L'algoritmo che ti nega il mutuo: scoring, polizze e diritto a sapere perché

Quando una banca vi nega il mutuo, oggi a dire "no" non è quasi mai un funzionario: è un modello. Un punteggio sputato da un algoritmo che pesa i vostri dati e li traduce in una probabilità di insolvenza. Lo stesso vale per il premio della vostra polizza vita o salute. La domanda che faccio da avvocato del diavolo a Bruxelles non è "l'algoritmo può decidere?" — può, e lo fa già. La domanda è: chi risponde quando sbaglia, e con quali armi si difende chi viene scartato? Perché qui l'AI Act e il GDPR si intrecciano in un nodo che molte banche, finanziarie e compagnie assicurative non hanno ancora sciolto. E i nodi non sciolti, prima o poi, qualcuno li paga.

Credit scoring e pricing assicurativo: l'Allegato III li marchia come alto rischio

Partiamo dal testo, non dalle impressioni. L'Allegato III del Regolamento (UE) 2024/1689 (AI Act) elenca i sistemi di IA "ad alto rischio" per finalità. Al punto 5, lettera b), compaiono i sistemi destinati a valutare l'affidabilità creditizia delle persone fisiche o a stabilirne il punteggio di credito — con la sola eccezione dei sistemi usati per individuare frodi finanziarie (Allegato III, AI Act, artificialintelligenceact.eu). Alla lettera c) dello stesso punto 5 ci sono i sistemi destinati alla valutazione del rischio e alla determinazione dei prezzi in relazione alle persone fisiche nel ramo delle assicurazioni sulla vita e malattia.

Tradotto per chi lavora: il modello che assegna lo scoring a chi chiede un prestito è alto rischio. Il modello che calcola il premio di una polizza vita o salute, decide l'ammissibilità o automatizza scelte significative sulla copertura è alto rischio. Non perché qualcuno lo abbia deciso caso per caso, ma perché il legislatore europeo ha qualificato a monte quelle finalità come incidenti su diritti fondamentali. È una presunzione di pericolosità legata all'uso, non alla potenza tecnica del modello. Un chatbot che risponde sui prodotti della banca non è alto rischio; lo stesso identico modello messo a decidere chi merita credito lo diventa. L'etichetta tecnologica non conta: conta dove punti la canna.

C'è un dettaglio che molti consulenti saltano. Il regime ad alto rischio dell'Allegato III, atteso originariamente per il 2 agosto 2026, è stato rinviato. Dopo l'accordo politico provvisorio sul pacchetto Digital Omnibus del maggio 2026, la nuova data per i sistemi autonomi dell'Allegato III è il 2 dicembre 2027 (da verificare l'avvenuta adozione formale e la pubblicazione in Gazzetta UE). Ma — e qui sta la trappola — il GDPR si applica già adesso. Lo scoring automatizzato non aspetta il 2027 per essere illegittimo se viola l'art. 22. Chi tira il fiato sul rinvio dell'AI Act dimentica che il fronte privacy è aperto da anni.

L'art. 22 GDPR e la mannaia di Lussemburgo: il caso SCHUFA

Veniamo all'arma del cliente scartato. L'art. 22 del GDPR vieta, salvo eccezioni, di sottoporre una persona a una decisione basata unicamente su un trattamento automatizzato che produca effetti giuridici o incida in modo analogo significativamente su di lei. Per anni le banche hanno aggirato la norma con un trucco: "la decisione finale la prende un nostro dipendente, l'algoritmo dà solo un suggerimento". Schermo umano davanti a una scelta già scritta dalla macchina.

La Corte di giustizia ha smontato il trucco. Nella sentenza SCHUFA Holding, causa C-634/21 del 7 dicembre 2023 (CGUE), ha stabilito che il calcolo di un punteggio di affidabilità creditizia da parte di una società terza costituisce di per sé una decisione automatizzata ai sensi dell'art. 22, quando il terzo che lo riceve gli attribuisce un ruolo determinante nella concessione o nel diniego del finanziamento (CGUE, Altalex). È irrilevante che la firma finale la metta un umano, se quell'umano si limita a ratificare il numero. La sostanza prevale sulla forma.

La conseguenza è pesante. Se lo scoring è una decisione automatizzata ex art. 22, scattano le garanzie: l'interessato ha diritto a informazioni significative sulla logica utilizzata, sull'importanza e sulle conseguenze del trattamento, ha diritto a ottenere l'intervento umano, a esprimere la propria opinione e a contestare la decisione. Il punteggio cessa di essere una scatola nera blindata. Diventa un atto giuridicamente sindacabile.

Dalla SCHUFA al diritto di capire: il caso Dun & Bradstreet

Un anno dopo, la Corte ha alzato l'asticella. Nella sentenza Dun & Bradstreet Austria, causa C-203/22 del 27 febbraio 2025 (CGUE), ha precisato la portata del diritto di accesso dell'art. 15, par. 1, lett. h), GDPR nei casi di profilazione e decisione automatizzata (CGUE, Altalex). Il titolare deve fornire una spiegazione che metta l'interessato in condizione di comprendere e contestare davvero la decisione: deve descrivere la procedura e i principi concretamente applicati, far capire quali dati personali sono stati usati e come hanno pesato. La Corte è arrivata a dire che può essere appropriato indicare in che misura una variazione dei dati avrebbe portato a un risultato diverso — una sorta di "cosa avrei dovuto cambiare per non essere scartato".

E il segreto industriale? Non è un salvacondotto. La Corte ammette che il diritto di accesso non deve sacrificare i segreti commerciali di terzi, ma chiarisce che il bilanciamento non può tradursi in un diniego dell'informazione. Non si può rispondere al cliente "è proprietà intellettuale, non glielo dico". Si trova un punto di equilibrio, ma il cliente esce sapendo qualcosa di utile. Per chi assiste l'impresa, questo significa una cosa precisa: il fornitore del modello deve poter consegnare al deployer le informazioni sufficienti a spiegare la decisione. Se il contratto di licenza non lo prevede, l'impresa firma una bomba a orologeria.

Tre diritti alla spiegazione che convivono sullo stesso scoring

Qui sta il lavoro fine del consulente. Sullo stesso identico processo di scoring oggi convivono tre fonti che impongono trasparenza, e vanno montate insieme senza contraddirsi.

Fonte	Cosa garantisce	Stato applicativo
Art. 22 + artt. 13-15 GDPR	Limite alla decisione automatizzata, intervento umano, logica del trattamento, contestazione	In vigore (SCHUFA 2023, Dun & Bradstreet 2025)
Art. 86 AI Act	Diritto a spiegazioni chiare e significative sul ruolo del sistema IA nella decisione	Con il regime alto rischio (rinvio al 2 dic 2027, da verificare)
Direttiva CCD II (UE) 2023/2225	Spiegazione della logica, opinione del consumatore, riesame della valutazione del merito creditizio	Recepita in Italia (D.Lgs. di attuazione)

L'art. 86 dell'AI Act introduce un diritto esplicito alla spiegazione della decisione individuale: chi subisce una decisione presa dal deployer sulla base dell'output di un sistema ad alto rischio dell'Allegato III, con effetti giuridici o comunque significativi e pregiudizievoli su salute, sicurezza o diritti fondamentali, ha diritto a ottenere dal deployer spiegazioni chiare e significative sul ruolo del sistema nel processo decisionale e sugli elementi principali della decisione (art. 86 AI Act, artificialintelligenceact.eu). È la prima volta che il diritto alla spiegazione viene scritto in modo esplicito, dopo anni di dibattito su quanto fosse davvero ricavabile dal solo GDPR.

Sul versante credito, la nuova Direttiva sul credito ai consumatori — CCD II, Direttiva (UE) 2023/2225 — aggiunge un terzo strato: quando la valutazione del merito creditizio si fonda, anche solo in parte, sul trattamento automatizzato di dati personali, il consumatore ha diritto a una spiegazione chiara e comprensibile della logica, a esprimere la propria opinione al finanziatore e a chiedere un riesame della valutazione (CCD II, Diritto Bancario). In Italia la direttiva è stata recepita con decreto legislativo di attuazione (estremi e numerazione da verificare nel testo definitivo). Tre diritti alla spiegazione, una sola decisione: chi li tratta come pratiche separate produce documenti che, davanti a un giudice o al Garante, si smentiscono a vicenda.

Gli obblighi del deployer: comprare il modello non scarica la responsabilità

Ecco l'equivoco più costoso che sento ripetere nei consigli di amministrazione: "il modello l'abbiamo comprato da un fornitore certificato, la conformità è un problema suo". Falso. L'AI Act distingue il fornitore (chi sviluppa e immette sul mercato il sistema) dal deployer (chi lo usa sotto la propria autorità). La banca, la finanziaria, la compagnia che usano il modello di scoring sono deployer, e hanno obblighi propri, autonomi, non delegabili al venditore.

Tra gli obblighi del deployer di un sistema ad alto rischio: garantire la sorveglianza umana effettiva, usare il sistema secondo le istruzioni, monitorarne il funzionamento, conservare i log, informare le persone interessate. Ma il punto che pochi hanno digerito è la valutazione d'impatto sui diritti fondamentali (FRIA) dell'art. 27 AI Act, che grava proprio sui deployer dei sistemi di credito (Allegato III, punto 5, lett. b) e assicurativi (lett. c) (Hogan Lovells, hoganlovells.com). La banca che acquista un sistema di scoring chiavi in mano non può nascondersi dietro la valutazione di conformità del fornitore: deve condurre la propria FRIA, calibrata sul contesto d'uso, sulla popolazione interessata, sulle garanzie che applica. L'art. 27, par. 4, consente di integrare la FRIA con la DPIA già esistente — un'unica valutazione, purché copra l'intero spettro dei diritti fondamentali e non solo la protezione dati.

Qui la responsabilità si biforca e si moltiplica lungo la filiera. Il fornitore risponde del modello immesso sul mercato; il deployer risponde dell'uso che ne fa. Un cliente discriminato può colpire entrambi, e i due possono rivalersi l'uno sull'altro. È per questo che il contratto tra fornitore e banca è il vero campo di battaglia: chi garantisce cosa, chi consegna quali informazioni, chi tiene indenne chi. Senza una mappatura contrattuale delle responsabilità, l'impresa scopre solo in giudizio di aver assorbito un rischio che credeva di aver scaricato.

Il buco nella rete: l'AI Liability Directive è stata ritirata

E qui arriva la notizia che cambia la strategia difensiva, e che pochi clienti conoscono. Si attendeva una direttiva ad hoc sulla responsabilità civile da intelligenza artificiale — l'AI Liability Directive (AILD) — pensata proprio per alleggerire l'onere della prova a carico del danneggiato, notoriamente schiacciante davanti a una scatola nera algoritmica. Quella direttiva non vedrà la luce: la Commissione europea ne ha annunciato il ritiro nel programma di lavoro del febbraio 2025, e il ritiro è stato confermato, con avviso pubblicato nella Gazzetta ufficiale dell'UE il 6 ottobre 2025, per mancanza di un accordo prevedibile (Commissione europea; cfr. Bird & Bird, twobirds.com).

Il risultato è un paradosso che va spiegato al cliente senza giri di parole: l'Europa ha regole severissime su come si sviluppa e si usa l'IA (AI Act), ma nessuna regola armonizzata su chi paga quando l'IA fa danno. La responsabilità civile resta affidata ai diritti nazionali e ai principi generali — in Italia, gli artt. 2043 e 2050 del Codice civile, con tutto il loro carico probatorio. Chi sperava nell'inversione dell'onere della prova promessa dall'AILD deve cambiare bersaglio.

Un tassello, però, è rimasto in piedi: la nuova Direttiva sulla responsabilità per danno da prodotti difettosi, (UE) 2024/2853, in vigore dall'8 dicembre 2024 e da recepire entro il 9 dicembre 2026, include esplicitamente il software e i sistemi di IA nella nozione di "prodotto" (PLD, hoganlovells.com). È responsabilità oggettiva: il danneggiato non deve provare la colpa, ma il difetto e il nesso causale. Resta da capire quanto questa direttiva — pensata per danni a salute, integrità fisica e proprietà — copra il danno tipicamente economico e discriminatorio di uno scoring sbagliato. La copertura del danno meramente patrimoniale da decisione algoritmica resta terreno incerto (da verificare alla luce del recepimento italiano). Il vuoto lasciato dall'AILD non è del tutto colmato.

Come si difende il cliente scartato dall'algoritmo

Veniamo al pratico, perché l'avvocato del diavolo non vende fumo. Quando un cliente arriva dicendo "mi hanno negato il mutuo e non so perché", o "il premio della mia polizza è triplicato senza spiegazione", la cassetta degli attrezzi è già piena, anche prima che l'alto rischio AI Act diventi pienamente applicabile.

Primo: l'accesso ex art. 15 GDPR, letto con Dun & Bradstreet. Si chiede al titolare la logica applicata, i dati usati, il peso che hanno avuto. Una risposta evasiva o un "è segreto industriale" secco è già una crepa. Secondo: la contestazione ex art. 22 GDPR, letto con SCHUFA. Se la decisione è di fatto automatizzata, si pretende l'intervento umano vero — non la firma di chi ratifica il numero — e si contesta la decisione nel merito. Terzo, sul credito al consumo: i diritti della CCD II, spiegazione e riesame della valutazione del merito creditizio. Quarto, quando il regime alto rischio sarà operativo: il diritto alla spiegazione dell'art. 86 AI Act verso il deployer.

E c'è il fronte più delicato: la discriminazione algoritmica. Un modello addestrato su dati storici distorti può penalizzare sistematicamente categorie protette — per genere, origine, età — senza che nessuno lo abbia voluto esplicitamente. Qui si intrecciano la normativa antidiscriminazione, la governance dei dati richiesta dall'AI Act per i sistemi ad alto rischio (qualità dei dataset, misure contro i bias) e l'obbligo, già evidenziato dal Garante per i sistemi di informazione creditizia, di adottare misure per prevenire discriminazioni, falsi positivi ed errori, documentando la logica del modello (Garante per la protezione dei dati personali, garanteprivacy.it). Provare la discriminazione resta difficile — la prova del bias dentro un modello è un terreno tecnico e impervio — ma le crepe documentali (FRIA assente, DPIA carente, log mancanti, contratto di licenza muto sulla spiegabilità) sono i punti dove il difensore fa leva.

Cosa dico a chi gestisce o subisce un algoritmo di scoring

Non prometto esiti — la deontologia me lo vieta (art. 17 del Codice deontologico forense) e il diavolo non bluffa. Indico un metodo, da entrambi i lati del tavolo. Alla banca, alla finanziaria, alla compagnia: non aspettate il 2027. Il GDPR vi vincola già oggi, le sentenze SCHUFA e Dun & Bradstreet sono diritto vivente, la CCD II è recepita. Censite i vostri modelli, qualificateli correttamente nell'Allegato III, predisponete FRIA e DPIA integrate, e soprattutto rileggete i contratti di licenza chiedendovi: il fornitore mi consegnerà le informazioni che dovrò dare al cliente che contesta? Se la risposta è no, avete comprato un problema, non una soluzione.

Al cliente scartato: l'algoritmo non è un oracolo intoccabile. È un atto, e gli atti si impugnano. Avete diritto a sapere su cosa si fonda il no, a pretendere un occhio umano, a contestarlo. Il diritto europeo, dopo anni di scatole nere, ha cominciato ad aprirle. Non sarà semplice — il vuoto sulla responsabilità civile lasciato dal ritiro dell'AILD pesa, e la prova del danno algoritmico è un cantiere aperto. Ma chi conosce le tre leve — GDPR, AI Act, CCD II — entra in quella stanza con argomenti, non con lamentele. E l'avvocato del diavolo, su questo, è categorico: davanti a un algoritmo che decide della vostra vita finanziaria, il silenzio non è più un'opzione che la legge concede a chi quell'algoritmo lo usa.

Tutte le affermazioni di questo articolo sono ancorate a fonti verificabili e datate, citate inline. I dati riflettono le informazioni disponibili al 22 giugno 2026 e vanno verificati alla luce degli sviluppi successivi.