{"id":4176,"date":"2026-10-18T05:31:41","date_gmt":"2026-10-18T05:31:41","guid":{"rendered":"https:\/\/www.aianthropocosmic.com\/AI\/?page_id=4176"},"modified":"2026-10-18T05:31:42","modified_gmt":"2026-10-18T05:31:42","slug":"commercio-elettronico-e-intelligenza-artificiale-personalizzazione-fiducia-e-tutela-dei-consumatori","status":"publish","type":"page","link":"https:\/\/www.aianthropocosmic.com\/AI\/commercio-elettronico-e-intelligenza-artificiale-personalizzazione-fiducia-e-tutela-dei-consumatori\/","title":{"rendered":"Commercio elettronico e intelligenza artificiale: personalizzazione, fiducia e tutela dei consumatori"},"content":{"rendered":"\n

Valentina Grazia Sapuppo<\/a><\/strong>
Law & Technical Expert | Certified DPO | GRC | AI, ICT & Data Protection Technical Advisor | Technical Expert IEEE | ITU | UNINFO | ISO\/IEC | CEN\/CENELEC | Avvocato, Esperto della Commissione europea, membro dell\u2019EDPB Support Pool of Experts e Fellow dell\u2019ISLC \u2013 Information Society Law Center UNIMI, dove realizza attivit\u00e0 di ricerca con riferimento alla tutela dei soggetti vulnerabili nell\u2019ecosistema digitale. Esperto Tecnico IEEE, ITU e, per UNI\/UNINFO, nei i comitati sull\u2019Intelligenza Artificiale CEN-CENELEC JTC 21 e ISO\/IEC JTC 1\/SC 42 e delegato al CEN\/TC 428 (competenze e professionalit\u00e0 ICT)<\/sup>
__________<\/p>\n\n\n\n

Nel commercio elettronico l’intelligenza artificiale \u00e8 gi\u00e0 parte dell’esperienza d’acquisto: seleziona i prodotti proposti, ordina i risultati di ricerca, adatta offerte e prezzi, risponde ai clienti attraverso assistenti conversazionali, filtra e sintetizza le recensioni. La personalizzazione che ne deriva pu\u00f2 rendere pi\u00f9 semplice la scelta; pu\u00f2 anche orientarla in modi che il consumatore non percepisce. Nel 2024 il tema \u00e8 stato affrontato nel capitolo \u00abEl derecho mercantil en la era de la digitalizaci\u00f3n: entre el comercio sin fronteras y la protecci\u00f3n de los E-Consumidores\u00bb, scritto con Antonio Anselmo Martino per il volume collettivo della Federaci\u00f3n Iberoamericana de Asociaciones de Derecho e Inform\u00e1tica (FIADI) \u00abEl Derecho Mercantil en el entorno digital\u00bb (Thomson Reuters, La Ley, Montevideo). Da allora il quadro europeo si \u00e8 completato: i divieti del Regolamento (UE) 2024\/1689, c.d. AI Act<\/strong>, sono gi\u00e0 in vigore dal 2 febbraio 2025, gli obblighi di trasparenza dal 2 agosto 2026, e la Commissione europea ha irrogato le prime sanzioni a grandi marketplace in base al Regolamento (UE) 2022\/2065, c.d. Digital Services Act<\/strong> (DSA). Il presente contributo ricostruisce le regole che oggi governano tre aspetti dell’IA nel commercio elettronico, la personalizzazione, il confine con la manipolazione e la fiducia, alla luce del diritto europeo dei consumatori e delle piattaforme, della disciplina sulla protezione dei dati personali e degli strumenti internazionali che orientano la materia.<\/p>\n\n\n\n

La personalizzazione: raccomandazioni, classificazioni e prezzi<\/a><\/h2>\n\n\n\n

I sistemi di raccomandazione sono il primo punto in cui l’IA incide sulla decisione d’acquisto. L’articolo 27 del DSA<\/a> impone alle piattaforme online di indicare nelle condizioni generali, \u00abin un linguaggio chiaro e intellegibile, i principali parametri utilizzati nei loro sistemi di raccomandazione\u00bb, chiarendo anche il motivo per cui talune informazioni sono suggerite. Per le piattaforme e i motori di ricerca online di grandi dimensioni, l’articolo 38 impone l’obbligo di offrire almeno un’opzione per ciascun sistema di raccomandazione non basato sulla profilazione.<\/p>\n\n\n\n

Sul versante del diritto dei consumatori, la direttiva (UE) 2019\/2161<\/a>, c.d. direttiva Omnibus, ha introdotto due presidi che riguardano direttamente l’uso di sistemi automatizzati. Il primo riguarda la classificazione dei risultati: il professionista deve fornire informazioni sui parametri principali che determinano il posizionamento dei prodotti presentati in risposta a una ricerca e sulla loro importanza relativa, mentre \u00e8 pratica sleale, in ogni caso, presentare risultati senza indicare chiaramente il posizionamento ottenuto a pagamento. Il secondo concerne il prezzo: tra le informazioni precontrattuali deve figurare, se applicabile, \u00abl’informazione che il prezzo \u00e8 stato personalizzato sulla base di un processo decisionale automatizzato\u00bb. Il considerando 45 precisa che l’obbligo non riguarda la fissazione del prezzo dinamica o in tempo reale, purch\u00e9 non comporti una personalizzazione basata su un processo decisionale automatizzato.<\/p>\n\n\n\n

Il legislatore italiano, nel recepire la direttiva con il decreto legislativo 7 marzo 2023, n. 26, ha inserito l’obbligo all’articolo 49, comma 1, lettera e-bis) del Codice del consumo<\/a>, aggiungendo un rinvio che la direttiva non contiene: restano ferme le garanzie dell’articolo 22 del Regolamento (UE) 2016\/679 (GDPR) relative alle decisioni basate unicamente sul trattamento automatizzato. L’informativa sul prezzo personalizzato, quindi, non esaurisce gli obblighi del professionista, che deve valutare anche se la decisione automatizzata produca effetti significativi sulla persona e quale base giuridica la sorregga.<\/p>\n\n\n\n

I dati personali: il GDPR e le linee guida dell’EDPB<\/a><\/h2>\n\n\n\n

La personalizzazione si alimenta di dati personali e di profilazione, e il Regolamento (UE) 2016\/679<\/a> (GDPR) ne disciplina anzitutto la legittimit\u00e0. La personalizzazione commerciale ricade anzitutto nell’articolo 21, paragrafo 2, mentre l’articolo 22 entra in gioco soltanto quando la decisione \u00e8 basata unicamente sul trattamento automatizzato e produce effetti giuridici o analogamente significativi: l’interessato pu\u00f2 opporsi in qualsiasi momento al trattamento per finalit\u00e0 di marketing diretto, \u00abcompresa la profilazione nella misura in cui sia connessa a tale marketing diretto\u00bb. L’articolo 25 impone di integrare la protezione dei dati nella progettazione dei sistemi, con misure adottate \u00absia al momento di determinare i mezzi del trattamento sia all’atto del trattamento stesso\u00bb: \u00e8 la base, sul versante dei dati, di un sistema di raccomandazione progettato con criterio. Quando invece ricorre una decisione automatizzata, l’interessato ha diritto a \u00abinformazioni significative sulla logica utilizzata\u00bb (articolo 15, paragrafo 1, lettera h).<\/p>\n\n\n\n

La Corte di giustizia ha precisato entrambi i profili in due cause relative alla valutazione della solvibilit\u00e0 dei consumatori. Con la sentenza del 7 dicembre 2023, causa C-634\/21<\/a> (SCHUFA Holding), ha stabilito che il calcolo automatizzato, da parte di una societ\u00e0 che fornisce informazioni commerciali, di un tasso di probabilit\u00e0 sulla capacit\u00e0 di una persona di onorare in futuro gli impegni di pagamento costituisce un processo decisionale automatizzato ai sensi dell’articolo 22, paragrafo 1, \u00abqualora da tale tasso di probabilit\u00e0 dipenda in modo decisivo la stipula, l’esecuzione o la cessazione di un rapporto contrattuale con tale persona da parte di un terzo\u00bb. Con la sentenza del 27 febbraio 2025, causa C-203\/22<\/a> (Dun & Bradstreet Austria), nata dal rifiuto di un contratto di telefonia mobile motivato da una valutazione automatizzata della qualit\u00e0 creditizia, ha chiarito che, in caso di decisione automatizzata ai sensi dell’articolo 22, il titolare deve spiegare all’interessato \u00abla procedura e i principi concretamente applicati per utilizzare, con mezzi automatizzati, i dati personali relativi a tale interessato\u00bb, e che, se ritiene che tali informazioni contengano segreti commerciali, deve sottoporle all’autorit\u00e0 di controllo o al giudice competente, cui spetta il bilanciamento. Nessuna delle due pronunce riguarda la personalizzazione dei prezzi. Riteniamo tuttavia che i principi enunciati valgano anche nel commercio elettronico quando una valutazione automatizzata della solvibilit\u00e0 decide in modo determinante se e a quali condizioni concludere il contratto, come nella concessione del pagamento differito o rateale: in tal caso non basta un’informativa generica, occorre spiegare la logica della decisione.<\/p>\n\n\n\n

L’European Data Protection Board (EDPB) ha completato il quadro con due documenti pertinenti. Le linee guida 3\/2025 sull’interazione tra DSA e GDPR<\/a>, adottate in versione definitiva il 17 settembre 2026, osservano che non si pu\u00f2 escludere che la presentazione di contenuti specifici tramite un sistema di raccomandazione costituisca una \u00abdecisione\u00bb ai sensi dell’articolo 22, paragrafo 1, e chiedono alle piattaforme di presentare in modo equivalente le opzioni previste dall’articolo 38 del DSA, senza spingere l’utente verso quella basata sulla profilazione. Le linee guida 03\/2022 sui deceptive design patterns<\/a>, nella versione 2.0 del 14 febbraio 2023, pur riferite alle piattaforme di social media, avvertono che tali schemi ingannevoli ricorrono anche negli \u00abonline shops\u00bb e possono violare sia la protezione dei dati sia la tutela dei consumatori. Sul versante specifico del commercio elettronico, l’EDPB ha inoltre sottoposto a consultazione pubblica, tra il 4 dicembre 2025 e il 12 febbraio 2026, le raccomandazioni 2\/2025<\/a> sulla base giuridica per imporre la creazione di un account utente sui siti di e-commerce, secondo le quali l’obbligo di registrazione \u00e8 giustificabile solo per un insieme molto limitato, bench\u00e9 non esaustivo, di finalit\u00e0, come i servizi in abbonamento o l’accesso a offerte esclusive; la versione definitiva non risulta ancora pubblicata. In Italia, il Garante per la protezione dei dati personali ha sanzionato nel 2023 la Rinascente<\/a> per 300 mila euro anche perch\u00e9, pur svolgendo sul proprio sito di commercio elettronico un’attivit\u00e0 di profilazione ad ampio raggio, non aveva effettuato la valutazione d’impatto prevista dal GDPR.<\/p>\n\n\n\n

Il confine tra persuasione e manipolazione<\/a><\/h2>\n\n\n\n

La personalizzazione diventa illecita quando altera la capacit\u00e0 di scelta del consumatore. L’AI Act<\/a> vieta, all’articolo 5, paragrafo 1, lettera a), i sistemi di IA che utilizzano tecniche subliminali o \u00abtecniche volutamente manipolative o ingannevoli aventi lo scopo o l’effetto di distorcere materialmente il comportamento di una persona o di un gruppo di persone\u00bb, quando ne derivi un danno significativo; la lettera b) vieta i sistemi che sfruttano le vulnerabilit\u00e0 dovute all’et\u00e0, alla disabilit\u00e0 o a una specifica situazione sociale o economica. Il considerando 29 traccia il limite: le pratiche commerciali comuni e legittime, ad esempio nella pubblicit\u00e0, conformi alla normativa applicabile non sono di per s\u00e9 manipolative.<\/p>\n\n\n\n

Il DSA interviene sullo stesso terreno dal lato dell’interfaccia. L’articolo 25 vieta alle piattaforme di progettare, organizzare o gestire le interfacce online in modo da ingannare o manipolare i destinatari o compromettere la loro \u00abcapacit\u00e0 di prendere decisioni libere e informate\u00bb; il divieto, per\u00f2, non si applica alle pratiche gi\u00e0 contemplate dalla direttiva 2005\/29\/CE o dal GDPR. Ne consegue che una stessa tecnica, ad esempio un conto alla rovescia fittizio o una scarsit\u00e0 artificiosa, ricade anzitutto nella disciplina delle pratiche commerciali scorrette.<\/p>\n\n\n\n

\u00c8 quanto accade in Italia. Nel 2026 l’Autorit\u00e0 garante della concorrenza e del mercato (AGCM) ha irrogato alle societ\u00e0 del gruppo eDreams<\/a> una sanzione complessiva di 9 milioni di euro per pratiche commerciali scorrette fondate su dark patterns, relative all’adesione all’abbonamento Prime e alla permanenza nello stesso, tra cui tecniche di pressione temporale e di scarsit\u00e0 artificiosa e la preselezione della versione pi\u00f9 costosa, e con 2 milioni di euro la societ\u00e0 Deghi<\/a> per conti alla rovescia fittizi, qualificati come tecnica di manipolazione. Nessuno dei due provvedimenti si fonda sull’AI Act; tuttavia, entrambi mostrano che il confine tra persuasione e manipolazione \u00e8 gi\u00e0 misurato in concreto, interfaccia per interfaccia.<\/p>\n\n\n\n

La fiducia: chatbot, contenuti generati e recensioni<\/a><\/h2>\n\n\n\n

Dal 2 agosto 2026 si applicano gli obblighi di trasparenza previsti dall’articolo 50 dell’AI Act. I sistemi destinati a interagire con le persone, come gli assistenti conversazionali per la vendita e l’assistenza clienti, devono essere progettati in modo che le persone siano informate del fatto che stanno interagendo con un sistema di IA, salvo che ci\u00f2 risulti evidente a una persona ragionevolmente informata, attenta e avveduta. Gli output dei sistemi che generano contenuti sintetici devono essere marcati in un formato leggibile meccanicamente; per i sistemi immessi sul mercato prima del 2 agosto 2026, il Regolamento (UE) 2026\/1744<\/a>, c.d. Digital Omnibus on AI, concede un termine fino al 2 dicembre 2026. Per il commercio elettronico, l’obbligo riguarda le descrizioni, le immagini e i video dei prodotti generati dall’IA.<\/p>\n\n\n\n

Le recensioni sono l’altro pilastro della fiducia. La direttiva Omnibus considera rilevanti le informazioni su se e come il professionista garantisce che le recensioni provengano da consumatori che hanno effettivamente acquistato o utilizzato il prodotto, e qualifica, in ogni caso, sleale l’invio, diretto o tramite terzi, di recensioni false. Nel marzo 2026, l’AGCM ha sanzionato Trustpilot con una multa di 4 milioni di euro per recensioni non adeguatamente verificate. Quando i sistemi di IA selezionano o riassumono le recensioni, la verificabilit\u00e0 della fonte diventa ancora pi\u00f9 rilevante: il consumatore legge una sintesi e non vede il materiale da cui \u00e8 tratta.<\/p>\n\n\n\n

I marketplace: tracciabilit\u00e0, sicurezza dei prodotti e responsabilit\u00e0<\/a><\/h2>\n\n\n\n

I grandi marketplace sono il banco di prova pi\u00f9 evidente di questo quadro. Il DSA impone loro di identificare gli operatori commerciali prima di ammetterli (articolo 30), di progettare l’interfaccia in modo da consentire loro di adempiere agli obblighi informativi e di sicurezza (articolo 31) e di informare i consumatori che hanno acquistato un prodotto illegale (articolo 32). Il Regolamento (UE) 2023\/988<\/a> sulla sicurezza generale dei prodotti, applicabile dal 13 dicembre 2024, rafforza gli obblighi per le vendite a distanza e per i fornitori di mercati online.<\/p>\n\n\n\n

La Commissione ha applicato queste regole. Il 28 maggio 2026 ha sanzionato Temu<\/a> con 200 milioni di euro, rilevando tra l’altro che la piattaforma non aveva valutato adeguatamente come il design del servizio, compresi i sistemi di raccomandazione e i programmi di promozione affidati a influencer affiliati, potesse amplificare la diffusione di prodotti illegali; il 20 luglio 2026 ha sanzionato AliExpress<\/a> con 550 milioni di euro; il 17 febbraio 2026 ha aperto un procedimento formale nei confronti di Shein<\/a>, tra l’altro per il design che crea dipendenza e la scarsa trasparenza dei sistemi di raccomandazione. La sanzione, tuttavia, non chiude il procedimento: la piattaforma deve presentare alla Commissione un piano d’azione per rimediare alle violazioni accertate, come approfondito nell’analisi \u00abNel Digital Services Act la sanzione \u00e8 un passaggio, non un traguardo\u00bb<\/a>.<\/p>\n\n\n\n

Sul piano civilistico, la direttiva (UE) 2024\/2853<\/a> sulla responsabilit\u00e0 per danno da prodotti difettosi include espressamente il software, e quindi i sistemi di IA, nella nozione di prodotto ed estende la responsabilit\u00e0 sussidiaria al fornitore di piattaforma online che consente contratti a distanza, alle condizioni dell’articolo 6, paragrafo 3, del DSA. La direttiva va recepita entro il 9 dicembre 2026 e si applica ai prodotti immessi sul mercato o messi in servizio dopo tale data.<\/p>\n\n\n\n

Lo sguardo internazionale<\/a><\/h2>\n\n\n\n

La direzione europea trova riscontro negli strumenti internazionali, che, pur non essendo vincolanti per le imprese, ne orientano le pratiche e le politiche pubbliche. La Raccomandazione dell’OCSE sulla tutela dei consumatori nel commercio elettronico<\/a> del 24 marzo 2016 stabilisce che le imprese non devono adottare pratiche ingannevoli \u00abrelative alla raccolta e all’uso dei dati personali dei consumatori\u00bb. I Principi dell’OCSE sull’intelligenza artificiale<\/a>, aggiornati il 3 maggio 2024, chiedono di rendere le persone consapevoli delle loro interazioni con i sistemi di IA e di fornire informazioni sulla logica che ha condotto a una \u00abprediction, content, recommendation or decision\u00bb. La Raccomandazione dell’UNESCO sull’etica dell’intelligenza artificiale<\/a> del 23 novembre 2021 afferma che le persone \u00abshould be fully informed when a decision is informed by or is made on the basis of AI algorithms\u00bb e include la tutela dei consumatori tra gli ambiti di azione degli Stati.<\/p>\n\n\n\n

Sul piano pattizio, la Convenzione quadro del Consiglio d’Europa sull’intelligenza artificiale<\/a> (CETS n. 225) prevede che le persone siano informate quando interagiscono con un sistema di IA anzich\u00e9 con un essere umano (articolo 15, paragrafo 2), che si tenga conto delle specifiche vulnerabilit\u00e0 delle persone con disabilit\u00e0 e dei minori (articolo 18) e che si promuova l’alfabetizzazione digitale (articolo 20). L’Unione europea l’ha approvata il 15 maggio 2026, mentre l’Italia, secondo l’Ufficio dei trattati del Consiglio d’Europa<\/a>, non risulta ancora firmataria; la Convenzione non \u00e8 in vigore e la sua applicazione agli operatori privati dipende dalle scelte di ciascuna Parte.<\/p>\n\n\n\n

Profili critici e prospettive<\/a><\/h2>\n\n\n\n

Il quadro presenta almeno tre profili critici. Il primo \u00e8 la sovrapposizione delle discipline: la stessa pratica, un’interfaccia che spinge all’acquisto o un prezzo adattato al profilo del cliente, pu\u00f2 ricadere nella direttiva sulle pratiche commerciali sleali, nel DSA, nell’AI Act e nel GDPR, con autorit\u00e0 e sanzioni diverse. Il criterio residuale dell’articolo 25, paragrafo 2, del DSA ordina in parte questo concorso, ma impone alle imprese una valutazione unitaria che oggi nessuna norma richiede espressamente.<\/p>\n\n\n\n

Il secondo profilo \u00e8 normativo. Sulla base del controllo di adeguatezza del diritto dei consumatori pubblicato il 3 ottobre 2024, la Commissione sta preparando un Digital Fairness Act<\/a> volto a contrastare, tra l’altro, le interfacce ingannevoli, il design che crea dipendenza, la personalizzazione scorretta e il marketing ingannevole degli influencer. Nel discorso sullo Stato dell’Unione<\/a> del 16 settembre 2026 la Presidente della Commissione ha confermato l’impegno di una proposta che sar\u00e0 presentata in autunno. Alla data del presente contributo, la proposta non risulta adottata: le imprese devono quindi operare secondo le regole vigenti, sapendo che la personalizzazione sar\u00e0 oggetto di una disciplina pi\u00f9 specifica.<\/p>\n\n\n\n

Il terzo profilo riguarda gli agenti di IA che cercano, confrontano e acquistano per conto dell’utente. Sul punto non risulta alcuna posizione ufficiale da parte della Commissione n\u00e9 della rete di cooperazione per la tutela dei consumatori. Riteniamo che l’impostazione vigente, costruita sulla decisione di un consumatore che vede l’interfaccia, richieder\u00e0 di chiarire a chi siano destinate le informazioni precontrattuali quando a leggerle \u00e8 un sistema, e chi risponda delle scelte compiute dall’agente, come discusso nell’analisi \u00abAgentic AI: l’autonomia tecnica non crea autonomia giuridica\u00bb<\/a>.<\/p>\n\n\n\n

In questa prospettiva, la fiducia nel commercio elettronico deriva, oltre che dall’informazione fornita al consumatore, dalla possibilit\u00e0 di verificare come i sistemi sono progettati, documentati e controllati. \u00c8 la prospettiva del progetto AI AnthropoCosmic<\/a>, che nei Laboratori del Domani si propone di valutare non soltanto dove e come viene utilizzata l’IA, ma quali conseguenze la sua applicazione possa produrre sulla persona, sulla societ\u00e0 e sull’ambiente.<\/p>\n","protected":false},"excerpt":{"rendered":"

Valentina Grazia SapuppoLaw & Technical Expert | Certified DPO | GRC | AI, ICT & Data Protection Technical Advisor | Technical Expert IEEE | ITU | UNINFO | ISO\/IEC | CEN\/CENELEC | Avvocato, Esperto della Commissione europea, membro dell\u2019EDPB Support Pool of Experts e Fellow dell\u2019ISLC \u2013 Information Society Law Center UNIMI, dove realizza attivit\u00e0 […]<\/p>\n","protected":false},"author":1,"featured_media":2696,"parent":0,"menu_order":0,"comment_status":"closed","ping_status":"closed","template":"","meta":{"_acf_changed":false,"footnotes":""},"class_list":["post-4176","page","type-page","status-publish","has-post-thumbnail"],"acf":[],"_links":{"self":[{"href":"https:\/\/www.aianthropocosmic.com\/AI\/wp-json\/wp\/v2\/pages\/4176","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.aianthropocosmic.com\/AI\/wp-json\/wp\/v2\/pages"}],"about":[{"href":"https:\/\/www.aianthropocosmic.com\/AI\/wp-json\/wp\/v2\/types\/page"}],"author":[{"embeddable":true,"href":"https:\/\/www.aianthropocosmic.com\/AI\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.aianthropocosmic.com\/AI\/wp-json\/wp\/v2\/comments?post=4176"}],"version-history":[{"count":1,"href":"https:\/\/www.aianthropocosmic.com\/AI\/wp-json\/wp\/v2\/pages\/4176\/revisions"}],"predecessor-version":[{"id":4178,"href":"https:\/\/www.aianthropocosmic.com\/AI\/wp-json\/wp\/v2\/pages\/4176\/revisions\/4178"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.aianthropocosmic.com\/AI\/wp-json\/wp\/v2\/media\/2696"}],"wp:attachment":[{"href":"https:\/\/www.aianthropocosmic.com\/AI\/wp-json\/wp\/v2\/media?parent=4176"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}