto di responsabile e deve ospitare nell’UE; i dati dei clienti non finiscono in un paese terzo. Vedi le pagine avvocati e commercialisti.

Servizi finanziari. Qui la logica può ribaltarsi: la MiFID II può imporre la registrazione di certe chiamate di consulenza o di ordine. La tensione non è protezione dei dati contro registrazione, la registrazione è l’obbligo, in un altro quadro giuridico. Tieni separate le due cose.

Artigiani. Di solito il meno sensibile: presa in carico del lavoro ai sensi dell’art. 6.1.b, richiamate, il che ne fa un buon settore d’ingresso. La configurazione artigiani è un punto di partenza a bassa barriera.

Dati dei dipendenti. Spesso trascurato: per i ruoli rivolti all’interno (assistenza interna, questioni HR) rileva il § 26 della BDSG. Informa i dipendenti dell’uso dell’IA e rispetta la codeterminazione dove esiste una rappresentanza sindacale. Corrispondono ai ruoli dell’agente rivolti all’interno.

Un ultimo riferimento: accanto al GDPR può applicarsi anche la normativa tedesca sulla protezione dei dati in telecomunicazioni e telemedia (TDDDG). Utile saperlo, senza appesantire il quadro.

Panoramica DACH: regole aggiuntive in Austria (DSG) e Svizzera (revDSG)

Nessun concorrente offre una reale ampiezza DACH, quindi ecco il valore aggiunto per i lettori austriaci e svizzeri.

Austria. Il GDPR si applica direttamente, integrato dalla legge austriaca sulla protezione dei dati (DSG). L’autorità di controllo è la Datenschutzbehörde. Esiste una tutela penale analoga contro la registrazione segreta, e l’etichettatura IA e l’obbligo di contratto di responsabile valgono allo stesso modo.

Svizzera. La Svizzera non è membro dell’UE. Si applica la legge revisionata sulla protezione dei dati (revDSG, in vigore dal 1° settembre 2023): principi simili di trasparenza, proporzionalità e trattamento su incarico, ma con terminologia propria e senza i tetti sanzionatori del GDPR. Dal punto di vista dell’UE, i trasferimenti verso la Svizzera sono coperti da una decisione di adeguatezza.

La conseguenza pratica: se ospiti nell’UE e sei conforme al GDPR, di norma soddisfi anche la DSG austriaca e sei al sicuro per la revDSG svizzera. Un unico standard copre tutta l’area DACH. Hanc.AI, per esempio, è progettata per il GDPR e il regolamento europeo sull’IA: una configurazione per l’intera regione.

Una nota sul regolamento sull’IA: si applica direttamente in tutta l’UE, Austria compresa. La Svizzera vi si allinea senza esserne direttamente vincolata, ma la trasparenza resta buona pratica. Per le fondamenta tecniche, vedi la panoramica sulla sicurezza.

Domande frequenti

Un agente telefonico IA è conforme al GDPR? Sì, se implementato correttamente. Significa una base giuridica valida ai sensi dell’articolo 6, informativa trasparente a chi chiama, un contratto di responsabile del trattamento, hosting nell’UE e consenso quando si registra o si trascrive. La conformità è il risultato della tua configurazione, non una proprietà fissa del software.

Devo dire a chi chiama che sta parlando con un’IA? Sì. L’obbligo di trasparenza dell’articolo 50 del regolamento europeo sull’IA (dal 2 agosto 2026) e l’articolo 13 del GDPR richiedono un avviso chiaro all’inizio della chiamata. Basta una breve dichiarazione parlata che identifichi l’agente come IA, con un rimando alla tua informativa sulla privacy.

Quando si applica il GDPR ai sistemi di IA? Nel momento in cui si trattano dati personali, il che per le telefonate accade praticamente sempre. Un numero di telefono è già un dato personale, e di norma lo è anche la richiesta parlata. L’etichetta «IA» non cambia quella soglia: valgono le stesse regole di qualsiasi altro strumento.

Quali sistemi di IA sono conformi al GDPR? Quelli con hosting nell’UE, un contratto di responsabile disponibile, impostazioni predefinite che minimizzano i dati e un’esclusione contrattuale dell’uso dei tuoi dati per addestrare modelli. Usa la lista qui sopra: decidono hosting, contratto, impostazioni predefinite ed esclusione dell’addestramento, non la dichiarazione di marketing.

Posso registrare le chiamate con l’IA? Solo con consenso preventivo. La registrazione segreta in Germania è un reato ai sensi del § 201 del codice penale. La via sicura è un consenso attivo, un «sì» parlato o la pressione di un tasto, che è anche registrabile. Per la maggior parte degli usi di accoglienza, un riepilogo invece dell’audio completo evita del tutto il problema.

La voce è un dato biometrico? Non automaticamente. Una registrazione vocale diventa dato biometrico ai sensi dell’articolo 9 solo quando viene trattata deliberatamente per identificare in modo univoco una persona: un’impronta vocale o l’autenticazione del parlante. La semplice trascrizione per capire la richiesta, senza intenzione di identificare, di regola non attiva l’articolo 9.

Mi serve una valutazione d’impatto? Un semplice assistente di accoglienza di norma no. Una valutazione d’impatto è attivata da fattori come profilazione, analisi del sentiment, biometria o portata su larga scala. Se la tua configurazione li comprende, esegui la valutazione e, ove richiesto, la consultazione preventiva dell’articolo 36.

I fornitori statunitensi sono ammessi? Solo con un meccanismo di trasferimento: il quadro UE-USA per la protezione dei dati, oppure clausole contrattuali tipo più una valutazione d’impatto del trasferimento. La via più semplice e sicura è un fornitore che ospita nell’UE, il che elimina del tutto la questione del paese terzo.

Conclusione: la telefonia IA conforme è questione di come, non di se

Un agente telefonico IA è consentito e praticabile in Germania, Austria e Svizzera. A decidere è l’implementazione: una base giuridica solida, trasparenza ai sensi dell’articolo 50, un contratto di responsabile, hosting nell’UE, consenso quando registri e minimizzazione dei dati in tutto il percorso.

Nessun clamore nella chiamata all’azione. Con la lista di avvio e il catalogo di valutazione qui sopra, puoi raggiungere la conformità in un tempo gestibile. Se vuoi vederlo in pratica, crea un agente gratis e prova tu stesso la configurazione nel browser, senza carta di credito; i dettagli sui prezzi sono sulla pagina prezzi.

Un’ultima avvertenza: questo è orientamento, non consulenza legale. In caso di dubbio, coinvolgi il tuo responsabile della protezione dei dati o un avvocato. E una nota finale sulla fiducia: come esempio di operatore verificabile e ospitato in Germania, Hanc.AI è gestita da Good Point GmbH a Vienna (FN 618845t), confermabile su firmenbuch.at.

Articoli correlati

• Che cos’è un agente telefonico IA?, la guida di base per orientarsi.
• Quanto costa un agente telefonico IA?, l’unico punto con cifre di prezzo concrete.
• Agenti telefonici IA per studi medici, l’approfondimento sulle configurazioni sensibili ai dati sanitari.
• Un assistente telefonico IA conviene a una piccola impresa?, come affrontare le obiezioni comuni.
• Servizio clienti IA 24/7, copertura continua senza turno di notte.