Decisione automatizzata nel KYC: dove finisce la valutazione, dove inizia la decisione?

In breve: il 21 agosto 2026 l'autorità olandese per la protezione dei dati ha inflitto a Uber una sanzione di 825 milioni di euro per aver disattivato account di autisti sulla base di decisioni automatizzate, senza un intervento umano reale. L'articolo 22 del GDPR disciplina le decisioni interamente automatizzate che producono effetti significativi su una persona, e la CGUE ha stabilito a fine 2023 che uno score può costituire di per sé una decisione di questo tipo. Per i team KYC, antiriciclaggio e due diligence la domanda non è più se automatizzare, ma dove collocare il confine tra automatizzare la valutazione del rischio e automatizzare la decisione su una persona. La risposta sta in 4 condizioni che rendono reale un intervento umano, e non un semplice clic di convalida.

‍

Il caso Uber: che cosa è successo davvero

‍

Tra il 2018 e il 2022 Uber ha disattivato account di autisti sulla base di sistemi automatizzati, in particolare in caso di sospetta frode o di valutazioni troppo basse. Tagliare l'accesso all'app significa tagliare l'accesso al reddito: l'effetto sulla persona è significativo, nel senso più concreto del termine.

Il 21 agosto 2026 l'Autoriteit Persoonsgegevens, l'autorità olandese per la protezione dei dati, ha pronunciato una sanzione di 825 milioni di euro, la seconda più alta nella storia del GDPR.

La contestazione centrale non è l'uso di algoritmi in sé: è l'assenza di un intervento umano sufficiente. Le revisioni che avrebbero dovuto presidiare queste disattivazioni sono state giudicate formali, senza un esame reale delle pratiche. Uber contesta la decisione e ha annunciato che la impugnerà in appello: il caso non è quindi definitivo, ma il segnale inviato alle imprese è già molto chiaro.

‍

E questo segnale va ben oltre le piattaforme di ride hailing. Ogni organizzazione che attribuisce uno score alle persone e attiva azioni su quella base è toccata dalla stessa questione di governance.

‍

Che cosa dice l'articolo 22 del GDPR, e come lo ha letto la CGUE

‍

L'articolo 22 del GDPR pone un principio: l'interessato ha il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato che produca effetti giuridici che lo riguardano o che incida in modo analogo significativamente sulla sua persona. Rifiutare un credito, rifiutare l'avvio di un rapporto, revocare l'accesso a un servizio: sono effetti che rientrano tipicamente in questo campo.

‍

La sentenza SCHUFA della Corte di giustizia dell'Unione europea (7 dicembre 2023, causa C-634/21) ha irrigidito notevolmente la lettura di questo testo. La Corte ha stabilito che il calcolo automatizzato di uno score di solvibilità può costituire di per sé una decisione individuale automatizzata, quando il destinatario dello score vi si affida in modo determinante. In altre parole: se la sua organizzazione segue quasi sistematicamente lo score di un fornitore, la decisione automatizzata non viene presa nel momento in cui lei clicca, viene presa nel momento in cui lo score arriva. Delegare il calcolo non trasferisce la responsabilità.

‍

L'articolo 22 prevede delle eccezioni: la decisione necessaria per la conclusione di un contratto, la decisione autorizzata dal diritto dell'Unione o di uno Stato membro, e il consenso esplicito. Ma nessuna di queste eccezioni elimina le garanzie: l'informazione dell'interessato, il diritto di ottenere l'intervento umano, il diritto di esprimere la propria opinione e di contestare la decisione.

‍

Il KYC e la due diligence non sono fuori campo

‍

Il riflesso naturale dei team compliance è pensare che i propri trattamenti siano estranei al tema, perché imposti dalla legge. È in parte vero, ed è proprio qui che la sfumatura conta.

‍

Gli obblighi di adeguata verifica antiriciclaggio si fondano sul diritto dell'Unione e sul diritto nazionale: un dispositivo KYC può quindi appoggiarsi all'eccezione dell'articolo 22. Lo stesso vale per la due diligence dei terzi, come la valutazione anticorruzione dei fornitori, che risponde agli obblighi di compliance dell'impresa. Ma una base giuridica per valutare non è un via libera per respingere automaticamente. 3 situazioni meritano un esame onesto dei suoi processi:

‍

• Il rifiuto automatico all'avvio del rapporto. Un motore di scoring analizza identità, segnali di rischio e liste di sanzioni, lo score supera una soglia e il rapporto viene rifiutato senza che nessun analista abbia aperto la pratica. La valutazione era obbligatoria; il rifiuto senza revisione, invece, è una scelta organizzativa.
• La due diligence fornitori che esclude un terzo sulla base dello score. Un lavoratore autonomo analizzato automaticamente (titolari effettivi, sanzioni, notizie negative sulla stampa) si vede rifiutare l'accreditamento come fornitore sulla sola base di uno score elevato. L'effetto sulla sua attività è significativo, e la persona fisica dietro la ditta individuale è a tutti gli effetti un interessato.
• Lo score esterno seguito ciecamente. Dopo SCHUFA, ripararsi dietro "è lo score del fornitore" non funziona più se quello score è determinante nella sua decisione.

La linea di demarcazione non è quindi "conformità o non conformità". È questa: le sue soglie orientano le pratiche verso il giusto livello di trattamento, o pronunciano da sole il rifiuto?

‍

L'AI Act aggiunge un secondo livello

‍

Il GDPR non è più l'unico testo a porre la domanda. Il regolamento europeo sull'intelligenza artificiale, il Regolamento (UE) 2024/1689, classifica la valutazione dell'affidabilità creditizia delle persone fisiche tra i sistemi ad alto rischio, con requisiti di trasparenza, documentazione e sorveglianza umana effettiva. Il testo è esplicito su un punto che riecheggia il caso Uber: la sorveglianza deve permettere a un essere umano di comprendere le capacità e i limiti del sistema, di restare consapevole del rischio di automation bias e di intervenire o interrompere il sistema. Una sorveglianza che si limita a ratificare gli output della macchina non risponde a questa definizione. Per il dettaglio degli obblighi e del calendario, veda la nostra analisi de l'AI Act applicato allo scoring, all'identità e alla frode.

‍

Human in the loop: le 4 condizioni di un intervento reale

È il cuore della questione, e il punto su cui convergono il caso Uber, le linee guida europee sulle decisioni automatizzate e l'AI Act: un intervento umano è reale solo se è significativo, esercitato da una persona che ha l'autorità e la competenza per cambiare la decisione. In concreto, questo presuppone 4 condizioni.

‍

• Comprendere il risultato. L'analista deve sapere perché lo score è quello che è: quali segnali hanno pesato, in quale direzione, con quale forza. Uno score opaco rende l'intervento umano formale per costruzione: non si può contestare ciò che non si può spiegare. È esattamente ciò che garantisce un'IA spiegabile, che restituisce le proprie motivazioni decisione per decisione.
• Disporre delle informazioni per metterlo in discussione. Vedere lo score non basta: serve l'accesso ai dati sottostanti, alla loro fonte e alla loro freschezza, per poter individuare un errore o un contesto che il modello ignora.
• Avere il tempo di esercitare un giudizio. Se l'organizzazione fissa un volume di pratiche per analista incompatibile con una revisione reale dei casi segnalati, l'intervento umano esiste sull'organigramma, non nei fatti. È un parametro di carico di lavoro, quindi una scelta della direzione.
• Avere il potere di decidere diversamente. L'analista deve poter prendere una decisione diversa dallo score, in entrambe le direzioni, e questa decisione deve essere tracciata con la sua motivazione. Se il sistema non lo consente, o se nessuno lo fa mai, la revisione umana è un timbro.

‍

Queste 4 condizioni hanno una conseguenza pratica: lo "human in the loop" non si decreta in una policy interna, si dimostra negli strumenti e nei numeri. Un'autorità che verifica il suo dispositivo non leggerà la sua procedura: guarderà la quota di decisioni in cui i suoi analisti hanno ripreso il controllo, i suoi tempi di revisione e la tracciabilità delle sue decisioni.

‍

Che cosa cambia nella scelta e nella configurazione dei suoi strumenti

‍

Automatizzare l'analisi resta indispensabile: nessuno tornerà alla verifica manuale di ogni pratica, e non sarebbe auspicabile né per il rilevamento delle frodi né per l'esperienza dei clienti legittimi. Il punto è configurare l'automazione perché valuti in modo rapido e accurato, e perché la decisione sui casi con effetti significativi resti governata. 4 criteri concreti, da mettere sul tavolo già in fase di gara:

• La spiegabilità nativa. Lo score restituisce le proprie motivazioni per ogni decisione, in un linguaggio utilizzabile da un analista, o bisogna credere alla macchina sulla parola?
• L'architettura delle soglie. Lo strumento permette di distinguere la convalida fluida dei casi sani, la revisione umana dei casi ambigui e il blocco dei soli casi in cui la legge lo impone (le sanzioni, per esempio)? Un sistema che conosce solo "accettato o rifiutato" la spinge meccanicamente verso la decisione automatizzata.
• La ripresa di controllo tracciata. L'analista può prendere una decisione diversa dallo score, con motivazione obbligatoria, marca temporale e conservazione nella pratica? È la prova materiale del suo intervento umano.
• La pista di controllo completa. In caso di ispezione o di contestazione da parte dell'interessato, può produrre la decisione nella sua interezza: dati consultati, versione del modello, segnali che hanno pesato, eventuale intervento umano? Questi requisiti coincidono con quelli che dettagliamo nella nostra guida per scegliere una soluzione KYC, e diventeranno strutturali man mano che AML6 armonizza i controlli su scala europea.

‍

In conclusione

‍

La sanzione Uber non condanna l'automazione: condanna l'automazione senza governance. Tra uno strumento che valuta e un sistema che decide, il confine non passa per la tecnologia, passa per l'organizzazione: soglie che orientano invece di sentenziare, analisti che comprendono ciò che convalidano, il tempo e il potere di decidere diversamente, e la traccia di tutto questo. I testi convergono, dal GDPR all'AI Act passando per la giurisprudenza SCHUFA: la valutazione può essere automatica, la decisione su una persona deve restare governata. Le organizzazioni che integrano questo principio fin d'ora nella scelta dei propri strumenti trasformano un'esposizione normativa in un vantaggio: decisioni più rapide E difendibili. Per vedere che cosa produce uno scoring spiegabile in cui l'analista mantiene l'ultima parola, testato sui suoi casi reali, pianifichi una demo.

‍

FAQ

‍

Che cos'è una decisione interamente automatizzata ai sensi del GDPR?

È una decisione presa senza un intervento umano significativo, che produce effetti giuridici su una persona o incide su di lei in modo analogo: il rifiuto di un credito, il rifiuto di avviare un rapporto, la disattivazione di un account. L'articolo 22 del GDPR sancisce il diritto di non esservi sottoposti, salvo eccezioni (contratto, autorizzazione di legge, consenso esplicito), sempre accompagnate da garanzie.

‍

Uno scoring KYC rientra nell'articolo 22?

Non automaticamente: la qualificazione dipende dalla natura del trattamento, dalla persona interessata e dagli effetti della decisione. Gli obblighi antiriciclaggio offrono una base giuridica alla valutazione. Ma se lo score attiva un rifiuto senza una revisione umana reale, o se uno score esterno viene seguito in modo determinante (giurisprudenza SCHUFA), il dispositivo si avvicina alla decisione interamente automatizzata e ai suoi obblighi.

‍

Che cos'è un intervento umano reale?

Un intervento esercitato da una persona che comprende il risultato (le motivazioni dello score), dispone delle informazioni per contestarlo, ha il tempo di esaminare la pratica e il potere di prendere una decisione diversa, tracciata con la sua motivazione. Un clic di convalida su una schermata "rischio elevato, rifiuto" non soddisfa nessuna di queste condizioni.

‍

Che cosa cambia l'AI Act rispetto al GDPR su questo tema?

‍

Il GDPR protegge la persona dalla decisione automatizzata; l'AI Act disciplina il sistema in sé. Per gli usi ad alto rischio come la valutazione dell'affidabilità creditizia delle persone fisiche, impone trasparenza, documentazione tecnica e sorveglianza umana effettiva, con un'attenzione esplicita all'automation bias. I due testi si cumulano.

‍

Si può rifiutare automaticamente un cliente per ragioni di conformità?

Il blocco automatico si difende meglio dove la legge lo impone direttamente, come una corrispondenza confermata su una lista di sanzioni. Per il resto, la pratica solida consiste nell'automatizzare l'orientamento delle pratiche (convalida fluida, revisione rafforzata) e nel riservare il rifiuto dei casi ambigui a una decisione umana documentata.

‍

Fonti: Autoriteit Persoonsgegevens, sanzione del 21 agosto 2026 (825 milioni di euro, decisione impugnata in appello); CGUE, 7 dicembre 2023, SCHUFA Holding, C-634/21; GDPR, articolo 22; linee guida del Comitato europeo per la protezione dei dati sul processo decisionale automatizzato relativo alle persone fisiche (WP251); Regolamento (UE) 2024/1689 (AI Act), allegato III e articolo 14.

‍