L’utilizzo di algoritmi e punteggi di rischio (credit scoring) per valutare l’affidabilità dei clienti non è più confinato all’ambito bancario o finanziario: oggi permea anche la fornitura di servizi essenziali come energia elettrica e gas.Con i provvedimenti “gemelli” del 3 luglio 2026, rispettivamente nei confronti di Hera Comm S.p.A. e EstEnergy S.p.A., il Garante per la protezione dei dati personali ha sanzionato due tra i principali operatori del settore energetico italiano, con multe complessive pari a 7,2 milioni di euro, affiancando alle sanzioni rivolte ai fornitori di energia quelle nei confronti dei soggetti coinvolti nella filiera tecnologica e informativa del sistema di credit check.I trattamenti sanzionati hanno riguardato oltre un milione di interessati.Le decisioni fissano paletti molto chiari sull’utilizzo della profilazione e dei processi decisionali automatizzati, recependo gli orientamenti della Corte di giustizia dell’Unione europea sul diritto di accesso nei sistemi di credit scoring.Il Garante coglie così l’occasione per delineare un vero e proprio modello di governance del credit scoring, che investe l’intero ciclo di vita dei dati utilizzati dall’algoritmo: dalla raccolta delle informazioni, alla loro conservazione, fino all’esercizio dei diritti degli interessati.Questa lettura sistemica rende i provvedimenti particolarmente rilevanti anche in prospettiva dell’entrata a regime dell’AI Act europeo.Indice degli argomenti