La risposta breve
Il 3 luglio 2026 il Garante Privacy ha sanzionato quattro societa per un totale di 7,72 milioni di euro per aver usato un algoritmo di scoring automatico che negava contratti energetici senza rispettare i diritti degli interessati. Le violazioni riguardano trasparenza, diritto di accesso e decisioni automatizzate — tre pilastri del GDPR che qualsiasi sistema AI decisionale deve presidiare.
I fornitori di energia Hera Comm ed EstEnergy ricevevano uno score composito da Cerved Group ed Experian Italia e lo usavano come filtro automatico per attivare o rifiutare le forniture. I clienti esclusi non riuscivano a capire perche, ne a contestare il risultato. Il Garante ha ritenuto questo meccanismo incompatibile con il GDPR.
Cosa e successo
Le indagini erano partite da reclami di cittadini a cui era stata negata la fornitura di luce o gas. I clienti ricevevano un diniego ma non una spiegazione: sapevano solo che la richiesta era stata rifiutata, non perche. Quando cercavano di ottenere informazioni, si trovavano davanti a risposte generiche, senza dati concreti sullo score assegnato o sui criteri usati per calcolarlo.
Il Garante ha aperto un procedimento che ha coinvolto l intera catena: i due fornitori energetici che usavano lo score e i due provider di dati che lo producevano. I provvedimenti del 3 luglio 2026, pubblicati sul sito del Garante (documenti 10273659 e 10273926), descrivono in dettaglio il meccanismo e le ragioni delle sanzioni. In parallelo, l Autorita ha ordinato misure correttive: procedure che permettano ai clienti di ottenere informazioni comprensibili sullo score e di richiedere una revisione in caso di dati errati.
Come funzionava lo scoring
Il sistema si basava su due indicatori di terze parti: lo "Score ESX" fornito da Experian Italia e lo "Score Retail Utilities" fornito da Cerved Group. Quando un potenziale cliente richiedeva una fornitura, Hera Comm ed EstEnergy interrogavano le rispettive banche dati e ricevevano un punteggio composito di affidabilita. Sotto una determinata soglia, il contratto veniva rifiutato in modo automatico.
Il problema non era l uso di uno score in se — e una pratica diffusa nel settore — ma l opacita del meccanismo. I clienti non sapevano che uno score veniva calcolato, quali dati ne erano alla base, come correggere eventuali errori o come richiedere la revisione da parte di una persona. In pratica, una decisione con effetti concreti sulla vita quotidiana era affidata interamente a un algoritmo, senza che l interessato avesse strumenti per capirla o contestarla.
Le violazioni accertate
Il Garante ha rilevato un insieme articolato di violazioni che si sovrappongono su piu articoli del GDPR.
Trasparenza insufficiente (Art. 13/14). Le informative privacy non comunicavano in modo chiaro che veniva effettuato un trattamento per finalita di scoring, ne spiegavano la logica del processo automatizzato. Gli utenti non erano in grado di esercitare i propri diritti perche non sapevano che esistesse un sistema da contestare.
Diritto di accesso non effettivo (Art. 15). I clienti che chiedevano informazioni non riuscivano a ottenere una rappresentazione comprensibile del punteggio loro assegnato, ne il dettaglio delle componenti che avevano determinato il rifiuto. Le risposte erano formalmente presenti ma sostanzialmente vuote.
Decisioni automatizzate senza garanzie (Art. 22). Il rifiuto della fornitura produceva un effetto significativo — la negazione di un servizio essenziale — ma non era prevista alcuna procedura reale di revisione umana. La supervisione era nominale, non effettiva.
Qualita e conservazione dei dati. Il Garante ha riscontrato anche carenze nella verifica dell accuratezza dei dati usati per comporre lo score e nella definizione dei tempi di conservazione.
Cosa significa per chi sviluppa sistemi AI
Il caso definisce tre requisiti operativi per qualsiasi prodotto software che usa AI per prendere decisioni su persone fisiche o giuridiche — e non si limita all energia o al credito.
Spiegabilita non e un report: e una funzione di prodotto. Non basta che il team tecnico possa spiegare come funziona il modello. La spiegazione deve essere accessibile all utente finale in formato comprensibile, al momento della decisione. Se questo non e implementato, la conformita al GDPR e solo formale.
La revisione umana deve essere effettiva. Avere un pulsante "contatta il servizio clienti" non soddisfa il requisito dell Art. 22. Ci vuole una procedura in cui un essere umano puo realmente esaminare il caso, accedere ai dati usati dall algoritmo, e ribaltare la decisione. I sistemi legacy che non hanno questo workflow devono riprogettarlo.
La catena dei fornitori di dati e corresponsabile. Il fatto che Cerved ed Experian siano state sanzionate insieme ai fornitori energetici e significativo: il Garante ha ritenuto i provider di dati corresponsabili delle violazioni dell intera catena. Chi fornisce modelli, punteggi o dati usati da terzi per decisioni automatizzate e esposto, non solo il titolare finale del trattamento.
Per le imprese italiane che costruiscono piattaforme SaaS, CRM, sistemi di onboarding o di risk management con componenti AI, il messaggio e diretto: la conformita GDPR di questi sistemi non si gestisce solo con una buona informativa — si progetta nell architettura del prodotto, nel logging delle decisioni, nelle API di contestazione, nella governance dei dati di terze parti.
Come progettare sistemi AI compliant
Sulla base dei requisiti emersi da questo caso, ecco un approccio pratico per i team di sviluppo:
- Auditabilita delle singole decisioni. Loggate le feature e i valori usati per ogni decisione specifica, non solo le metriche aggregate del modello. Se il Garante chiede "perche a questa persona e stato rifiutato X", dovete poter rispondere con dati, non con "il modello lo ha stabilito".
- Spiegabilita in formato leggibile. Integrate librerie di interpretabilita (SHAP, LIME o equivalenti) e costruite un layer di output che traduca i valori tecnici in testo comprensibile per un non tecnico. Questo output deve essere accessibile all utente, non solo agli sviluppatori.
- Workflow di contestazione integrato. Non un link al servizio clienti: un flusso dedicato in cui l utente puo segnalare dati errati, ricevere conferma di presa in carico, e ottenere una risposta da una persona fisica entro tempi definiti.
- Gestione dei dati di terze parti. Se usate score o dati da provider esterni, formalizzate i ruoli (titolare/responsabile) con contratti DPA aggiornati. Verificate che anche il fornitore rispetti i requisiti di qualita e trasparenza del dato.
- Test periodici di qualita del dato. Prevedete processi di verifica dell accuratezza dei dati in input, con alert quando la qualita scende sotto soglia. Dati sbagliati che producono decisioni errate sono una violazione GDPR, non solo un problema tecnico.
Domande frequenti
Quali sanzioni ha emesso il Garante Privacy sullo scoring AI energia?
Con provvedimenti del 3 luglio 2026 il Garante ha sanzionato Hera Comm per 5,8 milioni, EstEnergy per 1,4 milioni, Cerved Group per 400.000 euro ed Experian Italia per 120.000 euro, per un totale di 7,72 milioni. Le violazioni riguardavano l uso di un sistema automatico di scoring per negare contratti di fornitura energetica senza fornire informazioni adeguate ai consumatori.
Quale articolo del GDPR regola le decisioni automatizzate come lo scoring?
L articolo 22 del GDPR stabilisce che le persone hanno il diritto di non essere sottoposte a una decisione basata unicamente sul trattamento automatizzato, se essa produce effetti giuridici significativi o analoghi. Nei casi in cui lo scoring automatico sia permesso, il titolare deve garantire misure adeguate di tutela, tra cui il diritto di ottenere l intervento umano, esprimere la propria opinione e contestare la decisione.
Come rendere un sistema di scoring AI conforme al GDPR?
I requisiti chiave sono tre: spiegabilita by design (il sistema deve poter produrre una spiegazione comprensibile per l utente finale), diritto di contestazione implementato in prodotto (modulo o procedura per richiedere revisione umana e correzione dei dati errati), supervisione umana effettiva (i revisori devono avere accesso e strumenti per ribaltare la decisione). Sul piano tecnico: logging auditabile delle feature usate nella singola decisione, output di interpretabilita (SHAP o simili) esportabili in formato leggibile, workflow di contestazione integrato nella piattaforma.
Fonti
Garante Privacy — Provvedimento del 3 luglio 2026 n. 10273659 (Hera Comm / EstEnergy)
Garante Privacy — Provvedimento del 3 luglio 2026 n. 10273926 (Cerved / Experian)
Federprivacy — Sanzioni del Garante Privacy a quattro societa per 7,7 milioni
Il Salvagente — Luce e gas negati da un algoritmo: Garante multa Hera e EstEnergy