# AI, GDPR e AI Act: 10 verifiche per gli agenti immobiliari

> Dieci verifiche pratiche per le agenzie che usano l'AI con i dati dei clienti: GDPR, trasparenza dell'AI Act, consenso su WhatsApp, Regno Unito e autorità locali.

URL: https://www.formule.io/it/blog/gdpr-ai-act-agenti-immobiliari
Language: it
Publisher: Formule (Formule Labs Limited)
Updated: 2026-10-20
Sources checked: 2026-10-20

Un'agenzia che usa l'AI con i dati dei clienti ha due testi da leggere: il GDPR, in vigore dal 2018, e l'AI Act dell'UE, le cui norme sulla trasparenza hanno iniziato ad applicarsi il 2 agosto 2026. Gran parte del lavoro non è redazione legale. Sono dieci verifiche che potete fare in un pomeriggio prima di incollare una richiesta in un chatbot, di attivare un assistente AI o di lasciare che uno strumento prepari messaggi per gli acquirenti. Questa guida è una checklist GDPR e AI per gli agenti immobiliari, con esempi pratici e una breve sezione per ciascuno di sei mercati. È un'informazione generale, non una consulenza legale. Prima di fare affidamento su un punto, verificatelo con un consulente sulla protezione dei dati o con la vostra autorità, che in Italia è il Garante privacy.

Se state ancora decidendo quali attività affidare all'AI, partite da [intelligenza artificiale immobiliare: cosa funziona e come partire](https://www.formule.io/it/blog/intelligenza-artificiale-immobiliare). Questa pagina presuppone che abbiate già un'attività in mente e vogliate usarla in sicurezza.

## Le 10 verifiche prima di usare l'AI con i dati dei clienti

- **Nominate l'attività e i dati.** Scrivete una riga: «Preparare una risposta a una richiesta di un acquirente, usando nome, numero di telefono e l'immobile su cui ha chiesto informazioni.» Se non sapete dire quali dati personali entrano, non potete verificare nient'altro.

- **Scegliete una base giuridica.** Ai sensi dell'articolo 6 del GDPR serve una ragione legale per ogni utilizzo. Rispondere a una richiesta che qualcuno vi ha inviato di solito si fonda sull'esecuzione di misure su richiesta dell'interessato o sul vostro legittimo interesse a rispondere. Il marketing verso vecchi contatti richiede un esame a parte (punto 7). Scrivete la base accanto all'attività, così la scelta è deliberata.

- **Aggiornate l'informativa privacy.** Gli articoli 13 e 14 vi impongono di dire alle persone cosa fate con i loro dati e chi li riceve. Se gli strumenti di AI trattano le richieste, la vostra informativa deve dirlo con parole semplici, indicando anche quali tipi di fornitore ricevono i dati.

- **Firmate un accordo di trattamento con il fornitore di AI.** Quando un fornitore tratta dati personali per vostro conto, l'articolo 28 del GDPR richiede un contratto scritto che stabilisca cosa può fare con i dati. Chiedete l'accordo sul trattamento dei dati prima di caricare qualcosa di reale. Controllate quali sub-responsabili usa, come le società che forniscono i modelli di AI sottostanti. Un login personale a un chatbot non lo sostituisce, perché nessun contratto copre i dati dei clienti.

- **Verificate dove viaggiano i dati.** Molti servizi di AI girano su server fuori dall'UE o dal Regno Unito. Il capo V del GDPR consente questi trasferimenti solo con un meccanismo valido, per esempio una decisione di adeguatezza o le clausole contrattuali tipo. Chiedete al fornitore quali Paesi trattano i dati e quale meccanismo li copre.

- **Inviate meno dati.** La minimizzazione dei dati (articolo 5, paragrafo 1, lettera c) significa che lo strumento riceve solo ciò che serve all'attività. Per preparare la conferma di una visita, all'AI servono un nome, l'indirizzo e un orario. Non servono reddito, numero del documento d'identità o note sulla salute dell'acquirente prese dai vostri appunti. Toglieteli prima di incollare, oppure teneteli in un campo che lo strumento non può leggere.

- **Tenete separato il consenso al marketing.** L'invio di messaggi promozionali via email, SMS o app di messaggistica è disciplinato dalle norme ePrivacy (direttiva 2002/58/CE) come recepite in ciascun Paese, oltre al GDPR. Nel Regno Unito sono le regole PECR, e la guida dell'ICO dice che le regole sul marketing elettronico si applicano ai messaggi diretti sui social o a qualsiasi messaggio simile memorizzato elettronicamente. Dice anche che non dovete inviare email o SMS di marketing a persone senza uno specifico consenso, e che il «soft opt-in» per i clienti esistenti non copre i nuovi contatti né le liste acquistate. Un acquirente che vi scrive su WhatsApp per un appartamento non ha acconsentito a una newsletter mensile, che la scriva una persona o un'AI.

- **Fissate un periodo di conservazione.** La limitazione della conservazione (articolo 5, paragrafo 1, lettera e) significa che non tenete dati identificabili più a lungo del necessario. Decidete per quanto tempo vivono le bozze generate dall'AI, le cronologie delle chat e i dati delle richieste, ed eliminateli alla scadenza. Chiedete al fornitore per quanto tempo conserva i vostri input e se può cancellarli su richiesta.

- **Siate pronti alle richieste di esercizio dei diritti.** Le persone possono chiedere accesso, rettifica, cancellazione e opposizione. Se i dati dei clienti stanno in uno strumento di AI, dovete poterli trovare e agire. Provatelo una volta con un contatto fittizio. Ricordate anche l'articolo 22: una decisione presa unicamente con mezzi automatizzati che incide in modo significativo su qualcuno, come rifiutare automaticamente un inquilino, comporta restrizioni ulteriori. Tenete una persona in quel processo.

- **Mettete una persona responsabile e formatela.** L'agente legge e approva ciò che esce, e una persona nominata è responsabile della policy sull'AI e forma il team. L'AI Act aggiunge un obbligo collegato sull'alfabetizzazione in materia di AI all'articolo 4, trattato più avanti.

## Cosa chiede l'AI Act a un'agenzia

L'AI Act (regolamento (UE) 2024/1689) regola soprattutto le aziende che costruiscono sistemi di AI. Un'agenzia immobiliare che usa uno strumento già pronto è un «deployer», e gli obblighi sono più leggeri. Lo sportello di assistenza della Commissione europea elenca le date: l'alfabetizzazione in materia di AI e i divieti si applicano dal 2 febbraio 2025, le norme di trasparenza dell'articolo 50 dal 2 agosto 2026, e c'è una transizione fino al 2 dicembre 2026 per alcuni fornitori i cui sistemi che generano contenuti sintetici erano già sul mercato. Il Digital Omnibus sull'AI, in vigore dal 27 luglio 2026 secondo la Commissione, ha spostato le regole sull'alto rischio per i sistemi dell'allegato III al 2 dicembre 2027. Non ha spostato la data di inizio dell'articolo 50, il 2 agosto 2026. Le date vengono modificate di tanto in tanto, quindi verificatele sulla pagina della Commissione sull'AI Act prima di farvi affidamento.

- **Articolo 4, alfabetizzazione in materia di AI.** Fornitori e deployer devono adottare misure per sostenere l'alfabetizzazione in materia di AI del loro personale e di altri che usano sistemi di AI per loro conto, tenendo conto di conoscenze, esperienza e contesto. Il testo modificato aggiunge che questo non richiede di garantire un livello specifico di alfabetizzazione a ogni singola persona. In pratica: una breve regola scritta su cosa il personale può incollare negli strumenti di AI, più una traccia del fatto che l'avete illustrata al team.

- **Articolo 50, trasparenza.** I sistemi destinati a interagire direttamente con le persone devono essere progettati in modo che le persone siano informate che hanno a che fare con un'AI, a meno che non sia ovvio. Quell'obbligo ricade soprattutto sul fornitore, ma un'agenzia che mette un chatbot sul proprio sito o sulla propria linea WhatsApp dovrebbe verificare che l'avviso compaia. I deployer di sistemi che generano o manipolano contenuti di immagini, audio o video che costituiscono un deep fake devono dichiarare che sono artificiali, e il testo generato dall'AI e pubblicato per informare il pubblico richiede una dichiarazione, a meno che una persona lo abbia rivisto e ne abbia la responsabilità editoriale. Un'immagine di virtual staging o un video sintetico di un immobile è il caso da tenere d'occhio. Se una particolare immagine rientri è una questione giuridica, quindi dichiarate chiaramente le immagini AI. Le regole dei mercati per le immagini immobiliari sono nella [nostra guida al virtual staging con AI e ai video immobiliari](https://www.formule.io/it/blog/virtual-staging-ai-video-immobili-regole).

- **Usi ad alto rischio.** Gli strumenti che valutano le persone, come la selezione degli inquilini, possono rientrare nelle categorie ad alto rischio. Fatevi consigliare prima di usarne uno.

L'AI Act non sostituisce il GDPR. Si applicano entrambi, e l'autorità per la protezione dei dati resta il vostro primo interlocutore per le domande sui dati personali.

## Mercato per mercato

### Italia: Garante privacy

In Italia il GDPR si applica insieme al Codice privacy (D.Lgs. 196/2003), e l'autorità di controllo è il Garante per la protezione dei dati personali (Garante privacy). Il Garante gestisce una pagina dedicata all'AI che raccoglie le sue indicazioni e le sue decisioni, comprese le indicazioni sulla protezione dei dati personali dal web scraping, insieme al testo dell'AI Act e al materiale dell'EDPB. Il parere 28/2024 dell'EDPB del 18 dicembre 2024, richiesto dall'autorità irlandese, riguarda gli aspetti di protezione dei dati dei modelli di AI e vale la pena di leggerlo se scegliete tra più fornitori.

### Regno Unito: ICO

La guida dell'ICO su AI e protezione dei dati è stata aggiornata l'ultima volta a marzo 2023 ed è in revisione dopo il Data (Use and Access) Act. Il suo capitolo sulla trasparenza rimanda a un prodotto separato dell'ICO sulla spiegazione delle decisioni assistite dall'AI. Partite da lì se un fornitore non sa spiegare come il suo strumento arriva a un risultato.

### Germania: autorità dei Länder e DSK

Le aziende private come le agenzie immobiliari sono vigilate dall'autorità per la protezione dei dati del proprio Land, ai sensi del § 40 della legge federale sulla protezione dei dati, non dal commissario federale (BfDI). Le autorità si coordinano nella Datenschutzkonferenz (DSK), che il 6 maggio 2024 ha pubblicato un «Orientierungshilfe» su intelligenza artificiale e protezione dei dati. È una guida (un Orientierungshilfe), non una legge vincolante.

### Francia: CNIL

Il 7 febbraio 2025 la CNIL ha pubblicato due raccomandazioni su AI e GDPR. Dicono che quando dati personali sono usati per addestrare un modello e possono essere memorizzati, le persone devono essere informate, e che un'informazione generale può bastare quando il contatto diretto è impossibile. Per un'agenzia, la lezione pratica è chiedere ai fornitori se i dati dei vostri clienti sono usati per addestrare i loro modelli.

### Spagna: AEPD

Il 13 febbraio 2020 l'AEPD ha pubblicato una guida sull'adeguamento al GDPR dei trattamenti che usano l'AI. Copre base giuridica, trasparenza, diritti, decisioni automatizzate, minimizzazione dei dati e se gli strumenti di AI comportano trasferimenti internazionali. Fu scritta prima dell'AI Act, quindi usatela solo per le questioni di GDPR.

### Polonia: UODO

Il 6 agosto 2026 l'UODO ha pubblicato «Prima di introdurre uno strumento di AI, verificate se rispetta i principi del GDPR». Offre quattro serie di domande, la prima per le piccole e medie imprese che usano sistemi di AI già pronti. L'UODO dice che le domande non stabiliscono la conformità e non vanno presentate all'autorità. Sono un buon ordine del giorno per una chiamata con il fornitore.

## La posizione del Regno Unito

L'AI Act dell'UE è un regolamento dell'UE e non si applica di per sé nel Regno Unito. Nel Regno Unito si applicano il UK GDPR e il Data Protection Act 2018, sotto la vigilanza dell'Information Commissioner's Office (ICO). Le regole britanniche sul marketing sono nel PECR, come al punto 7.

## Esempio pratico: una bozza di follow-up su WhatsApp

Un agente vuole che l'AI prepari le risposte alle richieste dei portali e le invii su WhatsApp. Eseguite le dieci verifiche. L'attività: rispondere alle richieste con nome, numero e immobile. Base: misure su richiesta dell'acquirente. Informativa: aggiornata per citare gli strumenti di AI. Fornitore: accordo di trattamento firmato, sub-responsabili e Paesi verificati. Minimizzazione: il campo note con i dettagli del finanziamento di un acquirente è escluso. Marketing: le risposte alla richiesta partono, le newsletter no, a meno che l'acquirente abbia dato l'opt-in. Conservazione: bozze eliminate dopo 90 giorni. Diritti: un contatto fittizio rintracciato e cancellato. Persona: l'agente approva ogni messaggio. Per il flusso di follow-up in sé, vedete [follow-up dei lead con AI su WhatsApp](https://www.formule.io/it/blog/ai-follow-up-lead-whatsapp-immobiliare). Se collegate un assistente al vostro gestionale, le stesse verifiche valgono per ciò che può leggere, come spiegato in [ChatGPT e Claude per agenti immobiliari](https://www.formule.io/it/blog/chatgpt-claude-agenti-immobiliari).

## Cosa fa Formule e cosa non dichiara

Il fornitore del servizio self-serve di Formule è Formule Labs Limited, una società registrata in Irlanda (CRO 815470), come deciso il 10 ottobre 2026. La sua [informativa privacy](https://app.formule.io/privacy) la indica come titolare del trattamento e riporta privacy@formule.io per domande e richieste sui dati. L'informativa indica anche i servizi che stanno dietro alle funzioni di AI, così potete vedere quali fornitori sono coinvolti.

Really, l'agente AI di Formule, prepara e l'agente approva. Secondo la documentazione di Formule, nulla viene inviato da WhatsApp finché l'agente non lo approva, e le modifiche di Really ai vostri dati attendono l'approvazione dell'agente. Collegare WhatsApp richiede un passaggio di consenso in cui l'agente accetta che l'assistente legga le conversazioni dei lead. Le chat in app con Really sono visibili solo all'utente, non al responsabile.

Questo articolo non fa alcuna affermazione su certificazioni, regioni di hosting o accordi di trattamento dei dati. Per quanto possiamo verificare, l'informativa privacy pubblica e la documentazione di Formule non li indicano, quindi chiedete a privacy@formule.io l'accordo di trattamento e la collocazione dei dati prima di inserire dati dei clienti, come fareste con qualsiasi fornitore. Potete vedere come funziona Formule nel vostro mercato sulla [pagina Formule](https://www.formule.io/it) oppure [iniziare gratis](https://app.formule.io/signup?lang=it).

## Tenete una scheda di una pagina

Scrivete le dieci risposte su una pagina datata per ogni attività di AI e rivedetela ogni volta che cambiano lo strumento o la legge. È ciò che mostrate a un cliente o a un'autorità che chiede come usate l'AI.

## Sources
- https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-50
- https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-4
- https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
- https://ai-act-service-desk.ec.europa.eu/en/ai-act/timeline/timeline-implementation-eu-ai-act
- https://app.formule.io/privacy
- https://docs.formule.io/llms-full.txt
- https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/artificial-intelligence/guidance-on-ai-and-data-protection/
- https://ico.org.uk/for-organisations/direct-marketing-and-privacy-and-electronic-communications/guide-to-pecr/electronic-and-telephone-marketing/electronic-mail-marketing/
- https://www.gesetze-im-internet.de/englisch_bdsg/englisch_bdsg.html
- https://www.datenschutzkonferenz-online.de/orientierungshilfen.html
- https://www.bfdi.bund.de/EN/Home/home_node.html
- https://www.cnil.fr/en/ai-and-gdpr-cnil-publishes-new-recommendations-support-responsible-innovation
- https://www.aepd.es/es/prensa-y-comunicacion/notas-de-prensa/la-aepd-publica-una-guia-para-adaptar-al-rgpd-los-productos-y
- https://www.garanteprivacy.it/temi/intelligenza-artificiale
- https://www.edpb.europa.eu/our-work-tools/our-documents/opinion-board-art-64/opinion-282024-certain-data-protection-aspects_en
- https://uodo.gov.pl/pl/138/4533
- https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32016R0679
- Knowledge-Base/12_comms/decisions.md