Manager, commerciali e consulenti lo scoprono quasi per caso: si avvia un plugin sulla piattaforma di videocall, si partecipa alla videocall come sempre, e la gestione della videocall diventa più efficiente, e al termine si trova un verbale completo, riassunto e indicizzato, pronto da condividere. Zero appunti, zero dispersioni, risparmio di tempo reale. Gli strumenti di trascrizione basati sull’intelligenza artificiale si stanno diffondendo a velocità sorprendente nelle aziende, integrati direttamente nelle piattaforme di comunicazione o accessibili come applicazioni autonome, rendendo ogni videocall più produttiva.

Dietro questa semplicità apparente si cela un processo tutt’altro che banale dal punto di vista giuridico. Ogni trascrizione AI di una videocall è, nella sostanza, un trattamento di dati personali, e ogni videocall richiede attenzione legale articolato in più fasi: la voce dei partecipanti viene catturata, trasmessa a server del fornitore — spesso localizzati fuori dall’Unione Europea — ed elaborata da modelli di intelligenza artificiale, e infine conservata sotto forma di testo, talvolta insieme alla registrazione audio originale. Ciascuna di queste operazioni rientra nella definizione di “trattamento” ai sensi dell’art. 4 del GDPR e produce obblighi precisi in capo al titolare del trattamento. In Italia a questi si aggiungono quelli derivanti dallo Statuto dei Lavoratori e, con scadenze già attive, del Regolamento europeo sull’intelligenza artificiale. Il risultato è un quadro normativo che le imprese che adottano questi strumenti per le videocall senza una previa analisi legale rischiano di violare su più fronti simultaneamente, trasformando ogni videocall in un potenziale rischio.

Gli strumenti di trascrizione AI per le videocall sono destinati a diventare un’infrastruttura ordinaria nelle aziende, alla stregua della posta elettronica o delle piattaforme di videocall, dove ogni videocall è un punto di contatto critico. Come è accaduto per queste ultime l’adozione di massa non implica adozione conforme: il quadro normativo che governa questi strumenti è già sostanzialmente completo, tra GDPR, Statuto dei Lavoratori, AI Act, Legge 132/2025. Le Autorità di controllo — Garante Privacy in testa — stanno affinando strumenti e orientamenti per intervenire, specialmente per le videocall. Le sanzioni sono concrete, stratificate e potenzialmente molto elevate. Chi adotta uno strumento di trascrizione AI per le videocall senza una previa analisi legale sta esponendo l’azienda a violazioni su tre fronti normativi distinti, nessuno dei quali ha carattere accessorio.

Il GDPR e la base giuridica: il primo nodo da scioglier

Il Regolamento (UE) 2016/679 (“GDPR”) impone che qualsiasi trattamento di dati personali — compresa la semplice trascrizione di una riunione online — sia fondato su una base giuridica valida, rendendo ogni videocall un atto giuridico, scelta tra quelle elencate all’articolo 6. Per le videocall con clienti, fornitori o altri soggetti terzi, la base giuridica più utilizzata è il legittimo interesse del titolare ma il Garante Privacy ha ripetutamente chiarito che richiede un “Legitimate Interest Assessment” documentato, un bilanciamento concreto tra l’interesse dell’azienda e i diritti dell’interessato – e in ogni caso non dispensa dall’obbligo di informativa. Per i rapporti con i dipendenti, il consenso non è mai la base giuridica corretta — il GDPR e le indicazioni del Gruppo dei Garanti europei (EDPB) escludono quasi sempre che possa essere liberamente prestato in un contesto di subordinazione lavorativa.

Inoltre si deve considerare l’adempimento dell’art. 13 GDPR: prima che la registrazione di una videocall abbia inizio i partecipanti devono essere informati del fatto che la videocall sarà trascritta da un sistema AI, quale sistema, per quali finalità, per quanto tempo i dati saranno conservati e chi potrà accedervi. Un avviso automatico all’ingresso nella videocall non è sufficiente se non include tutti questi elementi.Sul piano pratico ogni azienda che adotta uno strumento di trascrizione AI per le videocall è tenuta ad altri adempimenti del GDPR, come l’aggiornamento del registro dei trattamenti ex art. 30 GDPR (se dovuto), la stipula di un accordo di responsabile del trattamento (DPA) ai sensi dell’art. 28 GDPR con il fornitore del software nel caso di alto rischio, ecc.

Quanto alle trascrizioni delle videocall, un punto di riferimento fondamentale è costituito dalle Linee Guida 1/2022 dell’EDPB, spesso richiamate dal Garante, per es. nel provvedimento del 14 novembre 2024 (doc. web 10091751): le registrazioni di conversazioni telefoniche e le relative trascrizioni sono esplicitamente qualificate come dati personali soggetti al diritto di accesso ex art. 15 GDPR. Questo significa che chiunque partecipi a una videocall trascritta con AI può chiedere all’azienda di accedere alla propria trascrizione e di ottenerne la cancellazione (salvo altri diritti o motivi cogenti e prevalenti). A partire dall’ottobre 2025, a questo quadro si aggiunge la Legge italiana n. 132/2025 sull’intelligenza artificiale, in vigore dal 10 ottobre 2025, che introduce specifici obblighi di trasparenza per i contenuti generati da sistemi AI, sanzioni penali per l’uso illecito dell’intelligenza artificiale e il principio di utilizzo “antropocentrico” e non discriminatorio.

Le sanzioni si stratificano: il GDPR prevede fino a 20 milioni di euro o il 4% del fatturato globale annuo per le violazioni più gravi; la Legge 132/2025 aggiunge aggravanti penali per i reati commessi mediante AI.

Lo Statuto dei Lavoratori: il rischio che le PMI sottovalutano di più

Quando la trascrizione AI riguarda videocall o riunioni a cui partecipano dipendenti, entra in gioco un secondo piano normativo altrettanto esigente: l’art. 4 della Legge 20 maggio 1970, n. 300 (Statuto dei Lavoratori), nella versione riformata dal c.d. Jobs Act (D.Lgs. 151/2015). La norma vieta l’utilizzo di impianti e strumenti “dai quali derivi anche la possibilità di controllo a distanza dell’attività dei lavoratori” senza aver preventivamente concluso un accordo collettivo con le rappresentanze sindacali aziendali (RSU/RSA) o, in mancanza di queste, senza aver ottenuto l’autorizzazione dell’Ispettorato Nazionale del Lavoro.

Le eccezioni previste — strumenti di lavoro, sistemi di rilevazione presenze — non coprono automaticamente i software di trascrizione AI per le videocall, soprattutto quando questi vengono integrati su piattaforme di comunicazione come add-on aggiuntivi rispetto alle funzionalità ordinarie. Vi è poi una conseguenza processuale spesso trascurata: le trascrizioni ottenute in violazione dell’art. 4 sono inutilizzabili come prove nei giudizi del lavoro, con il rischio che documenti considerati preziosi per la gestione di contestazioni disciplinari o contenziosi siano radicalmente privi di valore probatorio.

L’AI Act: il terzo fronte in evoluzione

Il Regolamento (UE) 2024/1689 — meglio noto come “AI Act” — contiene più disposizioni, alcune sono già in vigore. Proprio dal 2 febbraio 2025 è obbligatorio l’adempimento relativo all’ “alfabetizzazione AI” (cioè la formazione, art. 4) che impone alle imprese di garantire che il personale che utilizza o supervisiona sistemi AI possieda le competenze necessarie per farlo in modo responsabile. Dal 2 agosto 2025 sono operativi gli obblighi per i modelli di AI a uso generale (GPAI), con un regime sanzionatorio che arriva, nel massimale, fino a 35 milioni di euro o al 7% del fatturato globale per le violazioni più gravi. Dal 2 agosto 2026 diventeranno pienamente applicabili gli obblighi di trasparenza (art. 50) e i requisiti per i sistemi AI ad alto rischio (Allegato III).
Quest’ultima categoria è quella che più deve preoccupare chi usa strumenti AI per il monitoraggio e la gestione delle risorse umane: i sistemi utilizzati “nell’occupazione, nella gestione dei lavoratori e nell’accesso al lavoro autonomo” rientrano esplicitamente nell’Allegato III e sono soggetti a una serie di obblighi che includono documentazione tecnica, valutazione di conformità, registrazione nel database europeo e monitoraggio post-commercializzazione. Le aziende che adottano questi strumenti per le videocall sono “deployer” — non sviluppatori — ma questo non le esenta dagli obblighi: l’AI Act pone in capo a chi utilizza i sistemi AI responsabilità precise, tra cui quella di assicurarsi che le condizioni d’uso siano rispettate e che l’impiego del sistema non produca effetti discriminatori. Quindi un sistema di trascrizione automatizzata potrebbe ben ricadere nei sistemi ad alto rischio, se la destinazione d’uso fosse per es. di reclutamento, valutazione, monitoraggio, ecc.

Va anche precisato che è in corso di discussione il c.d. Regolamento Digital Omnibus che potrebbe mutare date e obblighi, come la riprogrammazione delle scadenze per l’adeguamento ai sistemi di IA ad alto rischio e le modifiche mirate all’obbligo di AI Literacy.

Come adottare uno strumento di trascrizione AI in modo lecito per le videocall

L’uso di questi strumenti non è intrinsecamente illecito: può essere pienamente conforme alla legge, a condizione di compiere i passaggi corretti prima di attivare qualsiasi funzione di registrazione o trascrizione di una videocall.

Per le videocall con soggetti terzi — clienti, fornitori, partner — il punto di partenza è l’informativa: i partecipanti devono essere avvisati, prima dell’inizio della registrazione, che la videocall sarà trascritta da un sistema AI, almeno con indicazione delle finalità e dei tempi di conservazione. Per le comunicazioni interne che coinvolgono dipendenti occorre invece avviare un’analisi preliminare per verificare se il tool configuri uno “strumento di controllo a distanza” ai sensi dell’art. 4 Statuto dei Lavoratori e, in caso affermativo, ottenere l’accordo con le rappresentanze sindacali o l’autorizzazione dell’INL prima di qualsiasi attivazione per le videocall.

In parallelo, è necessario regolarizzare il rapporto con il fornitore attraverso un DPA ai sensi dell’art. 28 GDPR, verificando dove i dati vengono processati, se vengono trasferiti fuori dall’UE e con quali garanzie, per quanto tempo vengono conservati trascrizioni e registrazioni originali delle videocall.

Infine, se il trattamento è sistematico o riguarda un numero significativo di persone, una DPIA ex art. 35 GDPR, in molti scenari, sarà obbligatoria per le videocall.