Scoring clienti: multa a Hera-EstEnergy per opacità e rischi

In sintesi

• Il Garante Privacy ha sanzionato Hera ed EstEnergy (provvedimento 483/2026) per uno scoring automatico opaco, usato per negare forniture.
• Il problema non è l’automazione in sé. È l’assenza di trasparenza su criteri, logica e diritto di accesso del cliente.
• Vale per qualsiasi scoring su lead o condizioni commerciali, non solo per il settore energia.
• Serve documentazione dei criteri, procedure tracciabili per le richieste di accesso, un referente umano per i reclami.

Cosa ha deciso il Garante Privacy

Hera ed EstEnergy usavano un sistema automatico di scoring per valutare l’affidabilità dei potenziali clienti. In base a quel punteggio, negavano l’attivazione delle forniture. Il Garante le ha sanzionate con il provvedimento 483/2026, contestando l’assenza di trasparenza su criteri e logica del punteggio, riscontri inadeguati alle richieste di accesso dei clienti ai propri dati e trattamenti ulteriori dei dati creditizi non dichiarati.

Non è una contestazione sull’uso dello scoring. È una contestazione sulla sua opacità. Chi usa oggi uno strumento che assegna un punteggio a un lead, a un potenziale cliente o a una pratica di fido, e quel punteggio incide su un’offerta, un prezzo o un rifiuto, si trova nello stesso perimetro di rischio di Hera. Energia, telco, finanza, immobiliare, ecommerce con credito al consumo: la logica sanzionatoria non cambia con il settore.

Il test è semplice da applicare a qualsiasi processo aziendale: ogni punto in cui un sistema automatico, un CRM, una piattaforma di credit scoring o un motore di prezzo dinamico influenza una decisione sul cliente andrebbe accompagnato dalla capacità di spiegare, in parole semplici, perché quella persona ha ricevuto quella risposta. Dove questa capacità manca, c’è un rischio concreto, non teorico.

Perché lo scoring automatico non è il problema

Lo scoring in sé è legittimo e diffuso da anni. Banche, assicurazioni, energia, ecommerce lo usano per velocizzare decisioni che altrimenti richiederebbero valutazioni manuali su migliaia di pratiche. Il Garante non ha contestato l’automazione. Ha contestato l’opacità che la circondava.

E qui bisogna dirlo senza girarci intorno: molte aziende trattano la trasparenza algoritmica come un adempimento accessorio, una carta da produrre se arriva un controllo. È una scommessa rischiosa, e il caso Hera dimostra che è una scommessa persa in partenza. Il Garante parla esplicitamente di “sistema automatizzato di scoring sull’affidabilità dei potenziali clienti” usato “per negare l’attivazione delle forniture”: la sanzione nasce proprio dal fatto che quel punteggio produceva un effetto concreto e irreversibile sul cliente, senza che quest’ultimo potesse capire perché. Non un dettaglio tecnico da sistemare in corsa, ma il primo requisito da cui si parte.

Questo tocca da vicino chi lavora nelle vendite, perché molti strumenti di intelligenza artificiale nei CRM oggi includono scoring predittivo dei lead, come abbiamo già raccontato parlando di scoring e call summary che cambiano la pipeline commerciale. La differenza tra un uso corretto e uno sanzionabile non sta nella tecnologia. Sta nella capacità di documentare criteri e logica, e di rispondere a chi chiede conto di una decisione che lo riguarda.

Chi usa un CRM con scoring integrato dovrebbe verificare se il fornitore mette a disposizione una documentazione dei criteri esportabile e comprensibile. Molti non lo fanno, e non è un caso: la trasparenza algoritmica costa tempo di sviluppo, e il mercato dei CRM ha premiato per anni la velocità del punteggio, non la sua spiegabilità. Se quella documentazione non c’è, il problema resta comunque di chi usa il sistema, non di chi lo ha costruito. La responsabilità verso il cliente non si trasferisce con la licenza software, per quanto comodo sarebbe pensarlo.

Documentare, rispondere, nominare un referente

Il punto di partenza è la documentazione: i criteri di scoring sono scritti da qualche parte, in modo che una persona non tecnica possa capirli? Non basta che il sistema funzioni. Serve poter riassumere in due righe perché un cliente ha ottenuto un certo punteggio o una certa condizione commerciale.

Da lì si passa alle richieste di accesso. Se un cliente chiede di vedere i propri dati o spiegazioni su una decisione, esiste una procedura e un tempo di risposta definiti? Il Garante ha contestato proprio i riscontri inadeguati alle richieste di accesso, non solo la logica di scoring in sé. Avere una procedura scritta, anche solo di due pagine, cambia la sostanza in caso di controllo. E cambia anche prima, perché costringe chi la scrive a chiedersi se quei criteri reggerebbero davvero a uno sguardo esterno.

Resta poi la domanda più scomoda: chi risponde quando un cliente contesta un rifiuto commerciale? Un sistema automatico ben progettato può gestire la prima risposta spiegando i criteri in modo tracciabile. Ma la valutazione del merito e la decisione finale restano responsabilità di una persona identificabile nell’organizzazione, vale anche per il telemarketing, come emerge dalla guida sulle priorità del Garante su telemarketing e consensi. La tracciabilità della logica non sostituisce mai la responsabilità umana sul risultato finale. Nominare per iscritto un referente interno per i reclami su decisioni automatizzate, anche informalmente, elimina uno dei rischi più sottovalutati: non riuscire a dimostrare chi doveva rispondere.

Il collegamento con l’AI Act

Un sistema di scoring che decide se offrire o negare un servizio a un cliente, in base a un profilo costruito sui suoi dati, può rientrare tra i sistemi ad alto rischio secondo il Regolamento (UE) 2024/1689, l’AI Act europeo. La qualificazione dipende dal caso concreto e non è automatica, ma è un controllo che chi usa questi strumenti dovrebbe fare prima, non dopo una sanzione.

Questo aggiunge un livello rispetto alla sola normativa privacy. Se il sistema rientra tra quelli ad alto rischio, scattano obblighi aggiuntivi di documentazione, supervisione umana e gestione del rischio, che vanno oltre la trasparenza già richiesta dal Garante. È un punto che molte aziende italiane sottovalutano: pensano di aver risolto il problema rispettando il GDPR, mentre l’AI Act impone un secondo livello di adempimenti che si attiva indipendentemente dal primo.

Per capire se un caso specifico rientra in questa categoria, la guida sulla classificazione del rischio AI Act aiuta a fare una prima valutazione. Utile anche distinguere se l’azienda agisce da fornitore o da utilizzatore del sistema, distinzione chiarita nella guida fornitore o deployer.

Chi usa uno scoring su clienti o lead con impatto su prezzo, credito o accesso al servizio farebbe bene a mettere in agenda una valutazione di classificazione del rischio prima che diventi oggetto di contestazione, non dopo.

Domande correlate

Cosa rischio se uso uno scoring automatico sui clienti?

Il rischio principale non è l’uso dello scoring, ma l’opacità sui criteri. Se non puoi spiegare la logica a un cliente che lo chiede, o non rispondi in modo adeguato alle richieste di accesso ai dati, il Garante può sanzionarti indipendentemente dal settore in cui operi.

Lo scoring nei CRM commerciali rientra in questa casistica?

Sì, se lo scoring influenza un’offerta, un prezzo o un rifiuto verso il cliente. Molti CRM moderni includono scoring predittivo dei lead: la criticità nasce quando quel punteggio diventa base di una decisione commerciale senza documentazione dei criteri.

Serve un umano per ogni decisione dello scoring?

Non per ogni singola decisione, ma serve un referente umano identificabile per gestire reclami e richieste di spiegazione. Un sistema automatico può fornire una prima risposta trasparente, ma la valutazione finale sul merito resta una responsabilità umana documentabile.

Questa multa riguarda solo il settore energia?

No. Il principio sulla trasparenza dello scoring si applica a qualsiasi settore che usi punteggi automatici su clienti per decisioni commerciali: finanza, assicurazioni, ecommerce con credito al consumo, immobiliare.

Fonti:

• Sistema automatizzato di scoring sull’affidabilità dei potenziali clienti usato per negare l’attivazione delle forniture (accesso ottobre 2026)
• Regolamento (UE) 2024/1689 - AI Act (accesso ottobre 2026)
• Garante per la Protezione dei Dati Personali (accesso ottobre 2026)