Retail, E-commerce e Call Centre — Conformità all'EU AI Act

Obblighi dell'EU AI Act per il retail e i call centre: informativa sui chatbot, trasparenza nel riconoscimento delle emozioni, monitoraggio dei dipendenti e IA rivolta ai clienti. Copre l'Art. 50 e l'Allegato III.

Retail, E-commerce e Call Centre nell'EU AI Act

Il settore retail e dell'e-commerce è un utilizzatore ad alta intensità di intelligenza artificiale. Dal momento in cui un cliente accede a un sito web, l'IA determina quali prodotti vengono visualizzati, quale prezzo viene offerto, quali promozioni vengono mostrate e come vengono gestite le richieste del servizio clienti. Nei call centre, l'IA assiste gli operatori in tempo reale, valuta le conversazioni e inferisce le emozioni dei clienti dai segnali vocali. L'EU AI Act, in vigore dall'1 agosto 2024 con gli obblighi chiave di trasparenza applicabili dal 2 febbraio 2025 e gli obblighi per i sistemi ad alto rischio dal 2 agosto 2026, impone un quadro di conformità strutturato in questo contesto.

È fondamentale che l'AI Act non tratti tutta l'IA del retail allo stesso modo. Il Regolamento traccia una distinzione precisa tra i sistemi soggetti solo agli obblighi di trasparenza — la maggior parte dell'IA retail rivolta ai consumatori — e i sistemi classificati come ad alto rischio, che sono gravati dall'intero set di obblighi: valutazione della conformità, documentazione tecnica, sistemi di gestione della qualità e requisiti di supervisione umana. Comprendere quale categoria si applica a ciascun sistema implementato è il compito di conformità fondamentale per i retailer e gli operatori di call centre.

Il settore è contemporaneamente disciplinato dal GDPR, dalla Direttiva sui Diritti dei Consumatori (2011/83/UE), dalla Direttiva sulle Pratiche Commerciali Sleali (2005/29/CE), dal Regolamento P2B (UE 2019/1150) e, per i call centre, dai regimi nazionali di diritto del lavoro in materia di monitoraggio dei dipendenti. L'AI Act aggiunge un livello normativo ma non sostituisce questi quadri preesistenti.

Obblighi di Trasparenza dell'Art. 50 — Il Livello di Conformità Primario

Per la maggior parte dei sistemi di IA impiegati nel retail e nell'e-commerce, l'Art. 50 dell'EU AI Act è la disposizione operativa di riferimento. I suoi obblighi si applicano dal 2 febbraio 2025 e non dipendono dalla classificazione ad alto rischio. La non conformità può essere sanzionata indipendentemente dalla tempistica relativa ai sistemi ad alto rischio.

Informativa sui Chatbot e sull'IA Conversazionale — Art. 50(1)

L'Art. 50(1) impone un obbligo di informativa obbligatoria a qualsiasi soggetto responsabile del dispiegamento di un sistema di IA conversazionale — un sistema progettato per interagire con gli esseri umani mediante linguaggio naturale — di informare gli utenti che stanno interagendo con un'IA, salvo che ciò non sia evidente dalle circostanze.

Nel contesto retail, tale obbligo si applica a:

• Chatbot e live chat bot su siti web — compresi i widget di chat basati su modelli linguistici di grandi dimensioni, i chatbot rule-based con comprensione potenziata dall'IA e i sistemi ibridi.
• Voicebot e IA per IVR — sistemi telefonici automatizzati che gestiscono le richieste in entrata dei clienti tramite IA vocale, compresi i sistemi di risposta vocale interattiva potenziati dall'IA.
• Assistenti virtuali in-app — funzioni di assistenza basate sull'IA incorporate nelle app retail, nelle app per programmi fedeltà o nelle app bancarie accessorie offerte dai retailer.
• Bot di assistenza clienti sui social media — agenti IA che rispondono ai messaggi su WhatsApp, Instagram o Messenger per conto di un retailer.

L'esenzione per «evidenza dalle circostanze» ha un ambito ristretto. Un chatbot denominato «Emma» o descritto come «assistente virtuale» non soddisfa la soglia richiesta. Una testata che reciti «Sta ora interagendo con un sistema IA automatizzato — nessun operatore umano è coinvolto» sarebbe sufficiente. I retailer non devono fare affidamento sull'inferenza del consumatore — l'informativa deve essere esplicita, fornita al momento del primo contatto o prima di esso, e presentata in modo comprensibile per il consumatore medio.

L'obbligo ricade sul soggetto responsabile del dispiegamento — il retailer o l'operatore del call centre — e non esclusivamente sul fornitore della tecnologia. Le clausole contrattuali che trasferiscono la responsabilità dell'informativa al fornitore non esonerano il soggetto responsabile dal proprio obbligo regolamentare.

Informativa sui Sistemi di Riconoscimento delle Emozioni — Art. 50(2)

L'Art. 50(2) richiede che qualsiasi persona esposta a un sistema di riconoscimento delle emozioni sia informata del suo funzionamento. Un sistema di riconoscimento delle emozioni è un sistema di IA che inferisce stati emotivi da segnali fisiologici o comportamentali — espressioni facciali, tono della voce, ritmo del discorso, scelta delle parole o microespressioni.

Nel settore retail e dei call centre, tale obbligo si applica a:

• Analisi del sentiment dei clienti nelle chiamate — IA che analizza le caratteristiche acustiche o linguistiche della voce di un cliente per inferire frustrazione, soddisfazione o stato emotivo durante un'interazione con il call centre. Il cliente deve essere informato che tale analisi è in corso.
• Analisi dei clienti in negozio — sistemi di telecamere dotati di IA che tentano di inferire le emozioni o l'attenzione degli acquirenti dalle espressioni facciali. Ove il sistema soddisfi la definizione di riconoscimento delle emozioni, è richiesta un'informativa in negozio.
• Analisi vocale degli operatori — analisi del sentiment o delle emozioni applicata alla voce degli operatori del call centre (trattata più approfonditamente di seguito nella sezione sul monitoraggio dei dipendenti).

L'informativa deve essere fornita prima che il sistema di riconoscimento delle emozioni inizi l'elaborazione. Per i canali telefonici, ciò richiede tipicamente un annuncio IVR o una notifica verbale all'inizio della chiamata. Il silenzio — compresi i messaggi audio che menzionano solo la registrazione della chiamata senza riferirsi all'analisi emotiva tramite IA — non soddisfa l'obbligo previsto dall'Art. 50(2).

Media Sintetici Generati dall'IA — Art. 50(4)

L'Art. 50(4) richiede che i media generati o manipolati dall'IA — immagini, video e audio — siano etichettati come artificialmente generati o manipolati quando esiste il rischio che gli utenti li ritengano autentici.

Le applicazioni specifiche del settore retail rientranti nell'ambito di applicazione comprendono:

• Immagini di prodotto generate dall'IA: immagini di prodotti, ambienti o scene di lifestyle prodotte da IA generativa e presentate come fotografie autentiche nelle schede prodotto o nella pubblicità.
• Video promozionali generati dall'IA: video di brand, contenuti in stile testimonianza o materiali di marketing in cui il contenuto visivo o audio è sostanzialmente generato dall'IA.
• Narrazione vocale generata dall'IA o clonata dall'IA utilizzata in demo di prodotto, contenuti brandizzati o comunicazioni con i clienti.
• IA di virtual try-on che genera immagini sintetiche di un cliente che indossa o utilizza un prodotto — ove l'output venga presentato come una rappresentazione accurata.

L'obbligo di etichettatura non richiede che l'origine artificiale del contenuto sia occultata per far scattare la conformità — il criterio è se un consumatore potrebbe ragionevolmente scambiare il contenuto per una fotografia o un video autentico. L'omissione dell'etichettatura crea inoltre un'esposizione ai sensi della Direttiva sulle Pratiche Commerciali Sleali (2005/29/CE), che vieta l'utilizzo di contenuti redazionali per promuovere prodotti senza indicare chiaramente che si tratta di contenuti a pagamento o artificialmente prodotti.

IA per il Monitoraggio dei Dipendenti nei Call Centre — Classificazione come Sistema ad Alto Rischio

I call centre impiegano abitualmente l'IA per monitorare, valutare e assistere gli operatori in tempo reale. Ove questi sistemi rientrino nel territorio dell'Allegato III, categoria 4, si applicano integralmente gli obblighi per i sistemi ad alto rischio.

IA per il Coaching degli Operatori e la Guida in Tempo Reale

L'IA per il coaching degli operatori in tempo reale — sistemi che monitorano le chiamate in corso e forniscono agli operatori indicazioni durante la chiamata, script, avvisi di conformità o feedback sullo stato emotivo — si colloca all'intersezione tra la cat. 4(b) e la cat. 4(c). Ove il sistema monitori la conformità dell'operatore agli obblighi contrattuali (standard di gestione delle chiamate, script normativi), si applica la cat. 4(b). Ove inferisca lo stato emotivo o comportamentale dell'operatore e generi avvisi o segnalazioni di performance da tale inferenza, si applica la cat. 4(c).

Entrambe le sottocategorie attivano l'intero set di obblighi per i sistemi ad alto rischio:

• Sistema di gestione del rischio ai sensi dell'Art. 9: identificazione, valutazione e mitigazione continua dei rischi per gli operatori e per i clienti che interagiscono con il sistema.
• Governance dei dati ai sensi dell'Art. 10: i dataset di addestramento devono essere pertinenti, rappresentativi e gestiti in modo da minimizzare i bias discriminatori.
• Documentazione tecnica ai sensi dell'Art. 11 e dell'Allegato IV: documentazione completa della progettazione del sistema, della finalità prevista, delle limitazioni, delle metriche di performance e dei risultati dei test.
• Trasparenza verso i soggetti responsabili del dispiegamento ai sensi dell'Art. 13: i fornitori devono fornire istruzioni per l'uso che includano informazioni sui limiti del sistema, le condizioni operative e i rischi prevedibili.
• Supervisione umana ai sensi dell'Art. 14: i soggetti responsabili del dispiegamento devono designare persone con l'autorità, la competenza e il tempo necessari per intervenire sugli output del sistema o ignorarli.
• Accuratezza e robustezza ai sensi dell'Art. 15: i sistemi devono funzionare in modo affidabile entro i parametri dichiarati.

IA per il Punteggio di Qualità e la Valutazione delle Performance

I sistemi di IA che assegnano punteggi di qualità alle chiamate, generano classifiche delle performance degli operatori o producono output utilizzati nelle procedure di valutazione, determinazione dei bonus o di licenziamento rientrano nell'Allegato III cat. 4(b) in quanto sistemi utilizzati per decisioni relative alla promozione, all'assegnazione dei compiti o al monitoraggio degli obblighi contrattuali. Gli obblighi per i sistemi ad alto rischio si applicano integralmente.

Gli operatori devono inoltre soddisfare il requisito di informativa dell'Art. 50(2) per gli operatori soggetti a componenti di riconoscimento delle emozioni all'interno di questi sistemi — indipendentemente dalla tempistica di conformità per i sistemi ad alto rischio.

Obblighi del Diritto del Lavoro Nazionale

L'IA per il monitoraggio dei dipendenti nei call centre attiva diritti nazionali di codeterminazione e consultazione in modo indipendente rispetto all'AI Act. In Germania, il Betriebsverfassungsgesetz §87(1) n. 6 riconosce ai consigli aziendali diritti vincolanti di codeterminazione sui dispositivi tecnici di monitoraggio; i sistemi di monitoraggio tramite IA richiedono l'accordo del consiglio aziendale prima dell'implementazione. Diritti equivalenti si applicano nei Paesi Bassi (WOR Art. 27), in Austria (ArbVG §96) e in Francia (Code du Travail L. 2312-38). Tali obblighi non possono essere rinviati fino alla scadenza del 2026 prevista dall'AI Act per i sistemi ad alto rischio.

IA Rivolta ai Clienti Non Classificata come ad Alto Rischio

Una parte significativa dell'IA nel retail non è classificata come ad alto rischio ai sensi dell'Allegato III. Le seguenti categorie non sono esplicitamente enumerate nell'Allegato III e non richiedono una valutazione della conformità ai sensi dell'AI Act:

• Motori di raccomandazione di prodotti — IA che personalizza i suggerimenti di prodotto in base alla cronologia di navigazione, ai modelli di acquisto o al filtraggio collaborativo.
• Sistemi di dynamic pricing — IA che adegua i prezzi in tempo reale in base alla domanda, alle scorte, ai prezzi dei concorrenti o ai segmenti di consumatori.
• Previsione della domanda per la gestione delle scorte — IA che prevede i fabbisogni di stock a livello di SKU o di categoria.
• Modelli di previsione del churn dei clienti — IA che valuta la probabilità di abbandono dei clienti per il targeting delle campagne di fidelizzazione.
• Personalizzazione della ricerca — IA che riordina i risultati di ricerca sui siti retail in base a segnali individuali o di coorte.
• Rilevamento delle frodi sui resi — IA che valuta le richieste di reso per potenziale frode, ove l'output alimenti un processo decisionale revisionato da un essere umano.

Questi sistemi sono comunque soggetti al GDPR ove comportino la profilazione individuale dei clienti. L'analisi comportamentale, l'aggregazione della cronologia degli acquisti e il tracciamento cross-site richiedono una base giuridica ai sensi dell'Art. 6 GDPR — tipicamente l'interesse legittimo (che richiede un test di bilanciamento documentato) o il consenso. Ove la profilazione produca decisioni con effetti significativi sui singoli consumatori — ad esempio la sospensione dell'account di un cliente sulla base di un punteggio antifrode — può applicarsi l'Art. 22 GDPR, che richiede la revisione umana delle decisioni automatizzate.

Il Regolamento P2B (UE 2019/1150) impone obblighi di trasparenza sugli algoritmi di classificazione utilizzati nei marketplace online e negli strumenti di comparazione — gli operatori devono comunicare i principali parametri che determinano la classificazione e il relativo peso. La classificazione basata sull'IA non è esente.

Tutela dei Consumatori e Direttiva sulle Pratiche Commerciali Sleali

Le pratiche commerciali basate sull'IA nel retail creano un'esposizione aggiuntiva ai sensi della Direttiva sulle Pratiche Commerciali Sleali (2005/29/CE), in particolare a seguito delle modifiche introdotte dalla Direttiva Omnibus, efficaci negli Stati membri dal 2022:

• Recensioni false generate dall'IA: la UCPD, nella versione modificata, vieta esplicitamente la pubblicazione di recensioni di consumatori false e l'utilizzo di servizi di curazione delle recensioni che non dichiarano il coinvolgimento dell'IA. Le recensioni di prodotti generate dall'IA e presentate come recensioni autentiche di consumatori sono illecite.
• Prezzi personalizzati senza informativa: ove un retailer utilizzi l'IA per presentare prezzi personalizzati a specifici consumatori sulla base della profilazione, la UCPD modificata richiede la comunicazione del fatto della personalizzazione quando un consumatore si trova di fronte a un prezzo personalizzato.
• Personalizzazione manipolativa: l'Art. 5 dell'EU AI Act vieta i sistemi di IA che utilizzano tecniche subliminali o sfruttano le vulnerabilità per distorcere il comportamento dei consumatori. Una personalizzazione aggressiva che prende di mira i consumatori in momenti di vulnerabilità cognitiva o sfrutta stati emotivi inferiti da dati di interazione precedenti può costituire una pratica vietata.
• Descrizioni ingannevoli generate dall'IA: le descrizioni di prodotti, le specifiche tecniche o le affermazioni comparative generate dall'IA che risultino inesatte o inventate — compresi i dati di specifica allucinati nei contenuti di prodotto generati da LLM — possono costituire pratiche commerciali ingannevoli ai sensi della UCPD.

Autorità di Controllo e Sanzioni

L'applicazione degli obblighi dell'AI Act nel settore retail è distribuita tra più autorità competenti:

• Autorità nazionali di vigilanza sull'IA: designate ai sensi della legislazione di attuazione dell'AI Act di ciascuno Stato membro. Sono le autorità primarie per le violazioni della trasparenza ai sensi dell'Art. 50 e per le violazioni della conformità per i sistemi ad alto rischio.
• Autorità di tutela dei consumatori: le agenzie nazionali per i consumatori e la rete BEUC saranno particolarmente attive nel monitoraggio delle informative sui chatbot, nell'etichettatura dei contenuti generati dall'IA e nelle pratiche di IA adiacenti alla UCPD. La rete CPC (Consumer Protection Cooperation) consente l'enforcement coordinato tra gli Stati membri.
• Autorità di protezione dei dati: mantengono una giurisdizione di enforcement concorrente ai sensi del GDPR per la profilazione dei clienti, le decisioni automatizzate e gli incidenti relativi al trattamento di dati biometrici.
• Ispettorati del lavoro: negli Stati membri con regimi forti di ispezione del lavoro — Francia (DREETS), Germania (Gewerbeaufsicht) e Spagna (Inspección de Trabajo) — il monitoraggio dei dipendenti basato sull'IA che viola il diritto del lavoro o gli obblighi di codeterminazione è soggetto a indagine indipendentemente dai procedimenti ai sensi dell'AI Act.

Esposizione sanzionatoria ai sensi dell'AI Act: le violazioni degli obblighi di trasparenza dell'Art. 50 comportano sanzioni fino a 15 milioni di euro o al 3% del fatturato annuo globale, se superiore. Le violazioni delle pratiche vietate (Art. 5) comportano sanzioni fino a 35 milioni di euro o al 7% del fatturato annuo globale. Le sanzioni GDPR si applicano in modo cumulativo. Per i grandi operatori dell'e-commerce con fatturati globali rilevanti, il tetto del 7% rappresenta un'esposizione finanziaria sostanziale.

Roadmap di Conformità per Retailer e Operatori di Call Centre

Un programma strutturato di conformità all'AI Act per il settore retail dovrebbe affrontare i seguenti aspetti in sequenza:

1. Inventario dei sistemi di IA: catalogare tutti gli strumenti di IA in uso nei canali rivolti ai clienti (sito web, app, telefono, social media), nelle funzioni di marketing e merchandising (pricing, raccomandazioni, generazione di contenuti) e nelle operazioni dei call centre (coaching, punteggio, monitoraggio). Per ciascun sistema, determinare se si tratta di uno strumento di uso generale, di un sistema soggetto a obblighi di trasparenza o potenzialmente ad alto rischio.

2. Audit delle informative sui chatbot e voicebot: verificare la conformità di tutti i sistemi di IA conversazionale all'Art. 50(1). Verificare che l'informativa sia esplicita, fornita al momento del primo contatto e non si basi sull'inferenza del consumatore. Aggiornare di conseguenza i testi dell'interfaccia chat, gli script IVR e il linguaggio del centro assistenza.

3. Mappatura del riconoscimento delle emozioni: identificare tutti i sistemi — rivolti ai clienti e agli operatori — che inferiscono stati emotivi o affettivi. Implementare le notifiche ai sensi dell'Art. 50(2) per tutti i sistemi rientranti nell'ambito di applicazione. Per i sistemi rivolti agli operatori, valutare la classificazione ai sensi dell'Allegato III cat. 4 e avviare la pianificazione della conformità per i sistemi ad alto rischio.

4. Audit dei media sintetici: verificare tutti i materiali di marketing, le immagini di prodotto e i contenuti brandizzati per individuare componenti generate dall'IA. Implementare un flusso di lavoro per l'etichettatura ai sensi dell'Art. 50(4) — assicurando che i contenuti generati o manipolati siano identificati prima della pubblicazione.

5. Due diligence sull'IA nei call centre: per ciascun fornitore di IA che fornisce strumenti di coaching, punteggio o monitoraggio, richiedere la conferma della classificazione ai sensi dell'Allegato III, dello stato di marcatura CE (dal 2 agosto 2026) e delle istruzioni per l'uso. Avviare le procedure di consultazione del consiglio aziendale o di codeterminazione ai sensi del diritto nazionale applicabile.

6. Revisione della profilazione ai sensi del GDPR: condurre un audit della base giuridica ai sensi del GDPR per le attività di profilazione dei clienti. Ove si faccia affidamento sull'interesse legittimo, documentare e conservare i verbali del test di bilanciamento. Aggiornare le informative sulla privacy per riflettere le pratiche di profilazione basate sull'IA.

7. Verifica di conformità alla UCPD: verificare le informative sul pricing personalizzato, le pratiche di generazione delle recensioni e i flussi di lavoro per i contenuti generati dall'IA rispetto ai requisiti della UCPD, comprese le modifiche della Direttiva Omnibus come recepite negli Stati membri rilevanti.

8. Risposta agli incidenti e governance: stabilire la titolarità della governance dell'IA — tipicamente tra le funzioni legale, DPO, compliance e digitale/tecnologica — con procedure di escalation documentate per gli incidenti che coinvolgano violazioni dell'Art. 50 o reclami dei dipendenti relativi all'IA di monitoraggio.

I retailer e gli operatori di call centre che hanno integrato precocemente l'IA nei loro flussi di lavoro operativi e con i clienti si trovano di fronte alla più ampia superficie di conformità. Gli obblighi di trasparenza dell'Art. 50 sono già applicabili; gli obblighi per i sistemi ad alto rischio relativi all'IA di monitoraggio dei dipendenti richiedono una preparazione a livello di programma prima del 2 agosto 2026.