Arricchire i lead di fiera da fonti pubbliche è legale? Cosa cambia con l'AI Act UE da agosto 2026

L’AI Act è entrato nel vocabolario di ogni comitato acquisti. E la domanda che ci arriva più spesso dai Head of Sales dopo una fiera è secca: arricchire un contatto — trovare email, telefono, LinkedIn da fonti pubbliche — è ancora legale nel 2026?

Risposta breve: sì, se lo fate bene. Ma “bene” ha un significato preciso, e cambia leggermente con le milestone dell’AI Act che maturano da agosto 2026. Vediamo cosa è vero e cosa è rumore.

In breve:

• Il GDPR non vieta di arricchire lead da fonti pubbliche. Chiede una base giuridica (di norma legittimo interesse) e l’informativa entro un mese (art. 14).
• L’AI Act non sostituisce il GDPR: aggiunge obblighi sui sistemi di IA. Per l’arricchimento lead l’impatto è soprattutto documentale, non un divieto.
• “Dato pubblico su LinkedIn” ≠ “usabile senza limiti”. La pubblicità del dato non annulla i diritti dell’interessato.
• Chi espone è titolare del trattamento; il fornitore di enrichment è responsabile. Senza DPA firmato, il rischio è vostro.
• La leva di conformità reale è la tracciabilità: fonti, base giuridica, informativa, conservazione, dati in UE. L’automazione non è il problema; l’automazione non documentata sì.

Cosa dice davvero il GDPR sull’arricchimento da fonti pubbliche

Quando raccogliete un badge allo stand e poi il sistema recupera email aziendale, numero diretto e profilo LinkedIn da fonti pubbliche, state facendo un trattamento di dati personali. Il GDPR lo consente a tre condizioni pratiche:

1. Base giuridica. Per il B2B è quasi sempre il legittimo interesse (art. 6.1.f), non il consenso. Va però documentato con un balancing test (LIA): il vostro interesse commerciale vs i diritti del contatto.
2. Informativa. Quando i dati non li ricevete direttamente dall’interessato ma li “arricchite”, scatta l’art. 14: dovete informare la persona — di norma entro un mese, o al primo contatto utile. In pratica: il vostro primo follow-up è anche il momento dell’informativa.
3. Minimizzazione e conservazione. Arricchite solo ciò che serve al follow-up commerciale. Un profilo LinkedIn e un’email diretta sono pertinenti; lo scraping massivo di dati non pertinenti no.

Questo quadro è la parte “a valle” della raccolta. La parte “a monte” — il consenso al momento della cattura del badge — la trovate nel nostro pezzo dedicato: GDPR e lead in fiera.

Cosa aggiunge l’AI Act da agosto 2026 (e cosa no)

Qui va tolto un equivoco diffuso. L’AI Act non è una nuova legge sulla privacy. È una regolamentazione dei sistemi di intelligenza artificiale, basata sul rischio. Non riscrive le regole su chi può trattare quale dato — quelle restano nel GDPR.

Cosa cambia in concreto per un espositore che usa uno strumento di enrichment con IA:

• Trasparenza sui sistemi. Le milestone di applicazione lungo il 2026 (incluse quelle relative ai modelli general-purpose della Chapter V e l’impianto di enforcement) spingono verso la documentazione: quale IA gira dietro il vostro tool, con quali dati è stata addestrata, quali garanzie offre.
• Governance del fornitore. La domanda del vostro DPO non sarà più solo “dove stanno i dati”, ma anche “che sistema di IA li elabora e con quale logica”. Serve poterlo raccontare.
• Nessun divieto di arricchimento. Non esiste una norma dell’AI Act che dica “non puoi trovare l’email di un lead da fonti pubbliche”. Il divieto sui dati personali resta materia GDPR.

In sintesi: l’AI Act alza l’asticella della dimostrabilità. Non spegne l’arricchimento. Chi lavora con fornitori seri se ne accorge appena, perché la documentazione c’era già.

Quando NON dovreste arricchire

Siamo onesti, perché la conformità è anche sapere quando fermarsi:

• Contatti B2C mascherati da B2B. Un’email personale gmail di un privato non è un lead aziendale. Il legittimo interesse regge molto meno.
• Nessuna interazione reale allo stand. Arricchire una lista comprata o badge “strisciati” a caso non è follow-up: è marketing a freddo, e il balancing test si complica.
• Fornitore senza DPA né sede dati UE. Se non potete dire dove stanno i dati e chi li tratta, non caricate nulla. Il rischio è tutto vostro come titolari.

La checklist operativa prima della prossima fiera

1. Base giuridica scritta. Una LIA di una pagina per il follow-up B2B. Basta e avanza, ma deve esistere.
2. Informativa pronta. Un paragrafo art. 14 nel primo follow-up, con link alla privacy policy.
3. DPA firmato col fornitore. Fonti dichiarate, finalità, conservazione, sub-responsabili, sede dati. Il nostro modello è qui: DPA Linkly.
4. Dati in UE. Verificate l’infrastruttura. Un fornitore GDPR-compliant su cloud UE toglie metà delle domande del DPO.
5. Tracciabilità delle fonti. Se non sapete da dove viene un dato, non potete difenderlo.

Come lo gestisce Linkly

L’Enrichment Agent di Linkly lavora su 30+ fonti dati per recuperare email, telefono, LinkedIn e info aziendali, con infrastruttura UE GDPR compliant e DPA incluso nell’onboarding. Non è una scorciatoia legale: è enrichment governato, con fonti tracciate e dati in Europa. La responsabilità come titolare resta vostra — quello che cambia è che avete la documentazione per difenderla. Se volete capire il perimetro completo dei sei agenti, partite da cos’è Linkly.

L’AI Act non chiude la porta all’arricchimento. Chiede solo di poter mostrare come lo fate. Se già lavorate con fornitori seri, agosto 2026 è un adempimento documentale, non una frenata commerciale.

Prossimo passo: volete verificare se il vostro attuale processo di enrichment regge il balancing test e l’art. 14? Prenotate una demo e portiamo il vostro caso reale, non uno slide deck.