Si può registrare una conversazione senza consenso?

La risposta breve: dipende da dove si trovano tutte le persone coinvolte.

Negli Stati Uniti, la legge federale e 38 stati ti permettono di registrare una conversazione a cui partecipi senza avvisare nessun altro. 11 stati richiedono prima il consenso di tutti i partecipanti.

Nell'UE, il GDPR si applica nel momento stesso in cui una registrazione coinvolge una persona identificabile, il che significa che servono una base giuridica e un'informativa trasparente prima di premere rec, indipendentemente da dove si trovi il dispositivo di registrazione.

Sbaglia in una delle due giurisdizioni e ti ritrovi davanti a cause civili o sanzioni regolamentari che crescono in proporzione al fatturato dell'azienda.

Chi deve davvero dare il consenso: tu o tutti i partecipanti alla call?

Gli Stati Uniti e l'UE partono da presupposti opposti, e devi conoscerli entrambi se partecipi a call internazionali o lavori con colleghi europei.

Stati a consenso di una sola parte

Il riferimento federale di base è fissato dall'Electronic Communications Privacy Act (18 U.S.C. § 2511): se sei un partecipante a una conversazione, puoi registrarla dando il consenso a tuo nome. Non è richiesto alcun preavviso a nessun altro.

Questo è il consenso di una sola parte, e si applica in 38 stati più il Distretto di Columbia.

Stati a consenso di tutte le parti e stati con regole differenziate

11 stati americani si spingono oltre. In California, Delaware, Florida, Illinois, Maryland, Massachusetts, Montana, Nevada, New Hampshire, Pennsylvania e Washington, ogni partecipante deve sapere che la registrazione è in corso e acconsentirvi prima che inizi.

Questi sono gli stati a consenso di tutte le parti, e le sanzioni non sono di natura amministrativa. La registrazione non autorizzata in Florida è un reato grave di terzo grado. Le intercettazioni in Illinois, ai sensi dell'Illinois Eavesdropping Act, comportano il rischio di un'imputazione per reato grave di Classe 4. Maryland e Massachusetts prevedono entrambi pene fino a cinque anni di reclusione.

Alcuni stati si collocano al di fuori di entrambe le categorie. L'Oregon applica il consenso di una sola parte per le telefonate, ma richiede che tutti i partecipanti vengano espressamente informati prima di registrare conversazioni di persona.

L'Oregon richiede la notifica, non l'accordo. Il Connecticut applica il consenso di una sola parte per la responsabilità penale relativa alle conversazioni di persona, ma impone una responsabilità civile per la registrazione di telefonate senza il consenso di tutte le parti. La legge del Michigan è formulata come consenso di tutte le parti, ma i tribunali applicano costantemente un'eccezione per chi partecipa.

Il quadro normativo dell'UE: il GDPR come regola predefinita

Ai sensi del GDPR, la registrazione di una conversazione che coinvolge un residente dell'UE è un trattamento di dati personali dal momento in cui inizia.

Questo significa che ti serve una base giuridica ai sensi dell'Articolo 6 prima di iniziare. Ai sensi del GDPR, il consenso deve essere libero, specifico, informato e inequivocabile, il che esclude qualsiasi consenso implicito o retroattivo.

I professionisti e i datori di lavoro dell'UE che registrano abitualmente riunioni con partecipanti europei operano sotto questo livello normativo, che si somma a qualsiasi legge nazionale sulle intercettazioni eventualmente applicabile. Devono essere in grado di dimostrare la conformità ai principi di trattamento di cui all'Articolo 5.

I ricercatori che conducono interviste devono soddisfare requisiti aggiuntivi rispetto a questi: protocolli IRB, standard di sicurezza dei dati e, in alcune giurisdizioni, specifiche approvazioni da parte di comitati etici.

Tu sei in Texas. Loro sono in California. Quale legge si applica?

Le call interstatali e transfrontaliere sono il terreno su cui molti professionisti si espongono a responsabilità senza saperlo.

Non esiste alcuna norma federale che stabilisca in modo definitivo quale legge statale regoli una registrazione quando i partecipanti si trovano in stati diversi. I tribunali non concordano sul fatto che ciò che conta sia la posizione di chi registra, quella dell'altro partecipante o entrambe.

In pratica, il consenso tra i professionisti del diritto è di applicare la legge più restrittiva che potrebbe plausibilmente valere. Se qualcuno durante una call si trova in California, Florida, Illinois, Pennsylvania o in un altro stato a consenso di tutte le parti, tratta l'intera call come soggetta al consenso di tutte le parti, a prescindere da dove sei seduto tu.

La regola pratica per le call interstatali

Comunica all'inizio di ogni call che è in corso una registrazione. Indica chi sta registrando e quale strumento sta catturando l'audio.

Dai ai partecipanti una reale possibilità di abbandonare prima che inizi la discussione vera e propria.

Restare in linea dopo quella comunicazione soddisfa i requisiti di consenso implicito negli stati americani e va in parte incontro all'obbligo di trasparenza del GDPR, anche se per i partecipanti dell'UE avrai comunque bisogno di una base giuridica documentata.

Si può registrare una conversazione al lavoro senza dirlo a nessuno?

La registrazione sul posto di lavoro si trova all'incrocio di tre quadri normativi che raramente si allineano: la legge statale sulle intercettazioni, la legge federale sul lavoro ai sensi del NLRA e (per i luoghi di lavoro con sede nell'UE o i team da remoto con dipendenti europei) il GDPR.

Se sei il dipendente

Negli stati americani a consenso di una sola parte, registrare le proprie conversazioni sul lavoro è generalmente lecito se vi partecipi.

Ma il tuo datore di lavoro può comunque sanzionarti in base a una policy aziendale sulle registrazioni, anche se la registrazione in sé era legale. Una registrazione legale e una conforme alle policy non sono la stessa cosa.

Negli stati a consenso di tutte le parti, registrare una riunione con il tuo responsabile a sua insaputa può costituire un reato grave, a prescindere dal motivo per cui lo fai.

Nell'UE e nel Regno Unito, l'asticella per un dipendente che registra di nascosto una conversazione sul lavoro è molto più alta. La registrazione occulta senza una base giuridica violerebbe con ogni probabilità il principio fondamentale di trasparenza del GDPR e potrebbe ledere il dovere implicito di riservatezza nel rapporto di lavoro.

Se sei il datore di lavoro

Negli stati americani a consenso di una sola parte, i datori di lavoro possono registrare le conversazioni sul lavoro dandone preavviso: una clausola nel regolamento aziendale, un cartello affisso o una notifica diretta prima dell'avvio del programma.

Negli stati a consenso di tutte le parti, i datori di lavoro non possono imporre la registrazione AI delle riunioni dei dipendenti senza ottenere il consenso di ogni partecipante prima di ciascuna sessione.

Una policy generale di divieto di registrazione è ammissibile, ma non può comprendere le registrazioni che i dipendenti hanno il diritto di effettuare ai sensi della Sezione 7 del NLRA, che tutela l'attività concertata relativa a retribuzioni o all'organizzazione sindacale.

Nell'UE, registrare le riunioni dei dipendenti richiede una base giuridica documentata ai sensi del GDPR e un'informativa trasparente nell'informativa sulla privacy dei dipendenti. In molti Stati membri può inoltre rendere necessaria la consultazione del comitato aziendale prima di implementare qualsiasi programma di registrazione.

Un meeting bot nell'elenco dei partecipanti vale come consenso?

Questa è la domanda su cui il sistema giudiziario sta attualmente lavorando, e il consenso che sta emergendo è: no.

Perché la visibilità del bot non equivale al consenso

Quando un AI Notetaker entra in una call e compare nell'elenco dei partecipanti, potresti dare per scontato che tutti i presenti siano consapevoli che la registrazione è in corso. Gli analisti legali e i primi procedimenti giudiziari hanno respinto questa logica.

Il caso di prova più chiaro è In re Otter.AI Privacy Litigation, una class action federale consolidata nel Distretto Settentrionale della California. Riunisce quattro cause depositate tra agosto e settembre 2025, a partire da Brewer v. Otter.ai Inc. (No. 5:25-cv-06911).

L'attore Justin Brewer non era un utente di Otter. La sua call di vendita è stata registrata perché un altro partecipante aveva OtterPilot in funzione. La denuncia contesta violazioni dell'ECPA e dell'Invasion of Privacy Act della California (CIPA). Un'udienza sulla mozione di archiviazione è fissata per il 15 luglio 2026.

Un caso a parte, Cruz v. Fireflies.AI Corp. (No. 3:25-cv-03399, C.D. Ill., depositato il 18 dicembre 2025), verte sul Biometric Information Privacy Act (BIPA) dell'Illinois: Fireflies avrebbe raccolto impronte vocali da non utenti che non avevano mai dato il consenso.

Entrambi i casi rimandano alla stessa questione da angolazioni legali diverse: le configurazioni predefinite di questi strumenti AI per prendere appunti non offrono ai partecipanti non utenti alcuna via concreta per dare il consenso prima che inizi la registrazione.

Come si presenta un consenso adeguato per la registrazione con l'AI

Prima della call: avvisa i partecipanti nell'invito alla riunione che sarà attivo uno strumento di registrazione AI. Indica il nome dello strumento, specifica cosa cattura e spiega come verrà utilizzata e conservata la registrazione.

All'inizio della call: comunica verbalmente, a registrazione avviata, che la registrazione è in corso. Negli stati a consenso di tutte le parti, ottieni il consenso verbale affermativo di ciascun partecipante prima che inizi la discussione vera e propria. Nelle giurisdizioni soggette al GDPR, quell'informativa deve coprire anche l'identità del titolare del trattamento, la finalità del trattamento, la base giuridica e il periodo di conservazione. Documenta chi ha dato il consenso e quando.

Cosa succede se sbagli?

Federale (USA): Fino a cinque anni di reclusione ai sensi del Wiretap Act (18 U.S.C. § 2511). Risarcimenti civili ai sensi del § 2520, con danni previsti per legge tra 10.000 $ per violazione o 100 $ al giorno, a seconda di quale importo sia maggiore, oltre alle spese legali e ai danni punitivi. La parte registrata non deve dimostrare un danno effettivo per ottenere il risarcimento.

Statale (USA):

• Florida: Reato grave di terzo grado, punibile con la reclusione fino a cinque anni
• Illinois: Reato grave di Classe 4
• Maryland e Massachusetts: Fino a cinque anni di reclusione
• California: Sanzioni civili di 5.000 $ per violazione ai sensi del CIPA (Cal. Penal Code § 637.2), oltre a possibili imputazioni per reati minori

Anche negli stati a consenso di una sola parte, una registrazione ottenuta legalmente ma usata per molestare o ricattare qualcuno genera una responsabilità civile e penale a sé stante.

UE/GDPR: Sanzioni fino a 20 milioni di € o al 4% del fatturato annuo globale per le violazioni gravi. Gli interessati possono inoltre richiedere il risarcimento dei danni civili per il disagio e la perdita di controllo sui propri dati personali. Germania e Francia impongono sanzioni penali in base alla normativa nazionale sulle intercettazioni, oltre al GDPR.

Quando è legale registrare senza dirlo a nessuno?

Negli Stati Uniti

Negli stati americani a consenso di una sola parte, registrare le proprie conversazioni senza avvisare gli altri partecipanti è legale, purché tu ne sia parte. Non puoi registrare una conversazione privata a cui non partecipi. Questo è illegale ai sensi della legge federale in ogni stato.

Il consenso implicito copre molti casi nella pratica. Un avviso «questa chiamata potrebbe essere registrata» all'inizio di una call soddisfa la maggior parte dei requisiti degli stati a consenso di tutte le parti se l'altra parte resta in linea. Le aziende lo usano in ogni chiamata di assistenza clienti proprio per questo motivo.

Il giornalismo e le registrazioni di interesse pubblico godono di eccezioni circoscritte in alcune giurisdizioni. Registrare un funzionario pubblico in un contesto pubblico è stato riconosciuto lecito in alcuni tribunali, ma queste eccezioni dipendono dai fatti specifici e non sono una difesa affidabile su cui costruire un flusso di lavoro. Le forze dell'ordine possono registrare con un mandato emesso dal giudice ai sensi delle leggi federali e statali sulle intercettazioni.

Nell'UE

La base del legittimo interesse ai sensi dell'Articolo 6(1)(f) del GDPR può teoricamente giustificare la registrazione senza consenso esplicito, ma il test di bilanciamento è esigente: il legittimo interesse deve essere reale, necessario e proporzionato, e non deve prevalere sulla ragionevole aspettativa di privacy dell'interessato.

La registrazione occulta da parte di privati cittadini non supera quasi mai quel test.

La posizione giuridica più chiara in qualsiasi giurisdizione è una documentazione che attesti che hai comunicato la registrazione e che l'altra parte ha avuto una reale possibilità di opporsi prima che iniziasse. Se questa documentazione esiste, sei in una posizione difendibile su entrambe le sponde dell'Atlantico.

Quindi, qual è il modo più sicuro per registrare le conversazioni?

La prassi di registrazione più sicura è la stessa in qualsiasi giurisdizione: comunica prima di registrare, dai all'altra parte una reale possibilità di opporsi e documenta che la comunicazione è avvenuta. Negli stati americani a consenso di una sola parte è una scelta, non un obbligo di legge. Negli stati a consenso di tutte le parti e nell'UE, è il minimo indispensabile.