GDPR, cookie e AI Act: la guida pratica per mettere il sito web aziendale a norma nel 2026

Dal 2 agosto 2026 l'articolo 50 dell'AI Act è pienamente applicabile: chi utilizza chatbot, genera immagini con l'intelligenza artificiale o pubblica contenuti sintetici sul proprio sito ha nuovi obblighi di trasparenza da rispettare, che si sommano a quelli già esistenti in materia di GDPR e cookie. Per un'azienda che gestisce un sito web istituzionale o un e-commerce, il 2026 segna quindi un punto di svolta: non basta più una cookie policy generica scaricata da un template, né un banner cookie messo lì "perché lo fanno tutti".

Cookie: cosa è davvero cambiato dopo le Linee guida del Garante

Le Linee guida del Garante Privacy in materia di cookie, già operative da tempo, restano il riferimento centrale per qualsiasi sito che tratti dati di utenti italiani. Il principio di fondo è semplice da enunciare ma spesso disatteso nella pratica: nessun cookie diverso da quello tecnico può essere attivato prima che l'utente abbia espresso un consenso libero, specifico e informato. I cookie wall, cioè i meccanismi che negano l'accesso al sito a chi rifiuta i cookie, sono considerati illegittimi (fonte: Privacy Lab).

Nel 2026 il tema si è spostato dalla teoria alla verifica tecnica. Secondo un'analisi di myAgilePrivacy, un banner conforme deve presentare quattro opzioni ugualmente visibili: accettare tutto, rifiutare tutto, personalizzare le preferenze e chiudere senza esprimere consenso. Il punto critico, spesso trascurato, riguarda l'architettura tecnica sottostante: gli script di tracciamento devono restare bloccati fino a quando il consenso non viene effettivamente registrato, non semplicemente nascosti dietro un banner che appare esteticamente corretto (fonte: myAgilePrivacy).

Questo è anche il motivo per cui molte aziende, pur avendo installato un banner cookie regolare, restano tecnicamente non conformi: il consent management platform mostra le opzioni corrette, ma alcuni tag di Google Ads o Meta Pixel partono comunque al caricamento della pagina, prima di qualunque interazione dell'utente.

GDPR nel 2026: dalla novità normativa alla maturità operativa

Otto anni dopo l'entrata in vigore del Regolamento generale sulla protezione dei dati, il GDPR non rappresenta più una questione di prima applicazione: le autorità di controllo hanno intensificato le verifiche su profilazione, intelligenza artificiale e trattamento di dati sensibili, e l'approccio delle aziende deve riflettere questa fase di maturità (fonte: Studio Legale Privacy).

Per un sito aziendale, questo si traduce in alcuni controlli concreti che vale la pena effettuare periodicamente:

• l'informativa privacy indica in modo specifico le finalità del trattamento, la base giuridica e i tempi di conservazione dei dati, evitando formule generiche copiate da altri siti;
• i moduli di contatto e le iscrizioni alla newsletter non presentano caselle preselezionate per il consenso al marketing;
• le misure tecniche minime (HTTPS, backup regolari, controllo degli accessi) sono documentate e non solo presunte;
• i consensi raccolti sono registrati in modo da poter essere esibiti in caso di controllo, non semplicemente "presunti" perché l'utente ha continuato a navigare.

Un'indagine citata da bulltech.it stima che nel 2026 il 92% dei siti aziendali italiani utilizzi ancora cookie di terze parti senza un meccanismo di consenso pienamente conforme, esponendo le PMI a sanzioni che vanno da 6.000 euro fino al 4% del fatturato nei casi più gravi (fonte: Bulltech). Il dato, per quanto proveniente da una fonte divulgativa e non da un report ufficiale del Garante, restituisce comunque la dimensione del problema: la non conformità è la norma, non l'eccezione.

AI Act, articolo 50: gli obblighi che riguardano anche i siti aziendali

Con l'applicazione dell'articolo 50 del Regolamento UE 2024/1689 dal 2 agosto 2026, l'AI Act introduce obblighi di trasparenza che toccano direttamente chi utilizza sistemi di intelligenza artificiale sul proprio sito, non solo chi li sviluppa. La norma individua due situazioni principali: i sistemi che interagiscono direttamente con le persone, come i chatbot, e i sistemi che generano o modificano contenuti sintetici in forma di testo, immagine, audio o video (fonte: Commissione Europea).

Nel primo caso, chi fornisce un chatbot deve progettarlo in modo che l'utente comprenda, senza dover cercare l'informazione nei termini di servizio, di star interagendo con un sistema automatizzato e non con una persona. Le linee guida pubblicate dalla Commissione chiariscono che questa comunicazione deve essere chiara e visibile fin dal primo scambio, non relegata in una pagina legale difficile da trovare (fonte: AI4Business).

Nel secondo caso, i contenuti testuali, visivi o audio generati con strumenti di intelligenza artificiale e pubblicati per informare il pubblico su temi di interesse generale devono riportare un'indicazione della loro origine artificiale, salvo alcune eccezioni legate a funzioni di editing assistivo standard. L'obbligo di marcatura tecnica dei contenuti sintetici (il cosiddetto watermarking leggibile dalle macchine) decorre invece dal 2 dicembre 2026 (fonte: Studio Cravero).

Per un'azienda che pubblica sul proprio blog immagini generate con strumenti come Midjourney o DALL-E, o che utilizza un assistente virtuale per il customer service, questo significa rivedere concretamente due elementi: la presenza di un avviso chiaro nell'interfaccia del chatbot e l'eventuale etichettatura dei contenuti visivi o testuali generati artificialmente, quando pubblicati con finalità informativa.

Sanzioni e vigilanza: perché la sovrapposizione normativa cambia le priorità

Un aspetto spesso sottovalutato è che GDPR, normativa cookie e AI Act non sono compartimenti separati, ma si intersecano quando un sistema di intelligenza artificiale tratta dati personali. Un chatbot che raccoglie l'indirizzo email di un visitatore per rispondere a una richiesta, ad esempio, è soggetto contemporaneamente agli obblighi di trasparenza dell'AI Act e alle regole del GDPR sul trattamento dei dati. Le linee guida della Commissione Europea sull'articolo 50 specificano che la disclosure relativa all'uso dell'AI non può essere nascosta nei termini di servizio: deve essere immediatamente percepibile (fonte: AI4Business).

Sul fronte GDPR, le sanzioni più rilevanti in Europa hanno già superato i 6 miliardi di euro complessivi dall'entrata in vigore del regolamento, con oltre 2.560 provvedimenti emessi dalle autorità nazionali (fonte: myAgilePrivacy). Si tratta di un dato aggregato a livello UE, utile per inquadrare la serieta con cui le autorità di controllo trattano la materia, ma che non va confuso con la probabilità statistica di sanzione per una singola PMI italiana, che resta comunque più legata a segnalazioni o controlli mirati che a verifiche a tappeto.

Checklist pratica per verificare lo stato del proprio sito

Prima di rivolgersi a un consulente legale o a un fornitore di soluzioni di compliance, è possibile effettuare una prima verifica autonoma del proprio sito aziendale, utile anche solo per capire quanto lavoro serve:

• aprire il sito in navigazione privata e controllare se gli script di terze parti (Google Analytics, pixel pubblicitari, mappe embeddate) partono prima di dare un consenso esplicito;
• verificare che il banner cookie offra un pulsante di rifiuto con la stessa evidenza grafica del pulsante di accettazione;
• controllare che l'informativa privacy sia raggiungibile in un clic da ogni pagina e che indichi tempi di conservazione specifici, non generici;
• se sul sito è presente un chatbot o un assistente automatizzato, verificare che dichiari in modo visibile la propria natura artificiale fin dal primo messaggio;
• se sul blog aziendale vengono pubblicate immagini o testi generati con l'intelligenza artificiale a scopo informativo, valutare se e come indicarne l'origine, tenendo presente che le linee guida sulla materia sono di recentissima pubblicazione e in parte ancora in fase di consolidamento interpretativo.

Nessuna di queste verifiche sostituisce una consulenza legale specifica, ma permette di capire se il sito aziendale si trova nella maggioranza silenziosa descritta dai dati citati in precedenza, oppure se è già stato oggetto di un intervento tecnico mirato.

Chi si occupa di realizzazione di siti web aziendali integra ormai questi controlli direttamente nella fase di progettazione, così da evitare interventi correttivi successivi, spesso più costosi e complessi di una pianificazione fatta a monte. Per approfondire gli altri temi legati alla gestione avanzata di un sito, si possono consultare gli articoli della sezione Guide e Speciali.