Ogni volta che pubblichi una foto su Instagram o scrivi un messaggio su WhatsApp, una parte dei tuoi dati potrebbe finire nei sistemi di addestramento dell’intelligenza artificiale. È quanto accaduto con Meta nel 2024, quando l’azienda ha annunciato l’uso di post pubblici e interazioni degli utenti europei per il suo chatbot AI. Il Garante Privacy italiano ha avvertito gli utenti: opporsi entro fine maggio 2024 per escludere i propri dati da questo processo. Ma cosa prevede esattamente il quadro normativo italiano? E come puoi proteggerti?

Da non perdere

4 articoli correlati

GDPR in vigore dal: 25 maggio 2018 · Direttiva e-Privacy base: quadri UE telecomunicazioni · Dati sensibili definiti da: Commissione Europea · Competenze digitali promosse da: AgID · Data Act in vigore dal: 12 settembre 2025

Panoramica rapida

1Fatti confermati
2Cosa resta incerto
3Segnale temporale
4Cosa viene dopo

La tabella seguente riassume gli elementi chiave del quadro normativo italiano sulla privacy digitale.

Quadro normativo e attori chiave
Campo Dettaglio
Normativa chiave GDPR Reg. UE 2016/679
Autorità italiana Garante Privacy
Data Act vigore 12 settembre 2025
Promotore competenze AgID

Cosa si intende per privacy digitale?

La privacy digitale indica il controllo che ogni persona esercita sulle proprie informazioni nell’ambiente online. Non si tratta solo di nascondere dati sensibili: riguarda il diritto di decidere chi può accedere, trattare e condividere le proprie informazioni personali in rete. Con l’espansione dei servizi digitali — dai social media alle app di messaggistica fino alle piattaforme di e-commerce — la quantità di dati generati quotidianamente è cresciuta in modo esponenziale.

Definizione base

Il Regolamento UE 2016/679, noto come GDPR, rappresenta il riferimento normativo principale per la protezione dei dati personali nell’Unione Europea. In vigore dal 25 maggio 2018, questo regolamento stabilisce principi fondamentali come trasparenza, minimizzazione dei dati, integrità e riservatezza — tutti orientati a garantire che le persone mantengano il controllo effettivo sulle proprie informazioni (Garante Privacy — Principi fondamentali).

Privacy nell’era digitale

Nell’era dell’intelligenza artificiale, la privacy digitale assume nuove sfumature. Quando Meta ha annunciato nel 2024 l’intenzione di utilizzare i dati pubblici degli utenti europei per addestrare i propri sistemi AI, il dibattito si è acceso. Il Garante Privacy italiano ha precisato che l’opposizione, se esercitata entro fine maggio 2024, permette di sottrarre all’addestramento dell’intelligenza artificiale di Meta tutte le informazioni personali (Garante Privacy — Comunicato Meta AI).

Il nodo Meta AI

I dati dei minorenni sono esclusi automaticamente dall’addestramento AI di Meta, ma non le immagini e i contenuti postati da utenti adulti. Il Garante ha chiarito che l’opposizione riguarda anche piattaforme come OpenAI, DeepSeek e Google — non solo Meta (Garante Privacy — Avviso AI).

Qual è l’attuale legge sulla privacy in Italia?

L’Italia ha adeguato il proprio ordinamento al GDPR attraverso il D.lgs. 101/2018, che ha modificato il D.lgs. 196/2003 (il Codice Privacy). Questo significa che nel territorio italiano operano sia il regolamento europeo sia la normativa nazionale di completamento, organicamente integrate. Le imprese italiane devono quindi confrontarsi con entrambi i riferimenti normativi, applicando le disposizioni più favorevoli per la protezione dei dati personali.

Il GDPR introduce diritti specifici per gli interessati: accesso ai propri dati, rettifica delle informazioni errate, cancellazione (il cosiddetto diritto all’oblio), limitazione del trattamento, portabilità dei dati verso altri servizi e opposizione al trattamento. La direttiva e-Privacy, invece, disciplina aspetti particolari come le comunicazioni elettroniche e l’uso dei cookie.

L’impatto concreto

Per le piccole imprese italiane, il GDPR comporta l’obbligo di mappare tutti i trattamenti di dati personali, implementare misure di sicurezza adeguate, redigere informative complete e mantenere un registro delle attività di trattamento — indipendentemente dalle dimensioni dell’azienda (Eduu.it — Privacy digitale PMI).

Quali sono i dati sensibili da non pubblicare?

I dati sensibili sono quelle informazioni che, se diffuse o trattate in modo improprio, possono causare discriminazione o danni significativi alla persona. La Commissione Europea ha definito categorie specifiche di dati meritevoli di protezione rafforzata. Pubblicare online informazioni riconducibili a queste categorie espone la persona a rischi concreti.

Tipi di dati sensibili

Tra i dati considerati sensibili rientrano: l’origine etnica o razziale, le opinioni politiche, le convinzioni religiose o filosofiche, l’appartenenza sindacale, i dati genetici e biometrici, i dati relativi alla salute e alla vita sessuale o all’orientamento sessuale.

Linee guida Commissione Europea

Le linee guida europee raccomandano di evitare la pubblicazione di qualsiasi informazione che possa identificare indirettamente una persona come appartenente a una delle categorie sensibili. Ad esempio, postare la foto di una manifestazione religiosa o il biglietto di un evento sindacale può rivelare dati sensibili anche senza menzionarli esplicitamente.

Come evitare che Meta usi i miei dati per AI?

Se utilizzi Facebook, Instagram o WhatsApp, puoi opporsi all’utilizzo dei tuoi dati per l’addestramento dei sistemi AI di Meta. La procedura è accessibile direttamente dalle impostazioni di privacy delle piattaforme.

Opporsi su Facebook e Instagram

  • Accedi alle impostazioni di Facebook o Instagram tramite l’app o il sito web
  • Naviga nella sezione “Informazioni” o “Privacy”
  • Cerca l’opzione relativa a “Intelligenza artificiale Meta” o “AI per servizi Meta”
  • Seleziona “Opponiti” o “Nega il consenso” per l’utilizzo dei tuoi dati pubblici
  • Conferma la scelta e, se richiesto, forn isci una motivazione (non obbligatoria)

Gli utenti possono opporsi a Meta AI anche attraverso le impostazioni privacy dedicate su Facebook e Instagram, senza dover inviare comunicazioni separate (Punto Informatico — Avviso Garante).

Disattivare Meta AI su WhatsApp

  • Apri WhatsApp e accedi alla chat con Meta AI
  • Tocca l’icona informazioni o le impostazioni della chat
  • Seleziona “Elimina conversazione” o “Blocca contatto”
  • Per disattivare completamente, accedi alle impostazioni privacy generali di WhatsApp
  • Verifica che i tuoi dati non siano condivisi con Meta per finalità AI nelle impostazioni privacy avanzate

È meglio accettare o rifiutare i cookie?

La scelta tra accettare e rifiutare i cookie dipende dal tipo di cookie e dall’utilizzo che il sito web ne fa. Non esiste una risposta univoca: è necessario valutare caso per caso.

Cosa significa accettare cookie

Accettare tutti i cookie significa consentire al sito web di memorizzare piccoli file di testo sul dispositivo. Questi file tengono traccia delle preferenze dell’utente, delle pagine visitate, del tempo trascorso sul sito e, nel caso dei cookie di terze parti, delle interazioni su siti diversi. Alcuni cookie sono essenziali per il funzionamento del sito; altri servono a fini pubblicitari o analitici.

Impatto su privacy

I cookie di profilazione, in particolare, creano un profilo dettagliato dell’utente che può essere condiviso con inserzionisti e piattaforme pubblicitarie. Rifiutare questi cookie non significa rinunciare completamente all’esperienza sul sito, ma può limitare la personalizzazione dei contenuti visualizzati.

Il rischio concreto

L’organizzazione Noyb ha denunciato Meta a 11 Garanti europei — incluso quello italiano — sostenendo che la base giuridica del legittimo interesse non giustifica l’uso dei dati personali per addestrare sistemi AI. Secondo Noyb, è necessario il consenso esplicito dell’utente per questo tipo di trattamento (Punto Informatico — Noyb denuncia).

Come adeguarsi al GDPR: i passaggi pratici

Per le imprese italiane, l’adeguamento al GDPR non è un’opzione: è un obbligo legale. Il percorso di conformità prevede step specifici che coinvolgono l’intera organizzazione. Di seguito i nove passaggi fondamentali da seguire.

1

Valutazione della compliance

Analizzare l’attuale livello di conformità rispetto ai requisiti GDPR. Identificare le aree di criticità e definire le priorità di intervento.

2

Registro dei trattamenti

Redigere e mantenere un registro aggiornato di tutte le attività di trattamento dei dati personali, includendo finalità, categorie di dati, destinatari e tempi di conservazione (Osservatori.net — Adeguamento GDPR).

3

Documentazione e informative

Preparare l’informativa privacy ai sensi dell’art. 13 GDPR, che deve includere l’identità del titolare del trattamento, i dati di contatto del DPO, le finalità del trattamento, la base giuridica e le categorie di dati trattati (Unolegal — Guida GDPR).

4

Definizione dei ruoli

Identificare e nominare, se necessario, il Responsabile della Protezione dei Dati (DPO). Definire le responsabilità interne per ogni fase del trattamento. Per una comprensione più approfondita, consulta la Guida Dolorsin Fem Forte.

5

Politiche di sicurezza

Implementare misure tecniche e organizzative adeguate per garantire la sicurezza dei dati personali. Prevedere procedure per la gestione dei data breach.

6

Procedura data breach

Stabilire una procedura per notificare al Garante e agli interessati eventuali violazioni dei dati personali, entro 72 ore dalla scoperta dell’incidente se il rischio è alto (Unolegal — Data breach).

7

DPIA se necessaria

Per trattamenti che presentano rischi elevati, condurre una Valutazione d’Impatto sulla Protezione dei Dati (DPIA) prima di avviare il trattamento.

8

Gestione diritti degli interessati

Implementare procedure per rispondere alle richieste degli interessati (accesso, rettifica, cancellazione, portabilità, opposizione) entro i termini previsti dal GDPR.

9

Formazione e revisione

Formare il personale sulle procedure privacy e prevedere revisioni periodiche per verificare l’adeguatezza delle misure implementate.

In sintesi: La privacy digitale in Italia è regolata principalmente dal GDPR e dal D.lgs. 196/2003, integrati dal D.lgs. 101/2018. Gli utenti italiani hanno diritti specifici che possono esercitare per opporsi all’uso dei propri dati da parte di Meta AI e altre piattaforme. Le imprese devono seguire 9 passaggi strutturati per adeguarsi al GDPR, mentre il Data Act introduce nuove regole dal 12 settembre 2025 per l’accesso ai dati industriali. Per chi non si adegua, le sanzioni possono raggiungere il 4% del fatturato globale annuo o 20 milioni di euro.

Cosa sappiamo e cosa resta incerto

Certezze

  • Il GDPR è in vigore dal 25 maggio 2018 e integra il D.lgs. 196/2003 dal 19 settembre 2018
  • I dati sensibili sono definiti dalla Commissione Europea e meritano protezione rafforzata
  • Il Garante Privacy italiano ha avvertito gli utenti sulla possibilità di opporsi all’uso dei dati per Meta AI
  • I dati dei minorenni sono esclusi automaticamente dall’addestramento AI di Meta

Da chiarire

  • L’esito delle indagini congiunte dei Garanti europei su Meta
  • L’impatto effettivo dell’AI Act sulla privacy individuale
  • Le eventuali sanzioni che verranno comminate a Meta per la policy AI
  • Il confronto specifico tra policy di Meta e quelle di OpenAI, Google e DeepSeek

L’opposizione, se esercitata entro fine maggio, permette di sottrarre all’addestramento dell’intelligenza artificiale di Meta tutte le informazioni personali.

— Garante Privacy, Autorità Garante Protezione Dati Personali

Per le piccole imprese, mappare tutti i trattamenti di dati personali, implementare misure di sicurezza adeguate, redigere informative complete e mantenere un registro delle attività di trattamento non è un’opzione: è un obbligo legale.

— Eduu.it, Portale formativo italiano

Considerazioni finali

La privacy digitale non è un concetto astratto: si traduce in scelte concrete che ogni utente e ogni impresa sono chiamati a fare quotidianamente. Il quadro normativo italiano, allineato al GDPR, offre strumenti potenti per proteggere i dati personali — ma questi strumenti funzionano solo se utilizzati. Per gli utenti italiani, la possibilità di opporsi all’uso dei propri dati per l’addestramento dell’AI rappresenta un diritto da esercitare consapevolmente.

Per gli utenti italiani, la scelta è netta: esercitare i propri diritti attraverso gli strumenti messi a disposizione dal GDPR oppure accettare che i propri dati possano essere utilizzati per addestramento AI. Chi decide di opporsi, può farlo tramite le impostazioni di Meta oppure presentando un reclamo formale al Garante Privacy se ritiene che la trasparenza non sia stata garantita.

Quali sono le 5 competenze digitali?

Le competenze digitali promosse dall’AgID includono: competenze di base nell’uso delle tecnologie digitali, capacità di comunicazione e collaborazione online, competenze nella creazione di contenuti digitali, competenze di sicurezza informatica e competenze relative alla risoluzione dei problemi tecnologici. Queste competenze sono essenziali per navigare consapevolmente nell’ambiente digitale e proteggere la propria privacy.

Come non dare il consenso a Meta su WhatsApp?

Per non dare consenso a Meta sull’uso dei tuoi dati in WhatsApp, accedi alle impostazioni privacy dell’app, verifica le opzioni relative alla condivisione dati con aziende terze e disattiva quelle non essenziali. Inoltre, puoi bloccare o eliminare le conversazioni con Meta AI. Ricorda che alcune funzionalità di WhatsApp dipendono dall’interazione con i server Meta, quindi valuta attentamente cosa disattivare.

Quando è violazione della privacy?

Si configura una violazione della privacy quando un soggetto tratta dati personali senza base giuridica valida, senza fornire l’informativa richiesta, senza garantire i diritti degli interessati o senza adottare misure di sicurezza adeguate. In caso di violazione, è possibile presentare un reclamo al Garante Privacy. Il Garante può comminare sanzioni e imporre misure correttive.

Il D.Lgs. 196/2003 è ancora in vigore?

Sì, il D.lgs. 196/2003 (Codice Privacy) è ancora in vigore ma è stato modificato dal D.lgs. 101/2018 per adeguarlo al GDPR. Il Codice Privacy non è stato abrogato ma integrato: contiene disposizioni di completamento della normativa europea, applicabili nel territorio italiano.

Cos’è la privacy digitale e cosa occorre per proteggere se stessi online?

La privacy digitale è il controllo che ogni persona esercita sulle proprie informazioni nell’ambiente online. Per proteggersi è necessario: verificare le impostazioni privacy sui social media, evitare di pubblicare dati sensibili, leggere le informative prima di accettare cookie, esercitare i diritti GDPR (accesso, cancellazione, opposizione), utilizzare password sicure e aggiornate, e considerare l’opposizione all’uso dei dati per finalità AI.

Quali dati personali sono considerati sensibili?

Sono considerati dati sensibili: origine etnica o razziale, opinioni politiche, convinzioni religiose o filosofiche, appartenenza sindacale, dati genetici e biometrici, dati relativi alla salute e alla vita sessuale. Pubblicare informazioni riconducibili a queste categorie espone la persona a rischi di discriminazione o danni.

Meta AI: come opporsi all’uso dei nostri dati su Facebook e Instagram?

Per opporsi all’uso dei dati su Facebook e Instagram, accedi alle impostazioni privacy, cerca l’opzione relativa a “Intelligenza artificiale Meta” o “AI per servizi Meta”, seleziona “Opponiti” o “Nega il consenso”. La scelta va confermata. Il Garante ha precisato che l’opposizione applica anche a piattaforme come OpenAI, DeepSeek e Google — non solo a Meta.