AI agent conforme al GDPR: guida all'architettura 2026

Le indagini GDPR legate all'AI sono aumentate del 340% dal 2024 al 2026, e l'EU AI Act inizia ad applicare gli obblighi per i sistemi ad alto rischio dell'Allegato III dal 2 agosto 2026, con sanzioni che arrivano a 15 milioni di euro o al 3% del fatturato globale. I due quadri normativi ora si applicano contemporaneamente a chiunque gestisca un AI agent che tocca dati personali dell'UE, e non esiste alcuna esenzione del tipo "siamo piccoli" o "è solo un progetto secondario per il nostro team".

È per questo che molte aziende europee stanno ricostruendo in sordina gli strumenti di AI che usavano l'anno scorso. Lo stack dei fornitori è cambiato sotto i loro piedi: quello che nel 2024 era un singolo account OpenAI, ora è un titolare, un responsabile, una catena di sub-responsabili, una mappa dei flussi di dati e una valutazione d'impatto sulla protezione dei dati che deve effettivamente esistere prima che l'agent entri in produzione.

Questo articolo è la versione pratica e indipendente dai fornitori di quella ricostruzione. Vedremo cosa richiedono realmente il GDPR e l'EU AI Act a un AI agent nel 2026, perché "regione UE" su un cloud statunitense non basta, le scelte architetturali che ti tengono dalla parte giusta della linea e dove si colloca un agent self-hosted come Hermes.

Cosa significa davvero "conforme al GDPR" per un agent

Il GDPR è stato scritto per sistemi in cui un essere umano inserisce dati e una macchina li elabora in modo prevedibile. Gli AI agent sono più disordinati. Lo stesso agent legge la tua casella di posta, chiama un'API di un modello, scrive in un vector store, esegue un task pianificato e pubblica su Telegram. Ogni passo è un'attività di trattamento distinta con la propria base giuridica.

Le richieste di conformità non sono cambiate: semplicemente mordono più forte quando il sistema è autonomo.

Articolo 5 (minimizzazione dei dati): l'agent deve raccogliere e conservare solo ciò che è necessario. Lo storico illimitato delle trascrizioni complete "per analisi o addestramento" è il segnale d'allarme più comune.
Articolo 6 (base giuridica): ogni passo di trattamento ne ha bisogno di una. Il legittimo interesse non è un lasciapassare quando i dati sono sensibili o l'utente non è stato informato.
Articolo 22 (decisioni automatizzate): se l'agent prende decisioni che incidono in modo significativo su una persona (approvare un rimborso, valutare un CV, far escalare un caso di supporto) l'utente ha diritto a una revisione umana.
Articolo 25 (protezione dei dati fin dalla progettazione): i controlli sulla privacy devono essere nell'architettura fin dall'inizio, non aggiunti dopo un reclamo.
Articolo 30 (registri delle attività di trattamento): ti serve un inventario documentato dei dati personali, di dove si trovano, di chi vi ha accesso e di quanto a lungo li conservi.
Articolo 17 (diritto alla cancellazione): quando un utente chiede di essere dimenticato, devi cancellarlo dal registro delle conversazioni, dal vector store, dalla memoria dell'agent e da qualsiasi output di uno strumento che abbia catturato i suoi dati.

Gli articoli 22 e 25 sono i due più frequentemente citati nella nuova ondata di azioni esecutive. Sono anche i due che colgono impreparati gli AI agent in hosting gestito, perché è la piattaforma a decidere l'architettura e tu erediti qualunque cosa abbiano rilasciato.

Lo strato dell'EU AI Act che si aggiunge sopra

Il GDPR disciplina i dati personali. L'EU AI Act disciplina il sistema di AI in sé. Da agosto 2026 in poi, i fornitori e gli utilizzatori di sistemi "ad alto rischio" (che includono molti casi d'uso in ambito HR, credito, istruzione e infrastrutture critiche) devono dimostrare tre cose:

Governance: politiche documentate, supervisione umana, un vero e proprio processo di gestione del rischio.
Verificabilità: log per ogni richiesta che mostrino cosa ha eseguito l'agent, quando e su quali dati.
Residenza dei dati: la prova che i dati personali e regolamentati siano rimasti nelle giurisdizioni richieste dalla legge.

I due quadri normativi non si sostituiscono a vicenda. Si sovrappongono. Quando l'AI Act sarà pienamente applicabile, a dicembre 2027, un agent che tocca dati personali dell'UE dovrà soddisfarli entrambi, e un singolo log mancante può mettere fuori conformità un'intera pipeline.

Scatto fotorealistico scuro di un piccolo rack di server in una stanza in penombra con un singolo LED di stato verde che illumina i cavi, a suggerire una tranquilla configurazione di infrastruttura self-hosted

Perché "regione UE" non basta

Il fraintendimento più costoso del 2026 è trattare la "regione UE" su un hyperscaler statunitense come una soluzione di residenza. Non lo è.

Il CLOUD Act statunitense consente alle autorità americane di obbligare le aziende con sede negli Stati Uniti a consegnare dati conservati ovunque nel mondo, compresi i data center europei. Se il tuo provider del modello, il tuo vector database o l'host del tuo agent è un'entità giuridica statunitense, i tuoi dati sono soggetti alla giurisdizione USA indipendentemente dall'ubicazione fisica del server. Il Capo V del GDPR sui trasferimenti internazionali non si cura di dove sia il disco: si cura di chi controlla l'accesso.

Questo ha conseguenze concrete sulla progettazione di un AI agent. Chiamare un'API di un modello con sede negli Stati Uniti dall'interno dell'UE è un trasferimento internazionale di dati personali al momento dell'inferenza, anche se ogni altro strato è europeo. La sanzione da 15 milioni di euro inflitta dal Garante italiano a OpenAI nel 2024 riguardava in parte proprio questo tipo di trasferimento non dichiarato.

Ci sono tre risposte pratiche:

Usa un provider del modello con sede nell'UE (Mistral, Aleph Alpha, modelli open-weight ospitati su OVHcloud). I trasferimenti restano all'interno del SEE e non servono le Clausole Contrattuali Standard.
Esegui il modello in self-hosting su infrastruttura UE (Llama, Mistral, Qwen tramite Ollama o vLLM). Non avviene alcun trasferimento: l'inferenza gira su hardware che controlli tu.
Usa un provider statunitense con un Accordo sul Trattamento dei Dati firmato e documenta il meccanismo di trasferimento. È possibile, ma è la via con più burocrazia, e la base giuridica è la più fragile se l'utente non è stato informato.

La scelta dipende dalla sensibilità dei dati e dal budget. Per agent rivolti ai consumatori che gestiscono normali dati di contatto, un provider statunitense supportato da un Accordo sul Trattamento dei Dati può essere difendibile. Per agent che toccano dati sanitari, finanziari o relativi al personale, la seconda opzione è sempre più l'impostazione predefinita sicura.

L'architettura per un agent self-hosted che regge

Eseguire il runtime in self-hosting aiuta molto, ma da solo non risolve la residenza al momento dell'inferenza. Un'architettura difendibile nel 2026 combina diversi strati.

Un runtime self-hosted su infrastruttura UE (Hetzner, OVHcloud, Scaleway, il tuo hardware). Il processo dell'agent, i log delle conversazioni, il vector store e i file delle skill risiedono tutti su dischi che controlli tu.
BYOK sul provider del modello così puoi scegliere dove avviene l'inferenza. Il Bring Your Own Key mantiene trasparenti la bolletta del modello, il flusso dei dati e la scelta del provider.
Segreti cifrati a riposo per chiavi API, token OAuth e credenziali di messaggistica. La cifratura a livello di disco non basta: lo standard è la cifratura a livello applicativo con una chiave che la piattaforma di hosting non vede mai.
Allowlist rigorose su ogni superficie di messaggistica (Telegram, Slack, Signal, email). Gli agent che rispondono a chiunque conosca lo username del bot sono il vettore di incidente GDPR più comune per chi fa self-hosting.
Una policy di conservazione documentata con effettivi job di cancellazione in esecuzione. "Cancelliamo su richiesta" non basta se non riesci a mostrare la traccia di audit dalla richiesta alla cancellazione.
Log strutturati per ogni richiesta che catturino cosa ha fatto l'agent, ma oscurino i dati personali contenuti nei prompt. I nuovi stack di logging strutturato rendono tutto questo pratico senza doverti costruire il tuo da zero.

Questo è il pattern architetturale che l'Articolo 25 del GDPR ("protezione dei dati fin dalla progettazione") si aspetta tu sia in grado di disegnare su una lavagna. È anche il pattern che sopravvive a una valutazione d'impatto sulla protezione dei dati senza mesi di interventi correttivi successivi.

Dove si collocano Hermes e Hermify

Hermes Agent è una delle opzioni che si allineano con l'architettura descritta sopra fin da subito. Ha licenza MIT, gira in Docker su qualsiasi VPS in UE, usa il BYOK sul provider del modello così scegli tu dove avviene l'inferenza, cifra le chiavi API a riposo e include controlli allowlist per ogni canale di messaggistica (SLACK_ALLOWED_USERS, SIGNAL_ALLOWED_USERS, EMAIL_ALLOWED_USERS). Il registro delle conversazioni, il vector store e la memoria persistente dell'agent risiedono tutti in HERMES_HOME sull'host che hai scelto: il che significa che la residenza dei dati è una questione di distribuzione, non una questione di fornitore.

L'inquadramento onesto: Hermes in self-hosting più il BYOK supporta un'architettura difendibile sotto il profilo GDPR, ma non è una certificazione. Resti tu il titolare. Ti servono comunque la valutazione d'impatto, la policy di conservazione, il job di cancellazione e i registri dell'Articolo 30. Ciò che cambia è che lo strato tecnico smette di ostacolarti.

Per le aziende europee che vogliono la stessa configurazione senza gestire l'infrastruttura, Hermify ospita Hermes su VPS in regione UE, firma un Accordo sul Trattamento dei Dati per lo strato di runtime e mantiene le chiavi del tuo provider cifrate con una chiave che la piattaforma non può leggere. Il provider del modello resta una tua scelta e una tua responsabilità: questa è la parte BYOK, ed è lo strato in cui si decide la residenza.

Scatto cinematografico scuro di una scrivania di legno con un laptop aperto su un visualizzatore di log strutturati con tenui evidenziazioni verdi e un quaderno di carta con segni di spunta scritti a mano accanto, a suggerire un audit manuale accurato di un AI agent

Una breve checklist di conformità

Una lista pratica e sintetica da portare in una conversazione sulla valutazione d'impatto:

Mappa ogni punto in cui i dati personali risiedono all'interno dell'agent: registro delle conversazioni, vector store, file delle skill, output degli strumenti, archivi dei messaggi.
Scegli il provider del modello con piena consapevolezza della giurisdizione. Con sede nell'UE o in self-hosting è la via più semplice.
Firma gli Accordi sul Trattamento dei Dati con ogni responsabile e sub-responsabile della catena.
Implementa una cancellazione effettiva, non solo un flag, e dimostrala con una traccia di audit.
Blinda le superfici di messaggistica con allowlist esplicite e ruota i token del bot.
Registra log per ogni richiesta, oscura al momento del logging e conserva i log solo per il tempo che ti serve.
Aggiungi un passaggio con intervento umano ovunque l'agent prenda una decisione ai sensi dell'Articolo 22.
Documenta tutto. I registri dell'Articolo 30 sono l'assicurazione più economica contro un rilievo del tipo "non riesci a provare cosa ha fatto il tuo agent".

L'impostazione predefinita del 2026

Cinque anni fa "AI conforme al GDPR" suonava come una preoccupazione europea di nicchia. Nel 2026 è la questione architetturale che decide se puoi vendere alle imprese, condurre un progetto pilota nel settore pubblico o accettare un singolo cliente dell'UE senza dover ricostruire tutto il trimestre successivo. Le risposte tecniche (runtime self-hosted, BYOK, residenza UE nello strato che conta, segreti cifrati, allowlist, cancellazione reale) non sono più esotiche. Sono l'impostazione predefinita. I fornitori che non hanno progettato per questo sono quelli intorno a cui si sta ricostruendo.

Se preferisci saltare il lavoro sull'infrastruttura e partire da una baseline già blindata, iniziare con Hermify richiede pochi minuti e ti porta direttamente all'architettura descritta sopra. Se vuoi gestire l'intero stack da solo, valgono gli stessi pattern: il resto del lavoro è tuo, ma l'agent non deve per forza essere la parte che ti ostacola.