Valentina Grazia Sapuppo
Law & Technical Expert | Certified DPO | GRC | AI, ICT & Data Protection Technical Advisor | Technical Expert IEEE | ITU | UNINFO | ISO/IEC | CEN/CENELEC | Avvocato, Esperto della Commissione europea, membro dell’EDPB Support Pool of Experts e Fellow dell’ISLC – Information Society Law Center UNIMI, dove realizza attività di ricerca con riferimento alla tutela dei soggetti vulnerabili nell’ecosistema digitale. Esperto Tecnico IEEE, ITU e, per UNI/UNINFO, nei i comitati sull’Intelligenza Artificiale CEN-CENELEC JTC 21 e ISO/IEC JTC 1/SC 42 e delegato al CEN/TC 428 (competenze e professionalità ICT)
__________
Nel commercio elettronico l’intelligenza artificiale è già parte dell’esperienza d’acquisto: seleziona i prodotti proposti, ordina i risultati di ricerca, adatta offerte e prezzi, risponde ai clienti attraverso assistenti conversazionali, filtra e sintetizza le recensioni. La personalizzazione che ne deriva può rendere più semplice la scelta; può anche orientarla in modi che il consumatore non percepisce. Nel 2024 il tema è stato affrontato nel capitolo «El derecho mercantil en la era de la digitalización: entre el comercio sin fronteras y la protección de los E-Consumidores», scritto con Antonio Anselmo Martino per il volume collettivo della Federación Iberoamericana de Asociaciones de Derecho e Informática (FIADI) «El Derecho Mercantil en el entorno digital» (Thomson Reuters, La Ley, Montevideo). Da allora il quadro europeo si è completato: i divieti del Regolamento (UE) 2024/1689, c.d. AI Act, sono già in vigore dal 2 febbraio 2025, gli obblighi di trasparenza dal 2 agosto 2026, e la Commissione europea ha irrogato le prime sanzioni a grandi marketplace in base al Regolamento (UE) 2022/2065, c.d. Digital Services Act (DSA). Il presente contributo ricostruisce le regole che oggi governano tre aspetti dell’IA nel commercio elettronico, la personalizzazione, il confine con la manipolazione e la fiducia, alla luce del diritto europeo dei consumatori e delle piattaforme, della disciplina sulla protezione dei dati personali e degli strumenti internazionali che orientano la materia.
La personalizzazione: raccomandazioni, classificazioni e prezzi
I sistemi di raccomandazione sono il primo punto in cui l’IA incide sulla decisione d’acquisto. L’articolo 27 del DSA impone alle piattaforme online di indicare nelle condizioni generali, «in un linguaggio chiaro e intellegibile, i principali parametri utilizzati nei loro sistemi di raccomandazione», chiarendo anche il motivo per cui talune informazioni sono suggerite. Per le piattaforme e i motori di ricerca online di grandi dimensioni, l’articolo 38 impone l’obbligo di offrire almeno un’opzione per ciascun sistema di raccomandazione non basato sulla profilazione.
Sul versante del diritto dei consumatori, la direttiva (UE) 2019/2161, c.d. direttiva Omnibus, ha introdotto due presidi che riguardano direttamente l’uso di sistemi automatizzati. Il primo riguarda la classificazione dei risultati: il professionista deve fornire informazioni sui parametri principali che determinano il posizionamento dei prodotti presentati in risposta a una ricerca e sulla loro importanza relativa, mentre è pratica sleale, in ogni caso, presentare risultati senza indicare chiaramente il posizionamento ottenuto a pagamento. Il secondo concerne il prezzo: tra le informazioni precontrattuali deve figurare, se applicabile, «l’informazione che il prezzo è stato personalizzato sulla base di un processo decisionale automatizzato». Il considerando 45 precisa che l’obbligo non riguarda la fissazione del prezzo dinamica o in tempo reale, purché non comporti una personalizzazione basata su un processo decisionale automatizzato.
Il legislatore italiano, nel recepire la direttiva con il decreto legislativo 7 marzo 2023, n. 26, ha inserito l’obbligo all’articolo 49, comma 1, lettera e-bis) del Codice del consumo, aggiungendo un rinvio che la direttiva non contiene: restano ferme le garanzie dell’articolo 22 del Regolamento (UE) 2016/679 (GDPR) relative alle decisioni basate unicamente sul trattamento automatizzato. L’informativa sul prezzo personalizzato, quindi, non esaurisce gli obblighi del professionista, che deve valutare anche se la decisione automatizzata produca effetti significativi sulla persona e quale base giuridica la sorregga.
I dati personali: il GDPR e le linee guida dell’EDPB
La personalizzazione si alimenta di dati personali e di profilazione, e il Regolamento (UE) 2016/679 (GDPR) ne disciplina anzitutto la legittimità. La personalizzazione commerciale ricade anzitutto nell’articolo 21, paragrafo 2, mentre l’articolo 22 entra in gioco soltanto quando la decisione è basata unicamente sul trattamento automatizzato e produce effetti giuridici o analogamente significativi: l’interessato può opporsi in qualsiasi momento al trattamento per finalità di marketing diretto, «compresa la profilazione nella misura in cui sia connessa a tale marketing diretto». L’articolo 25 impone di integrare la protezione dei dati nella progettazione dei sistemi, con misure adottate «sia al momento di determinare i mezzi del trattamento sia all’atto del trattamento stesso»: è la base, sul versante dei dati, di un sistema di raccomandazione progettato con criterio. Quando invece ricorre una decisione automatizzata, l’interessato ha diritto a «informazioni significative sulla logica utilizzata» (articolo 15, paragrafo 1, lettera h).
La Corte di giustizia ha precisato entrambi i profili in due cause relative alla valutazione della solvibilità dei consumatori. Con la sentenza del 7 dicembre 2023, causa C-634/21 (SCHUFA Holding), ha stabilito che il calcolo automatizzato, da parte di una società che fornisce informazioni commerciali, di un tasso di probabilità sulla capacità di una persona di onorare in futuro gli impegni di pagamento costituisce un processo decisionale automatizzato ai sensi dell’articolo 22, paragrafo 1, «qualora da tale tasso di probabilità dipenda in modo decisivo la stipula, l’esecuzione o la cessazione di un rapporto contrattuale con tale persona da parte di un terzo». Con la sentenza del 27 febbraio 2025, causa C-203/22 (Dun & Bradstreet Austria), nata dal rifiuto di un contratto di telefonia mobile motivato da una valutazione automatizzata della qualità creditizia, ha chiarito che, in caso di decisione automatizzata ai sensi dell’articolo 22, il titolare deve spiegare all’interessato «la procedura e i principi concretamente applicati per utilizzare, con mezzi automatizzati, i dati personali relativi a tale interessato», e che, se ritiene che tali informazioni contengano segreti commerciali, deve sottoporle all’autorità di controllo o al giudice competente, cui spetta il bilanciamento. Nessuna delle due pronunce riguarda la personalizzazione dei prezzi. Riteniamo tuttavia che i principi enunciati valgano anche nel commercio elettronico quando una valutazione automatizzata della solvibilità decide in modo determinante se e a quali condizioni concludere il contratto, come nella concessione del pagamento differito o rateale: in tal caso non basta un’informativa generica, occorre spiegare la logica della decisione.
L’European Data Protection Board (EDPB) ha completato il quadro con due documenti pertinenti. Le linee guida 3/2025 sull’interazione tra DSA e GDPR, adottate in versione definitiva il 17 settembre 2026, osservano che non si può escludere che la presentazione di contenuti specifici tramite un sistema di raccomandazione costituisca una «decisione» ai sensi dell’articolo 22, paragrafo 1, e chiedono alle piattaforme di presentare in modo equivalente le opzioni previste dall’articolo 38 del DSA, senza spingere l’utente verso quella basata sulla profilazione. Le linee guida 03/2022 sui deceptive design patterns, nella versione 2.0 del 14 febbraio 2023, pur riferite alle piattaforme di social media, avvertono che tali schemi ingannevoli ricorrono anche negli «online shops» e possono violare sia la protezione dei dati sia la tutela dei consumatori. Sul versante specifico del commercio elettronico, l’EDPB ha inoltre sottoposto a consultazione pubblica, tra il 4 dicembre 2025 e il 12 febbraio 2026, le raccomandazioni 2/2025 sulla base giuridica per imporre la creazione di un account utente sui siti di e-commerce, secondo le quali l’obbligo di registrazione è giustificabile solo per un insieme molto limitato, benché non esaustivo, di finalità, come i servizi in abbonamento o l’accesso a offerte esclusive; la versione definitiva non risulta ancora pubblicata. In Italia, il Garante per la protezione dei dati personali ha sanzionato nel 2023 la Rinascente per 300 mila euro anche perché, pur svolgendo sul proprio sito di commercio elettronico un’attività di profilazione ad ampio raggio, non aveva effettuato la valutazione d’impatto prevista dal GDPR.
Il confine tra persuasione e manipolazione
La personalizzazione diventa illecita quando altera la capacità di scelta del consumatore. L’AI Act vieta, all’articolo 5, paragrafo 1, lettera a), i sistemi di IA che utilizzano tecniche subliminali o «tecniche volutamente manipolative o ingannevoli aventi lo scopo o l’effetto di distorcere materialmente il comportamento di una persona o di un gruppo di persone», quando ne derivi un danno significativo; la lettera b) vieta i sistemi che sfruttano le vulnerabilità dovute all’età, alla disabilità o a una specifica situazione sociale o economica. Il considerando 29 traccia il limite: le pratiche commerciali comuni e legittime, ad esempio nella pubblicità, conformi alla normativa applicabile non sono di per sé manipolative.
Il DSA interviene sullo stesso terreno dal lato dell’interfaccia. L’articolo 25 vieta alle piattaforme di progettare, organizzare o gestire le interfacce online in modo da ingannare o manipolare i destinatari o compromettere la loro «capacità di prendere decisioni libere e informate»; il divieto, però, non si applica alle pratiche già contemplate dalla direttiva 2005/29/CE o dal GDPR. Ne consegue che una stessa tecnica, ad esempio un conto alla rovescia fittizio o una scarsità artificiosa, ricade anzitutto nella disciplina delle pratiche commerciali scorrette.
È quanto accade in Italia. Nel 2026 l’Autorità garante della concorrenza e del mercato (AGCM) ha irrogato alle società del gruppo eDreams una sanzione complessiva di 9 milioni di euro per pratiche commerciali scorrette fondate su dark patterns, relative all’adesione all’abbonamento Prime e alla permanenza nello stesso, tra cui tecniche di pressione temporale e di scarsità artificiosa e la preselezione della versione più costosa, e con 2 milioni di euro la società Deghi per conti alla rovescia fittizi, qualificati come tecnica di manipolazione. Nessuno dei due provvedimenti si fonda sull’AI Act; tuttavia, entrambi mostrano che il confine tra persuasione e manipolazione è già misurato in concreto, interfaccia per interfaccia.
La fiducia: chatbot, contenuti generati e recensioni
Dal 2 agosto 2026 si applicano gli obblighi di trasparenza previsti dall’articolo 50 dell’AI Act. I sistemi destinati a interagire con le persone, come gli assistenti conversazionali per la vendita e l’assistenza clienti, devono essere progettati in modo che le persone siano informate del fatto che stanno interagendo con un sistema di IA, salvo che ciò risulti evidente a una persona ragionevolmente informata, attenta e avveduta. Gli output dei sistemi che generano contenuti sintetici devono essere marcati in un formato leggibile meccanicamente; per i sistemi immessi sul mercato prima del 2 agosto 2026, il Regolamento (UE) 2026/1744, c.d. Digital Omnibus on AI, concede un termine fino al 2 dicembre 2026. Per il commercio elettronico, l’obbligo riguarda le descrizioni, le immagini e i video dei prodotti generati dall’IA.
Le recensioni sono l’altro pilastro della fiducia. La direttiva Omnibus considera rilevanti le informazioni su se e come il professionista garantisce che le recensioni provengano da consumatori che hanno effettivamente acquistato o utilizzato il prodotto, e qualifica, in ogni caso, sleale l’invio, diretto o tramite terzi, di recensioni false. Nel marzo 2026, l’AGCM ha sanzionato Trustpilot con una multa di 4 milioni di euro per recensioni non adeguatamente verificate. Quando i sistemi di IA selezionano o riassumono le recensioni, la verificabilità della fonte diventa ancora più rilevante: il consumatore legge una sintesi e non vede il materiale da cui è tratta.
I marketplace: tracciabilità, sicurezza dei prodotti e responsabilità
I grandi marketplace sono il banco di prova più evidente di questo quadro. Il DSA impone loro di identificare gli operatori commerciali prima di ammetterli (articolo 30), di progettare l’interfaccia in modo da consentire loro di adempiere agli obblighi informativi e di sicurezza (articolo 31) e di informare i consumatori che hanno acquistato un prodotto illegale (articolo 32). Il Regolamento (UE) 2023/988 sulla sicurezza generale dei prodotti, applicabile dal 13 dicembre 2024, rafforza gli obblighi per le vendite a distanza e per i fornitori di mercati online.
La Commissione ha applicato queste regole. Il 28 maggio 2026 ha sanzionato Temu con 200 milioni di euro, rilevando tra l’altro che la piattaforma non aveva valutato adeguatamente come il design del servizio, compresi i sistemi di raccomandazione e i programmi di promozione affidati a influencer affiliati, potesse amplificare la diffusione di prodotti illegali; il 20 luglio 2026 ha sanzionato AliExpress con 550 milioni di euro; il 17 febbraio 2026 ha aperto un procedimento formale nei confronti di Shein, tra l’altro per il design che crea dipendenza e la scarsa trasparenza dei sistemi di raccomandazione. La sanzione, tuttavia, non chiude il procedimento: la piattaforma deve presentare alla Commissione un piano d’azione per rimediare alle violazioni accertate, come approfondito nell’analisi «Nel Digital Services Act la sanzione è un passaggio, non un traguardo».
Sul piano civilistico, la direttiva (UE) 2024/2853 sulla responsabilità per danno da prodotti difettosi include espressamente il software, e quindi i sistemi di IA, nella nozione di prodotto ed estende la responsabilità sussidiaria al fornitore di piattaforma online che consente contratti a distanza, alle condizioni dell’articolo 6, paragrafo 3, del DSA. La direttiva va recepita entro il 9 dicembre 2026 e si applica ai prodotti immessi sul mercato o messi in servizio dopo tale data.
Lo sguardo internazionale
La direzione europea trova riscontro negli strumenti internazionali, che, pur non essendo vincolanti per le imprese, ne orientano le pratiche e le politiche pubbliche. La Raccomandazione dell’OCSE sulla tutela dei consumatori nel commercio elettronico del 24 marzo 2016 stabilisce che le imprese non devono adottare pratiche ingannevoli «relative alla raccolta e all’uso dei dati personali dei consumatori». I Principi dell’OCSE sull’intelligenza artificiale, aggiornati il 3 maggio 2024, chiedono di rendere le persone consapevoli delle loro interazioni con i sistemi di IA e di fornire informazioni sulla logica che ha condotto a una «prediction, content, recommendation or decision». La Raccomandazione dell’UNESCO sull’etica dell’intelligenza artificiale del 23 novembre 2021 afferma che le persone «should be fully informed when a decision is informed by or is made on the basis of AI algorithms» e include la tutela dei consumatori tra gli ambiti di azione degli Stati.
Sul piano pattizio, la Convenzione quadro del Consiglio d’Europa sull’intelligenza artificiale (CETS n. 225) prevede che le persone siano informate quando interagiscono con un sistema di IA anziché con un essere umano (articolo 15, paragrafo 2), che si tenga conto delle specifiche vulnerabilità delle persone con disabilità e dei minori (articolo 18) e che si promuova l’alfabetizzazione digitale (articolo 20). L’Unione europea l’ha approvata il 15 maggio 2026, mentre l’Italia, secondo l’Ufficio dei trattati del Consiglio d’Europa, non risulta ancora firmataria; la Convenzione non è in vigore e la sua applicazione agli operatori privati dipende dalle scelte di ciascuna Parte.
Profili critici e prospettive
Il quadro presenta almeno tre profili critici. Il primo è la sovrapposizione delle discipline: la stessa pratica, un’interfaccia che spinge all’acquisto o un prezzo adattato al profilo del cliente, può ricadere nella direttiva sulle pratiche commerciali sleali, nel DSA, nell’AI Act e nel GDPR, con autorità e sanzioni diverse. Il criterio residuale dell’articolo 25, paragrafo 2, del DSA ordina in parte questo concorso, ma impone alle imprese una valutazione unitaria che oggi nessuna norma richiede espressamente.
Il secondo profilo è normativo. Sulla base del controllo di adeguatezza del diritto dei consumatori pubblicato il 3 ottobre 2024, la Commissione sta preparando un Digital Fairness Act volto a contrastare, tra l’altro, le interfacce ingannevoli, il design che crea dipendenza, la personalizzazione scorretta e il marketing ingannevole degli influencer. Nel discorso sullo Stato dell’Unione del 16 settembre 2026 la Presidente della Commissione ha confermato l’impegno di una proposta che sarà presentata in autunno. Alla data del presente contributo, la proposta non risulta adottata: le imprese devono quindi operare secondo le regole vigenti, sapendo che la personalizzazione sarà oggetto di una disciplina più specifica.
Il terzo profilo riguarda gli agenti di IA che cercano, confrontano e acquistano per conto dell’utente. Sul punto non risulta alcuna posizione ufficiale da parte della Commissione né della rete di cooperazione per la tutela dei consumatori. Riteniamo che l’impostazione vigente, costruita sulla decisione di un consumatore che vede l’interfaccia, richiederà di chiarire a chi siano destinate le informazioni precontrattuali quando a leggerle è un sistema, e chi risponda delle scelte compiute dall’agente, come discusso nell’analisi «Agentic AI: l’autonomia tecnica non crea autonomia giuridica».
In questa prospettiva, la fiducia nel commercio elettronico deriva, oltre che dall’informazione fornita al consumatore, dalla possibilità di verificare come i sistemi sono progettati, documentati e controllati. È la prospettiva del progetto AI AnthropoCosmic, che nei Laboratori del Domani si propone di valutare non soltanto dove e come viene utilizzata l’IA, ma quali conseguenze la sua applicazione possa produrre sulla persona, sulla società e sull’ambiente.