Ieri nel Radar: intervista ad Alessandro Migliorini (European Energy)
Per la prima intervista del Radar abbiamo coinvolto Alessandro Migliorini,
Head of Public Affairs di European Energy. Con lui abbiamo parlato di energia, regole e investimenti, con uno sguardo al futuro: data center e intelligenza artificiale.
LINK: https://eraiver.com/radar/interviste/alessandro-migliorini/
IL NUMERO 15
Un’impresa può decidere se accettare un cliente sulla base di un punteggio calcolato da un software? La risposta breve è sì. Quella completa è più interessante.
A luglio il Garante privacy si è pronunciato su quattro casi che riguardano proprio questo: punteggi di affidabilità usati da due fornitori di energia per decidere a chi attivare un contratto di luce e gas. Il Garante non ha contestato l’uso dei punteggi in sé, ma il modo in cui erano costruiti, conservati e soprattutto spiegati.
Il tema riguarda molte imprese oltre all’energia: chiunque venda a rate, conceda un pagamento differito o selezioni i clienti in base al rischio di mancato pagamento.
E dal 2027 entrerà anche nel perimetro dell’AI Act.
Il caso
Hera Comm ed EstEnergy, due società di vendita di energia del Gruppo Hera, valutavano l’affidabilità di chi chiedeva un contratto in due passaggi:
- Il primo era interno: la verifica di eventuali morosità precedenti verso le società del Gruppo.
- Il secondo era esterno: i dati di due società specializzate in informazioni creditizie, Experian e Cerved, combinati da un software in un unico punteggio.
Sopra una certa soglia, il sistema assegnava automaticamente un esito negativo e nella maggior parte di questi casi il contratto veniva rifiutato.
Secondo il provvedimento su Hera Comm, la valutazione esterna ha riguardato circa un milione di persone tra il 2022 e il marzo 2024. Le istruttorie sono partite dai reclami di alcuni cittadini. Si erano visti negare la fornitura e, quando avevano chiesto di accedere ai propri dati, avevano ricevuto risposte generiche: senza il punteggio, senza i suoi elementi, senza alcuna spiegazione dei criteri usati.
Con quattro provvedimenti del 3 luglio 2026, il Garante ha sanzionato Hera Comm per 5,8 milioni di euro, EstEnergy per 1,4 milioni, Cerved per 400.000 euro ed Experian per 120.000 euro. Le due società di vendita hanno dichiarato di aver collaborato pienamente con l’Autorità e di valutare l’impugnazione.
Cosa ha contestato il Garante Privacy
Leggendo i provvedimenti sulle due società di vendita, le contestazioni si raggruppano in quattro aree.
Trasparenza
L’informativa fornita ai clienti non spiegava la verifica interna sulle morosità né la comunicazione dei dati tra le società del Gruppo.
Finalità
I dati provenienti dai sistemi di informazioni creditizie erano stati usati anche per “affinare” il sistema di valutazione: una finalità ulteriore, ritenuta incompatibile con quella per cui i dati erano stati raccolti.
Esattezza e conservazione
I dati usati per le valutazioni erano conservati per dieci anni, il termine previsto per la documentazione contabile, con il rischio di basare le decisioni su informazioni non più aggiornate.
Accesso
È il punto più rilevante. Chi chiedeva i propri dati non riceveva il punteggio, i punteggi parziali che lo componevano, né informazioni sulla logica del calcolo.
Le misure imposte vanno nella stessa direzione. Entro 6 mesi le due società dovranno adottare un nuovo modello di risposta alle richieste di accesso, che comprenda il punteggio, i suoi elementi e la logica di calcolo. Dovranno anche prevedere una procedura per correggere i dati, con l’intervento di una persona e la possibilità di contestare la decisione.
Una precisazione: il Garante non ha accertato una violazione autonoma della norma del GDPR sulle decisioni interamente automatizzate, l’articolo 22. Le società hanno sostenuto che le valutazioni non portassero a decisioni di quel tipo; tuttavia, le garanzie previste da quella norma, cioè l’intervento umano e il diritto di contestare, entrano comunque tra le misure correttive.
Spiegare la logica, non consegnare la formula
Che cosa significa, in pratica, spiegare un punteggio? Il Garante richiama una sentenza della Corte di giustizia dell’Unione europea del 27 febbraio 2025 (causa C-203/22, Dun & Bradstreet Austria). Chi è oggetto di una decisione automatizzata ha diritto a una spiegazione della procedura e dei principi effettivamente applicati, in una forma comprensibile. Consegnare una formula matematica complessa o l’algoritmo non basta, e non è nemmeno richiesto. Un esempio indicato dalla Corte è spiegare se e come un dato diverso avrebbe cambiato il risultato. Il segreto commerciale, inoltre, non giustifica un rifiuto generalizzato: se ci sono informazioni riservate, spetta all’autorità o al giudice bilanciare gli interessi.
Una sentenza precedente della stessa Corte, del 7 dicembre 2023 (causa C-634/21, SCHUFA), aveva già chiarito un altro punto. Anche il calcolo di un punteggio può essere una decisione automatizzata, quando il punteggio ha un ruolo determinante nella scelta di concludere o meno un contratto. In quel caso, gli obblighi del GDPR riguardano anche chi calcola il punteggio, non solo chi lo usa.
E l’AI Act?
L’AI Act considera ad alto rischio i sistemi di intelligenza artificiale destinati a valutare il merito creditizio delle persone fisiche o a stabilirne il punteggio di credito, con l’eccezione di quelli usati per individuare frodi (Allegato III, punto 5, lettera b). Per questi sistemi gli obblighi si applicheranno dal 2 dicembre 2027, dopo il rinvio deciso con il Digital Omnibus.
Per chi li usa, l’impresa che decide sulla base del punteggio, il regolamento prevede obblighi propri, tra cui la sorveglianza umana. Prevede anche un diritto specifico per le persone interessate: ottenere spiegazioni chiare e significative sul ruolo del sistema nella decisione e sui suoi elementi principali (articolo 86).
Due domande, però, restano aperte, e non hanno una risposta unica. La prima: un punteggio usato per attivare un contratto di fornitura rientra nella “valutazione del merito creditizio” dell’AI Act? La seconda: il software che calcola il punteggio è un “sistema di intelligenza artificiale” secondo la definizione del regolamento, oppure applica regole fisse? Dipende da come è costruito ogni singolo sistema. Proprio per questo il caso è utile anche a chi oggi non si pone il problema: il GDPR chiede già adesso molte delle cose che l’AI Act renderà più stringenti.
Cosa fare nella propria azienda
Il caso si traduce in cinque verifiche, valide per qualsiasi impresa che usa punteggi per selezionare o valutare i clienti:
1. Mappare i processi in cui un punteggio, interno o di un fornitore esterno, porta ad accettare, rifiutare o modificare un contratto, e con quale peso.
2. Le verifiche interne, le fonti esterne e la comunicazione dei dati tra società dello stesso gruppo devono risultare chiaramente nell’informativa.
3. Il punteggio, i suoi elementi e una spiegazione comprensibile della logica vanno preparati prima che qualcuno li chieda.
4. Chi riceve un esito negativo deve poter far correggere i dati inesatti e ottenere una valutazione da parte di una persona.
5. I tempi di conservazione vanno fissati per la finalità di valutazione, non presi in prestito da altri obblighi. Con i fornitori di punteggi va chiarito chi fornisce cosa quando un cliente chiede spiegazioni.
In sintesi
Valutare l’affidabilità di un cliente con un punteggio automatico non è vietato. Il caso deciso dal Garante mostra però che la legittimità dipende da ciò che sta intorno al punteggio: un’informativa completa, dati esatti e conservati per il tempo giusto, e soprattutto la capacità di spiegare a chi viene rifiutato perché è successo. Dal dicembre 2027, per i sistemi di AI che valutano il merito creditizio, l’AI Act aggiungerà obblighi propri. Ma la domanda a cui un’impresa deve saper rispondere è già quella di oggi: se un cliente chiede perché gli è stato detto di no, cosa gli rispondiamo?
Nel prossimo numero (#16):
Un software che aiuta a leggere un esame diagnostico deve rispettare due regolamenti europei, una legge italiana e, presto, nuove regole europee sui dati sanitari. Come si combinano? Il Radar entra per la prima volta nel settore della sanità e del farmaceutico…
Al prossimo giovedì,
Edoardo Rinaldi
Per informazioni:
Rispondere a questa e-mail,
oppure
scrivere a: [email protected]