L’entrata in vigore del Regolamento europeo sull’Intelligenza Artificiale (Regolamento UE 2024/1689, c.d. AI Act) viene spesso raccontata come l’avvio di un cantiere normativo ancora tutto da costruire.
Tuttavia, quando i sistemi automatizzati elaborano informazioni riconducibili a persone fisiche — e dunque qualificabili come dati personali ai sensi dell’articolo 4, numero 1 del GDPR —, la governance dell’algoritmo non appartiene al domani, ma è già pienamente reale e sanzionabile.
È in questo punto di intersezione che si collocano i quattro complessi provvedimenti adottati dal Garante per la protezione dei dati personali il 3 luglio 2026 nei confronti di
- Hera Comm S.p.A. (Provv. 3 luglio 2026, doc. web 10273926),
- EstEnergy S.p.A. (Provv. 3 luglio 2026, doc. web 10273954),
- Cerved Group S.p.A. (Provv. 3 luglio 2026, doc. web 10273976)
- Experian Italia S.p.A. (Provv. 3 luglio 2026, doc. web 10273659).
Analizzando le criticità emerse nell’impiego del software di Credit Check denominato “CGS-X”, questa serie editoriale ripercorre un caso studio paradigmatico in cui la tutela dei dati personali e i princìpi cardine dell’AI Act si saldano in un unico quadro di garanzie.
In questa prima puntata affronteremo i due lati speculari della decisione automatizzata: da un lato, la trasparenza della “scatola nera” e il diritto dell’utente a comprendere la logica che ha determinato un diniego contrattuale; dall’altro, la qualità dei dati in input e la prevenzione delle distorsioni (bias), esaminando come l’uso di modelli statistici legati all’età, al luogo di nascita o al CAP di residenza possa generare forme invisibili di discriminazione algoritmica.
Nelle puntate successive il viaggio proseguirà con l’analisi della sorveglianza umana e della responsabilità lungo la catena del valore.
“Scatola nera” della solvibilità e il diritto alla spiegazione algoritmica
Nel quotidiano rapporto tra cittadini e servizi essenziali, l’accesso alla fornitura di energia elettrica o gas rappresenta una precondizione indispensabile per la vita personale e familiare.
L’istruttoria condotta dal Garante trae origine dalle doglianze presentate da diversi utenti che, dopo aver richiesto l’attivazione di un contratto di somministrazione nel mercato libero, si sono visti opporre un immediato diniego motivato in modo generico dalla rilevazione di un profilo di rischio o da una presunta scarsa affidabilità creditizia (Provv. 3 luglio 2026, doc. web 10273926; Provv. 3 luglio 2026, doc. web 10273954).
Alla richiesta di chiarimenti formulata dai cittadini per comprendere quali informazioni avessero determinato la bocciatura, si è innescato un corto circuito informativo.
Da un lato, le società venditrici di energia — Hera Comm ed EstEnergy — hanno risposto precisando che la valutazione derivava da verifiche automatizzate condotte tramite banche dati esterne e hanno invitato gli utenti a rivolgersi direttamente ai gestori di tali archivi. Dall’altro lato, i cittadini hanno esercitato il diritto di accesso ai sensi dell’articolo 15 del GDPR nei confronti dei fornitori di informazioni commerciali e creditizie, ossia Cerved Group ed Experian Italia (Provv. 3 luglio 2026, doc. web 10273976 e Provv. 3 luglio 2026, doc. web 10273659). Tuttavia, sia Cerved sia Experian hanno risposto attestando la formale assenza, nei propri archivi ufficiali, di protesti, pregiudizievoli o segnalazioni negative a carico dei richiedenti, generando così una contraddizione: l’utente risultava privo di pendenze morose, ma veniva comunque giudicato inaffidabile e privato del servizio energetico.
Funzionamento della “scatola nera”
Gli accertamenti ispettivi promossi dall’Autorità hanno consentito di precisare il funzionamento dell’architettura tecnologica sottostante a questo meccanismo.
La valutazione dell’affidabilità dei potenziali clienti veniva elaborata attraverso un software distribuito dalla società Major 1 S.r.l., denominato “CGS-X”. Tale piattaforma interroga in tempo reale, tramite chiamata puntuale sul codice fiscale dell’utente, i sistemi informativi di Cerved e di Experian, acquisendo rispettivamente lo “Score Retail Utilities” e lo “Score ESX”, unitamente ai relativi sotto-punteggi analitici. Il software di Major 1 provvede poi a combinare questi due indicatori in un valore sintetico integrato, denominato “Score CGS-X” o “Score Integrato Utilities”, sulla base del quale i sistemi gestionali del fornitore di energia generano automaticamente un esito bloccante (KO) al superamento di determinate soglie interne di accettazione del rischio.
