Il DPO nell’era dell’AI ACT

In questa fase di prima attuazione dell’AI ACT, molte organizzazioni si trovano prive di riferimenti chiari su chi debba presidiare la conformità alle nuove disposizioni normative. L’assenza di ruoli formalmente previsti dal legislatore europeo per la governance interna dei sistemi di intelligenza artificiale genera un vuoto operativo che rischia di tradursi in inefficienze o approcci disorganici. La figura del Chief Artificial Intelligence Officer (CAIO) è spesso evocata nel dibattito, ma ad oggi appare più come una costruzione teorica che come una funzione effettivamente implementabile nelle organizzazioni aziendali. In questo scenario, il DPO si profila come un punto di riferimento già presente da anni nelle imprese, dotato di una visione trasversale e di competenze normative che, pur non esaustive, possono essere valorizzate per dare una prima risposta alle esigenze di compliance.

Pur non essendo previsto in maniera esplicita all’interno dell’AI ACT, la figura del DPO è considerabile una “naturale” estensione verso l’AI, soprattutto per quanto riguarda i requisiti di trasparenza, tracciabilità, documentazione e sorveglianza umana. Sebbene questa estensione non sia priva di criticità – il DPO resta formalmente incaricato di vigilare sulla conformità al GDPR, non sulla totalità delle prescrizioni dell’AI ACT – essa rappresenta oggi una soluzione pragmatica, in attesa della definizione di ruoli più strutturati e settorialmente competenti.

È vero che l’AI ACT introduce obblighi che travalicano l’ambito della protezione dei dati personali, toccando aspetti tecnici e organizzativi complessi. Tuttavia, proprio per la sua esperienza nella valutazione dei rischi, nella gestione documentale e nella promozione di pratiche ispirate al principio di accountability, il DPO può contribuire efficacemente, fin da subito, all’integrazione di requisiti AI nei processi aziendali esistenti, ponendosi come figura di raccordo tra compliance normativa e governance operativa.

Il rischio di ambiguità funzionali, se non chiaramente governato, rimane concreto: è essenziale che il coinvolgimento del DPO non sfoci in una delega impropria o in un sovraccarico di responsabilità per ambiti che richiedono competenze interdisciplinari. Tuttavia, se supportato da strutture adeguate e professionalità complementari (ad esempio, esperti di AI, risk management ed etica applicata), il DPO può agire da catalizzatore di processi interni volti alla conformità, contribuendo alla definizione di policy, valutazioni d’impatto integrate e meccanismi di audit proporzionati.

In conclusione, lungi dall’essere investito di una centralità normativa che al momento non possiede, il DPO può comunque svolgere un ruolo attivo, realistico e di presidio nell’attuazione delle disposizioni dell’AI ACT. In attesa che si definiscano nuove figure istituzionali deputate alla supervisione dei sistemi di intelligenza artificiale, il suo apporto rappresenta una risorsa preziosa per una governance transitoria ma responsabile, a condizione che se ne rispettino i limiti e ne si valorizzino le competenze peculiari.