Nella puntata dell’Editoriale del 22 ottobre 2026 abbiamo analizzato i due requisiti di fondo dell’azione algoritmica: la spiegabilità dell’output ex post, intesa come diritto dell’utente a comprendere la logica di una decisione automatizzata (Art. 15, par. 1, lett. h GDPR e Artt. 13 e 86 AI Act), e la qualità dei dati in input ex ante, volta a prevenire distorsioni e discriminazioni geografiche o anagrafiche legate all’età e all’indirizzo di residenza (Artt. 5, par. 1, lett. c e 25 GDPR e Art. 10 AI Act).
Con questa seconda e ultima puntata completiamo il quadro spostando l’attenzione sull’infrastruttura organizzativa e sul funzionamento dinamico dei sistemi automatizzati.
L’indagine affronta anzitutto il tema dell’illusione del controllo umano e della necessità di una sorveglianza effettiva sui processi gestionali, per poi decodificare la complessità della catena del valore dell’Intelligenza Artificiale, analizzando la frammentazione dei ruoli tra sviluppatori, fornitori di dati e utilizzatori finali, la circolazione non trasparente delle informazioni infragruppo e i rischi connessi al riuso improprio dei dati creditizi.
Questi nodi sistemici vengono analizzati prendendo come riferimento la casistica concreta esaminata dal Garante nei quattro provvedimenti del 3 luglio 2026 (doc. web 10273926, doc. web 10273954, doc. web 10273976 e doc. web 10273659) in relazione all’impiego del software di Credit Check “CGS-X”.
Illusione del controllo: automatismi gestionali e sorveglianza umana effettiva
Nell’ambito dei processi decisionali guidati dall’Intelligenza Artificiale e da sistemi algoritmici avanzati, una delle argomentazioni difensive maggiormente ricorrenti risiede nell’affermazione che l’output della macchina costituisca un mero elemento informativo o consultivo, destinato ad essere liberamente ponderato da un operatore umano.
Tuttavia, le verifiche condotte dal Garante hanno dimostrato come, nella realtà dei flussi operativi aziendali, la presunta presenza dell’intervento umano si risolva frequentemente in una “illusione del controllo”, cedendo il passo a un automatismo decisionale alquanto rigido e vincolante.
L’analisi dell’architettura informatica adottata da Hera Comm ed EstEnergy per le attività di Credit Check rivela come si articola questo cortocircuito procedurale.
All’atto di una richiesta di attivazione di una fornitura energetica nel mercato libero, il sistema gestionale di relazione con la clientela (CRM) effettua una chiamata automatica in tempo reale verso il software centrale SAP.
Se la verifica interna delle morosità pregresse dà esito positivo (OK), SAP interroga la piattaforma “CGS-X” di Major 1 S.r.l., la quale acquisisce i dati da Cerved ed Experian, calcola lo Score Integrato Utilities e restituisce a SAP un tracciato XML contenente l’indicatore sintetico di rischio denominato class value (punteggio graduato da 1 a 6). A questo punto, il sistema SAP confronta automaticamente il class value con le soglie di tolleranza preimpostate dalla Credit Policy aziendale e trasmette al CRM un esito finale di approvazione (OK) o di rigetto insuperabile (KO) della pratica (Provv. 3 luglio 2026 [doc. web 10273926]; Provv. 3 luglio 2026 [doc. web 10273954]).
Dagli accertamenti ispettivi è emerso che, a fronte dell’assegnazione di un esito KO generato al superamento della soglia di rischio, l’operatore commerciale o l’addetto del front-office non disponeva di alcun margine di discrezionalità o potere di deroga (Provv. 3 luglio 2026, doc. web 10273926, par. 2.1). L’azione dell’organizzazione aziendale era completamente eterodiretta dall’output algoritmico, mentre ai cittadini che chiedevano chiarimenti a seguito del diniego veniva preclusa la possibilità di fornire elementi giustificativi, di rappresentare la propria posizione o di ottenere una rielaborazione contestualizzata del giudizio di solvibilità (Provv. 3 luglio 2026, doc. web 10273926 e doc. web 10273954, parr. 2.1 e 4.2).
Il Garante ha ravvisato in tale impostazione una violazione dell’articolo 22, paragrafo 3 del GDPR. Questa disposizione stabilisce che, qualora un trattamento si basi su un processo decisionale automatizzato, il titolare ha l’obbligo di attuare misure adeguate a tutela dei diritti e delle libertà dell’interessato, garantendo almeno il diritto di ottenere l’intervento umano, di esprimere la propria opinione e di contestare la decisione assunta. L’Autorità ha chiarito che l’intervento umano non può ridursi a un passaggio formale o alla mera presa d’atto passiva del verdetto dell’algoritmo da parte di un operatore; al contrario, esso richiede un riesame sostanziale e autonomo condotto da una persona fisica dotata della reale competenza e dell’effettiva autorità per modificare o invalidare l’output del sistema automatizzato.
Questo principio di garanzia trova una puntuale corrispondenza nell’articolo 14 dell’AI Act, interamente dedicato alla sorveglianza umana (Human Oversight) nei sistemi di IA ad alto rischio.
L’AI Act sancisce l’obbligo di progettare e sviluppare i sistemi ad alto rischio — tra cui rientrano le piattaforme di credit scoring (Allegato III, punto 5, lett. b) — in modo tale che le persone fisiche incaricate della supervisione siano messe in grado di comprendere appieno le capacità e le metriche del sistema, di individuarne eventuali tendenze a produrre esiti distorti e, soprattutto, di poter decidere in qualsiasi momento di intervenire, interrompere il processo, ovvero ignorare, sovvertire o sostituire l’output generato dalla macchina.
Il controllo umano non è una clausola di stile, ma un presidio di responsabilità imprescindibile per evitare che l’individuo sia subordinato a decisioni contabili e gestionali del tutto spersonalizzate.
