Assistente telefonico IA e GDPR: quali requisiti devono soddisfare le aziende

Non appena un assistente telefonico IA riceve chiamate, elabora dati personali – almeno numero di telefono e contenuto della conversazione. In questo modo il GDPR si applica integralmente. I quattro punti che nella pratica determinano la liceità: Base giuridica, trasparenza, trattamento su incarico e luogo del trattamento.

1. Chiarire la base giuridica

Per la gestione di una richiesta sollevata direttamente dal chiamante, di norma si applica la avvio o esecuzione del contratto da considerare, in via complementare, il legittimo interesse a una reperibilità efficiente. Se invece la conversazione viene registrata, si applicano requisiti più rigorosi – una registrazione senza consenso è di norma non consentita.

In pratica, ciò significa che un assistente che protocolla in modo strutturatola richiesta, invece di salvare la registrazione, è molto più semplice da gestire dal punto di vista della protezione dei dati.

2. Trasparenza verso chi chiama

Chi chiama deve poter riconoscere di parlare con un sistema automatizzato. Ciò deriva sia dal principio di trasparenza del GDPR sia dagli obblighi di etichettatura per i sistemi di IA. Un avviso chiaro all’inizio della conversazione è il modo più semplice — e, per esperienza, non rappresenta un problema di accettazione, purché il sistema funzioni in modo affidabile in seguito.

• Avviso all’inizio della conversazione che risponde un assistente digitale
• Possibilità di passare in qualsiasi momento a una persona
• Integrare le informative sulla protezione dei dati sul sito web, inclusi finalità e durata della conservazione

3. Contratto di nomina a responsabile del trattamento

Se l’assistente viene gestito tramite un fornitore di servizi, è necessario un contratto di nomina a responsabile del trattamento (AVV) ai sensi dell’art. 28 GDPR. In esso vengono disciplinati finalità, ambito, misure tecniche e organizzative ed eventuali sub-responsabili del trattamento. Senza AVV, l’utilizzo non è conforme alla normativa.

4. Dove vengono trattati i dati?

Il luogo del trattamento è il punto in cui le offerte si differenziano più chiaramente. Un trattamento all’interno dell’UE evita i requisiti aggiuntivi per i trasferimenti verso paesi terzi. Se un modello viene gestito al di fuori dell’UE, è necessaria una base giuridica solida per il trasferimento e una valutazione caso per caso.

Una regola pratica: meno dati il sistema memorizza e più breve è la conservazione, più semplice è l’intera struttura. La minimizzazione dei dati qui non è solo un obbligo legale, ma fa anche risparmiare lavoro.

Esempio: sequenza di verifica prima dell’introduzione

Un procedimento tipico: prima si stabilisce quali dati l’assistente abbia effettivamente bisogno per svolgere il suo compito – di solito nome, numero di richiamata e richiesta. Tutto il resto viene omesso. Poi si definiscono i tempi di conservazione e il concetto di cancellazione, si stipula il contratto di trattamento dei dati per conto terzi e si aggiornano le informative sulla privacy. Solo allora il sistema entra in fase di test.

Quali requisiti del GDPR si applicano agli assistenti telefonici IA? La checklist

• Base giuridica definita per ogni trattamento (ad es. avvio di un rapporto contrattuale, interesse legittimo, consenso in caso di registrazione)
• Obblighi informativi soddisfatti: avviso all’inizio, indicazioni dettagliate nell’informativa sulla privacy
• Contratto di nomina a responsabile del trattamentocon il fornitore e l’elenco dei subappaltatori
• Luogo di trattamento noto – idealmente Germania o UE
• Minimizzazione dei dati: solo nome, numero di richiamata, richiesta – ciò che non serve non viene raccolto
• Termini di cancellazionedefinito e implementato tecnicamente per verbali e trascrizioni
• Registro delle attività di trattamento integrato
• Valutazione d'impatto sulla protezione dei dati verificata, in particolare per dati sensibili come le informazioni sulla salute
• Diritti degli interessati (informazione, cancellazione) garantito a livello organizzativo

EU AI Act: cosa si applica in aggiunta

Oltre al GDPR, il EU AI Act impone obblighi alle aziende che utilizzano l’IA. Per gli assistenti telefonici sono rilevanti due aspetti: le persone devono poter riconoscere che stanno interagendo con un sistema di IA (obbligo di trasparenza), e le aziende devono garantire dal febbraio 2025 una adeguata competenza in materia di IA garantire la sicurezza dei collaboratori che lavorano con il sistema. Di norma, una breve formazione su funzionamento, limiti e protezione dei dati è sufficiente. Altro: Obbligo di etichettatura dell'IA.

Settori particolari

Chi tratta dati sanitari – ad esempio in studi medici o servizi di assistenza – necessita di misure di protezione rafforzate e dovrebbe effettuare una valutazione d'impatto sulla protezione dei dati. Per i soggetti tenuti al segreto professionale, come gli studi legali, si aggiungono obblighi di riservatezza. Esempi di settore: Studio medico e Servizio di assistenza domiciliare.

Come lo risolviamo in bettersorted

Il nostro assistente telefonico IA viene elaborato esclusivamente su server in Germania, con contratto di nomina a responsabile del trattamento ai sensi dell’art. 28 GDPR. Le trascrizioni servono alla documentazione e vengono eliminate dopo i termini stabiliti; all’inizio della chiamata gli interlocutori vengono informati che sta parlando un assistente digitale. Il funzionamento tecnico dell’assistente è spiegato da Come funziona un assistente telefonico basato su IA?.

Domande frequenti su assistente telefonico basato su IA e GDPR

Devo informare gli interlocutori che risponde un’IA?

Sì. Gli interlocutori devono poter riconoscere che stanno parlando con un sistema automatizzato. È sufficiente un breve avviso all’inizio della conversazione, insieme alla possibilità di essere trasferiti a una persona.

L’assistente può registrare le conversazioni?

Solo con un consenso valido delle persone che chiamano. Molto più semplice è un assistente che protocolla in modo strutturato la richiesta, invece di salvare la registrazione: in quel caso la questione non si pone in questi termini.

Ho bisogno di un contratto di nomina a responsabile del trattamento?

Sì, non appena un fornitore tratta i dati per vostro conto. Il contratto di nomina a responsabile del trattamento ai sensi dell’art. 28 GDPR è una condizione per un funzionamento conforme alla legge.

Il trattamento deve avvenire nell’UE?

Non è obbligatorio, ma semplifica notevolmente la situazione, perché vengono meno i requisiti aggiuntivi per i trasferimenti verso paesi terzi. Per questo definiamo espressamente il luogo di trattamento prima dell’introduzione.

Quali requisiti del GDPR si applicano agli assistenti telefonici IA?

Una base giuridica per il trattamento, un’informativa trasparente alle persone che chiamano, incluso un riferimento all’IA, un contratto di nomina a responsabile del trattamento, la conoscenza del luogo di trattamento, la minimizzazione dei dati, termini di cancellazione definiti e il rispetto dei diritti degli interessati.

Devo effettuare una valutazione d’impatto sulla protezione dei dati?

Non in tutti i casi. È indicata quando il trattamento comporta verosimilmente un rischio elevato, ad esempio in caso di dati sanitari o di trattamento esteso di informazioni sensibili. I vostri responsabili della protezione dei dati aiutano nella valutazione.

Passo successivo

Come funziona l’assistente in esercizio lo mostra la pagina prodotto Assistente telefonico IA. Le questioni relative alla protezione dei dati le chiariremo nell’ambito dell’introduzione – che tramite INQA-Coaching è finanziabile all’80 %.

Stato: settembre 2026. Questo contributo fornisce un orientamento generale e non sostituisce una consulenza legale nel singolo caso.