L'algoritmo dietro la piattaforma
Lo scenario che segue è ipotetico e non descrive un operatore reale.
È un martedì sera su una piattaforma di gioco a distanza autorizzata. In pochi minuti, l'infrastruttura elabora migliaia di eventi: accessi, ricariche, puntate, richieste di prelievo, messaggi all'assistenza. Un sistema confronta ogni transazione con il profilo storico del conto e segnala un prelievo insolito. Un altro rileva un aumento anomalo di tentativi di accesso falliti provenienti dalla stessa rete. Un terzo verifica in automatico un documento d'identità caricato da un nuovo cliente. Un quarto osserva che un giocatore ha aumentato in modo marcato la frequenza e l'importo delle ricariche nelle ultime settimane. Un assistente virtuale risponde a una domanda sui limiti di deposito.
Nelle presentazioni commerciali e nei titoli di giornale, tutto questo viene spesso riassunto con un'unica etichetta: intelligenza artificiale. Ma si tratta di sistemi diversi, con finalità, dati, metriche e rischi molto differenti. Alcuni sono semplici regole scritte da un analista. Altri sono modelli statistici addestrati su anni di dati. Altri ancora generano testo. Alcuni proteggono l'operatore, altri il giocatore, altri ancora servono soprattutto ad aumentare i ricavi.
Prima di chiedersi che cosa l'AI possa fare per il gioco online, conviene quindi chiarire che cosa si intende. In questo articolo:
l'intelligenza artificiale indica la categoria generale dei sistemi computazionali che svolgono compiti associati a capacità intelligenti, come classificare, prevedere o generare contenuti;
il machine learning comprende le tecniche che apprendono modelli statistici dai dati, invece di seguire istruzioni scritte esplicitamente;
i modelli predittivi stimano probabilità o risultati a partire da variabili osservate, per esempio la probabilità che una transazione sia fraudolenta;
i sistemi basati su regole applicano condizioni esplicite («se il prelievo supera una soglia e il conto è stato aperto da meno di sette giorni, segnala») e non richiedono necessariamente machine learning;
l'AI generativa produce contenuti, linguaggio o altre rappresentazioni, come le risposte di un chatbot;
l'automazione decisionale indica i processi in cui un software contribuisce a prendere o eseguire decisioni, con o senza intervento umano.
Questi termini non sono sinonimi, e confonderli porta a sopravvalutare alcuni sistemi e a sottovalutare i rischi di altri. La domanda di questa inchiesta è quindi più precisa: quali problemi risolve realmente l'intelligenza artificiale nel gioco online, con quali prove, e quali nuovi problemi crea?
Dove l'AI entra davvero nell'infrastruttura iGaming
Le applicazioni dei sistemi automatizzati nel gioco online si possono raggruppare in alcune grandi categorie. Non tutte richiedono machine learning, e non tutte sono ugualmente documentate.
Monitoraggio delle transazioni e antiriciclaggio. Gli operatori di gioco sono soggetti obbligati alla normativa antiriciclaggio — in Italia il decreto legislativo 231 del 2007 — e devono individuare e segnalare operazioni sospette. In questo ambito convivono da tempo regole e soglie esplicite con modelli statistici che cercano schemi più complessi, come cicli di deposito e prelievo con poca attività di gioco o reti di conti collegati. È uno degli usi più consolidati dell'analisi automatizzata, mutuato in larga parte dal settore finanziario.
Rilevamento delle anomalie e prevenzione delle frodi. Frodi nei pagamenti, abuso di promozioni, creazione di conti multipli, collusione nei giochi tra giocatori e manipolazione delle scommesse sono problemi reali per gli operatori. Qui il machine learning è spesso utile, perché i comportamenti fraudolenti cambiano e possono sfuggire a regole fisse.
Verifica dell'identità e sicurezza degli account. Il riconoscimento automatico dei documenti, i controlli di coerenza dei dati, l'analisi dei dispositivi e dei pattern di accesso aiutano a identificare clienti, proteggere i conti da accessi non autorizzati e impedire l'accesso ai minori e agli autoesclusi.
Assistenza automatizzata. Chatbot e assistenti virtuali, sempre più spesso basati su AI generativa, rispondono alle domande frequenti e smistano le richieste. Possono ridurre i tempi di risposta, ma introducono rischi di risposte errate su materie delicate come i limiti di gioco o i prelievi.
Analisi operativa. Previsione del carico dei server, individuazione di guasti, monitoraggio della sicurezza informatica: sono applicazioni poco visibili ma frequenti, con rischi per gli utenti relativamente contenuti.
Personalizzazione e marketing. Sistemi di raccomandazione e modelli di propensione stimano quali giochi o comunicazioni possano interessare a un utente. È l'ambito più controverso nel contesto del gioco d'azzardo.
Identificazione di possibili comportamenti a rischio. Modelli che analizzano i dati di gioco per individuare segnali associati a un possibile gioco problematico, così da attivare interventi di tutela.
Le evidenze disponibili non sono uniformi. Antifrode, antiriciclaggio e sicurezza degli account sono pratiche documentate e ampiamente diffuse nei servizi digitali regolamentati, anche se gli operatori raramente pubblicano dati sulle prestazioni dei propri sistemi. L'uso di modelli per il gioco responsabile è oggetto di ricerca accademica e di sperimentazioni industriali, ma con risultati valutati in modo ancora limitato. Molte affermazioni commerciali sul valore dell'AI nel settore, infine, non sono verificabili dall'esterno.
Va anche ricordato che non ogni problema richiede machine learning. Un limite di deposito, il blocco di un conto autoescluso o una soglia antiriciclaggio fissata per legge sono più adatti a regole esplicite, trasparenti e verificabili. Il machine learning offre vantaggi quando i segnali sono numerosi, le relazioni tra variabili sono complesse e i comportamenti cambiano nel tempo; in cambio, richiede dati di qualità, validazione e monitoraggio continui, ed è spesso meno facile da spiegare.
Frodi, anomalie e falsi positivi
Il rilevamento delle frodi mostra con chiarezza perché le prestazioni di un modello vanno lette con attenzione.
Gli approcci principali sono due. La classificazione supervisionata addestra un modello su esempi passati etichettati — transazioni riconosciute come fraudolente o legittime — per stimare la probabilità che un nuovo evento appartenga a una classe. L'anomaly detection, spesso non supervisionata, cerca invece eventi che si discostano dal comportamento abituale, senza bisogno di etichette; è utile per schemi nuovi, ma segnala anche molte anomalie innocue.
In entrambi i casi la qualità dipende in larga misura dal feature engineering, cioè dalla scelta e costruzione delle variabili che descrivono un evento: importo, orario, dispositivo, storia del conto, velocità delle operazioni, relazioni con altri conti. Dipende anche dalla qualità dei dati: etichette sbagliate, frodi non scoperte e quindi classificate come legittime, dati mancanti o incoerenti peggiorano l'addestramento e la valutazione.
Per misurare un classificatore servono più metriche. La precision indica quale quota degli eventi segnalati è davvero fraudolenta. La recall (o sensibilità) indica quale quota delle frodi reali viene individuata. Un falso positivo è un evento legittimo segnalato per errore; un falso negativo è una frode non individuata. I due errori hanno costi diversi: il primo può bloccare un cliente onesto e sovraccaricare gli analisti, il secondo lascia passare un danno.
Un esempio ipotetico
Si immagini una piattaforma che elabora 1.000.000 di transazioni, di cui lo 0,1% — cioè 1.000 — è fraudolento. Un modello ha una recall del 90% e una specificità del 99%: individua cioè il 90% delle frodi e classifica correttamente come legittimo il 99% delle transazioni legittime.
Frodi individuate (veri positivi): 90% di 1.000 = 900.
Frodi non individuate (falsi negativi): 100.
Transazioni legittime: 999.000; quelle segnalate per errore (falsi positivi) sono l'1% = 9.990.
Transazioni legittime correttamente non segnalate: 989.010.
L'accuratezza complessiva è (900 + 989.010) / 1.000.000 = 98,99%. Sembra eccellente. Ma le transazioni segnalate sono 900 + 9.990 = 10.890, e solo 900 di esse sono frodi: la precision è 900 / 10.890 ≈ 8,3%. Più di nove segnalazioni su dieci riguardano transazioni legittime.
Per contrasto, un "modello" che non segnala mai nulla avrebbe un'accuratezza del 99,9%, superiore a quella del modello reale, pur non individuando alcuna frode. Quando gli eventi da individuare sono rari, l'accuratezza complessiva è una metrica quasi priva di significato, e le prestazioni vanno valutate con precision, recall e costo operativo dei falsi allarmi. I numeri dell'esempio sono illustrativi; i valori reali dipendono dal sistema, dai dati e dalla soglia scelta.
La scelta della soglia di segnalazione sposta l'equilibrio tra falsi positivi e falsi negativi, ed è una decisione organizzativa oltre che tecnica: dipende da quante segnalazioni il personale può verificare, da quanto costa bloccare un cliente legittimo e da quanto costa una frode non individuata.
C'è infine il model drift. I comportamenti fraudolenti cambiano, anche in risposta ai controlli; cambiano i prodotti, i metodi di pagamento e la composizione della clientela. Un modello addestrato su dati passati può perdere efficacia senza che nessuno se ne accorga, se le sue prestazioni non vengono monitorate con regolarità su dati recenti e se le etichette — le frodi effettivamente confermate — non vengono aggiornate.
Identità digitale e sicurezza degli account
Nel gioco a distanza regolamentato, l'identificazione del cliente è un obbligo, non una scelta commerciale: serve a impedire l'accesso ai minori e ai soggetti autoesclusi, a contrastare il riciclaggio e a garantire che il conto di gioco sia intestato a una persona reale. L'automazione interviene in diversi punti.
La verifica documentale automatizzata estrae i dati dai documenti d'identità, controlla la coerenza dei campi e cerca segni di manipolazione. Il rilevamento di anomalie di accesso confronta ogni login con le abitudini del conto: dispositivo, posizione approssimativa, orario, velocità dei tentativi. Questi segnali aiutano a individuare il furto di credenziali e la creazione di conti multipli.
I sistemi biometrici, quando utilizzati, richiedono una distinzione importante. La verifica biometrica confronta, con il consenso della persona, un volto o un'impronta con un riferimento associato alla stessa identità dichiarata (un confronto «uno a uno»). L'identificazione biometrica cerca invece una persona all'interno di un archivio («uno a molti»). Si tratta di tecnologie con livelli di affidabilità, rischi e inquadramenti giuridici diversi: per il GDPR i dati biometrici trattati per identificare in modo univoco una persona rientrano tra le categorie particolari di dati, mentre l'AI Act distingue espressamente la verifica biometrica, esclusa dalla lista dei casi ad alto rischio, dall'identificazione biometrica a distanza. Le prestazioni dei sistemi di riconoscimento facciale, inoltre, possono variare tra gruppi demografici e condizioni di acquisizione.
Nessuno di questi sistemi è privo di errori. Un documento autentico può essere respinto perché fotografato male; un accesso legittimo da un nuovo dispositivo può essere bloccato; un documento contraffatto sofisticato può superare i controlli. Ogni errore di classificazione ha conseguenze per una persona reale: un cliente che non riesce ad accedere ai propri fondi, oppure un minore che riesce ad aprire un conto. Per questo l'automazione non elimina la necessità di procedure di revisione umana, di canali per contestare un esito e di controlli di qualità periodici. Più l'automazione accelera i processi, più diventa importante sapere come vengono gestite le eccezioni.
Il problema della personalizzazione
In molti settori digitali, la personalizzazione basata su modelli predittivi è considerata un servizio. Nel gioco d'azzardo la questione è più delicata, perché il prodotto comporta un rischio di danno per una parte dei consumatori, e gli strumenti che aumentano il coinvolgimento possono aumentare anche quel rischio.
È utile distinguere tra forme molto diverse di personalizzazione:
la personalizzazione dell'interfaccia adatta lingua, accessibilità o organizzazione dei menu;
l'assistenza contestuale offre informazioni pertinenti al momento giusto, per esempio ricordare l'esistenza dei limiti di deposito;
le raccomandazioni commerciali suggeriscono giochi o eventi;
la segmentazione degli utenti raggruppa i clienti in categorie per finalità operative o di marketing;
i modelli di propensione stimano la probabilità che un utente compia un'azione, come depositare, tornare a giocare o rispondere a un'offerta.
Le prime due forme possono servire anche la tutela del giocatore. Le ultime tre, quando sono ottimizzate per metriche commerciali come frequenza di gioco, depositi o ricavi per utente, sollevano un problema strutturale. Un algoritmo che massimizza efficacemente il coinvolgimento tende a concentrare le proprie azioni sugli utenti più reattivi, e la letteratura sul gioco d'azzardo indica che una quota rilevante dei ricavi proviene da una minoranza di giocatori ad alta intensità, tra cui una parte delle persone con gioco problematico. Un sistema che raggiunge l'obiettivo per cui è stato ottimizzato può quindi produrre esiti incompatibili con la tutela dei consumatori, senza che nessuno lo abbia progettato con quell'intenzione.
La normativa italiana limita già fortemente la comunicazione commerciale sul gioco con vincita in denaro, e il riordino del gioco a distanza attribuisce un ruolo centrale al gioco responsabile. Sul piano europeo, il GDPR riconosce il diritto di opporsi alla profilazione a fini di marketing diretto, e l'AI Act vieta dal febbraio 2025 i sistemi che sfruttano le vulnerabilità di una persona dovute, tra l'altro, alla sua situazione sociale o economica, in modo da distorcerne materialmente il comportamento e causare o poter causare un danno significativo. L'applicazione concreta di questo divieto ai sistemi di personalizzazione nel gioco dipende dai casi specifici e non è stata ancora chiarita da giurisprudenza consolidata. Ma il principio di fondo è chiaro: la capacità di un modello di aumentare una metrica commerciale non è, di per sé, un indicatore di qualità né di legittimità.
L'AI può contribuire al gioco responsabile?
Una delle applicazioni più discusse del machine learning nel settore è l'identificazione precoce di possibili comportamenti problematici. L'idea è che i dati di gioco contengano segnali utili: aumento della frequenza e dell'importo delle giocate, ricariche ripetute in tempi brevi, gioco notturno prolungato, annullamento di richieste di prelievo, tentativi di recuperare le perdite, cambiamenti improvvisi delle abitudini. La ricerca accademica ha mostrato che modelli basati su indicatori di questo tipo possono distinguere, con un'accuratezza variabile, tra gruppi di giocatori con profili di rischio diversi.
Occorre però essere precisi su che cosa questi modelli fanno. Producono una stima statistica del rischio basata su comportamenti osservabili su una piattaforma. Non producono una diagnosi clinica: il disturbo da gioco d'azzardo è una condizione definita da criteri clinici e valutata da professionisti sanitari. Un modello non può diagnosticare una dipendenza, e un punteggio di rischio elevato non equivale a una persona malata, così come un punteggio basso non esclude un problema.
Le metriche contano anche qui. La sensibilità indica quale quota dei giocatori a rischio viene individuata; la specificità indica quale quota dei giocatori non a rischio viene correttamente esclusa. Gli errori di classificazione hanno costi asimmetrici: i falsi negativi lasciano senza intervento persone che ne avrebbero bisogno, i falsi positivi espongono altri a interventi non necessari. Inoltre, i dati di una singola piattaforma sono parziali: chi gioca su più siti, o anche offline, mostra solo una parte del proprio comportamento.
Alcune questioni restano aperte. La validazione esterna — verificare che un modello funzioni su popolazioni, prodotti e periodi diversi da quelli su cui è stato sviluppato — è spesso limitata. Le etichette usate per addestrare i modelli, come l'autoesclusione o la chiusura volontaria del conto, sono indicatori imperfetti del gioco problematico. E i modelli sviluppati internamente dagli operatori raramente sono valutati da soggetti indipendenti.
Soprattutto, l'efficacia di un intervento va valutata separatamente dall'accuratezza del modello che lo attiva. Un allarme corretto non serve se è seguito da un messaggio generico che il giocatore ignora. Gli interventi umani — un contatto da parte di personale formato, la proposta di strumenti di autolimitazione, l'indicazione di servizi di supporto — e la valutazione degli esiti nel tempo sono ciò che determina se il sistema riduce davvero i danni. Su questo punto, le evidenze pubbliche sono ancora scarse. L'AI può contribuire al gioco responsabile, ma solo come parte di un processo progettato, verificato e governato con obiettivi di tutela, non come sostituto di quel processo.
I dati: la risorsa e il punto debole
Ogni sistema descritto finora dipende dai dati, e i problemi nei dati si propagano ai modelli in modi non sempre visibili.
I dati incompleti — eventi non registrati, campi mancanti, informazioni parziali sul comportamento dei clienti su altri canali — limitano ciò che un modello può apprendere. I bias possono derivare dal modo in cui i dati sono stati raccolti o etichettati: se in passato i controlli si sono concentrati su certi segmenti di clientela, il modello apprenderà che quei segmenti sono più a rischio, anche quando non lo sono. La rappresentatività è un problema concreto quando un modello viene addestrato su una piattaforma o un mercato e applicato a un altro.
La governance dei dati è anche un obbligo giuridico. Il principio di minimizzazione del GDPR impone di trattare solo i dati adeguati, pertinenti e limitati a quanto necessario per le finalità dichiarate; la conservazione deve essere limitata al tempo necessario, nel rispetto anche degli obblighi di conservazione previsti dalla normativa antiriciclaggio e di settore. L'accesso ai dati deve essere controllato e tracciato, la sicurezza garantita con misure adeguate al rischio, e i trasferimenti verso fornitori o paesi terzi devono rispettare le regole sul trasferimento internazionale dei dati.
Servono infine tracciabilità e monitoraggio delle prestazioni: sapere quali dati e quale versione di un modello hanno prodotto un certo risultato, e verificare nel tempo se le prestazioni restano adeguate. Un modello tecnicamente sofisticato addestrato su dati errati o non rappresentativi produce errori sofisticati — e spesso più difficili da individuare di quelli di una regola semplice.
GDPR, AI Act e regolamentazione del gioco
Il quadro normativo applicabile ai sistemi AI nel gioco online è composto da più livelli, che si sovrappongono e hanno tempi di applicazione diversi. A novembre 2026 la situazione si può riassumere così.
Protezione dei dati personali
Il GDPR è pienamente applicabile a qualunque trattamento di dati personali dei giocatori. Alcuni principi sono particolarmente rilevanti. La profilazione — ogni trattamento automatizzato che valuta aspetti personali, come comportamento, preferenze o affidabilità — richiede una base giuridica adeguata e il rispetto dei principi di trasparenza, minimizzazione e limitazione della finalità. Il diritto di opposizione consente all'interessato di opporsi in qualsiasi momento alla profilazione a fini di marketing diretto. L'articolo 22 stabilisce che una persona ha il diritto di non essere sottoposta a una decisione basata unicamente su un trattamento automatizzato che produca effetti giuridici o la incida in modo analogo significativamente, salvo eccezioni specifiche e con garanzie come il diritto di ottenere l'intervento umano e di contestare la decisione. La Corte di giustizia dell'Unione europea, nella sentenza SCHUFA del dicembre 2023, ha interpretato in modo ampio questa nozione, includendo un punteggio automatizzato che svolge un ruolo determinante nella decisione finale di un terzo. Per trattamenti che presentano rischi elevati, come la profilazione sistematica su larga scala, è richiesta una valutazione d'impatto sulla protezione dei dati. La trasparenza impone di informare gli interessati sull'esistenza di processi decisionali automatizzati e sulla logica utilizzata. La responsabilità del titolare del trattamento resta in capo all'operatore anche quando i sistemi sono forniti da terzi.
L'AI Act e il suo calendario
Il regolamento europeo sull'intelligenza artificiale (Regolamento UE 2024/1689) è entrato in vigore il 1° agosto 2024 con un'applicazione graduale, modificata nel 2026 dal cosiddetto Digital Omnibus sull'AI (Regolamento UE 2026/1744), pubblicato nella Gazzetta ufficiale dell'UE il 24 luglio 2026 e in vigore dal 27 luglio 2026.
Già applicabili dal 2 febbraio 2025: i divieti delle pratiche di AI considerate inaccettabili, tra cui le tecniche manipolative e lo sfruttamento delle vulnerabilità delle persone in modo da causare danni significativi, e gli obblighi di alfabetizzazione in materia di AI per fornitori e deployer.
Applicabili dal 2 agosto 2026: gli obblighi di trasparenza dell'articolo 50, tra cui l'obbligo di informare le persone che stanno interagendo con un sistema di AI, rilevante per chatbot e assistenti virtuali, salvo i casi in cui ciò sia evidente.
Differiti al 2 dicembre 2027: gli obblighi per i sistemi ad alto rischio elencati nell'allegato III, a seguito del Digital Omnibus.
È importante non classificare automaticamente come «ad alto rischio» ogni sistema AI utilizzato nell'iGaming. La classificazione dipende dalle finalità e dalle caratteristiche del sistema, secondo i criteri del regolamento. Il gioco d'azzardo, in quanto tale, non figura tra i settori elencati nell'allegato III. Alcuni sistemi usati dagli operatori potrebbero però rientrare in categorie dell'allegato — per esempio determinati sistemi biometrici — mentre altri, come la verifica biometrica uno a uno, ne sono esplicitamente esclusi. Per molti sistemi di personalizzazione o di analisi comportamentale, la questione giuridica più rilevante non è la classificazione ad alto rischio, ma il rispetto dei divieti dell'articolo 5 e del GDPR. Ogni valutazione richiede un'analisi caso per caso.
In Italia, la legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025, ha introdotto disposizioni nazionali in materia di intelligenza artificiale in coerenza con l'AI Act, designando le autorità nazionali competenti e conferendo deleghe al Governo per l'adeguamento della normativa.
La normativa sul gioco a distanza
Il decreto legislativo 25 marzo 2024, n. 41, ha riordinato il settore dei giochi a distanza. Il nuovo regime concessorio è operativo dal 13 novembre 2025, sotto la vigilanza dell'Agenzia delle Dogane e dei Monopoli, e il decreto pone tra i principi del settore la promozione del gioco responsabile e la tutela dei soggetti vulnerabili, con obblighi per i concessionari in materia di strumenti di autolimitazione, autoesclusione e informazione ai giocatori. A ciò si aggiungono gli obblighi antiriciclaggio previsti dal decreto legislativo 231/2007, e, sul piano europeo, il nuovo regolamento antiriciclaggio, che si applicherà dal luglio 2027 e include gli operatori di gioco tra i soggetti obbligati.
Requisiti legali e buone pratiche
Va distinto ciò che è obbligatorio da ciò che è raccomandabile. Sono obblighi di legge, per esempio, la base giuridica e la trasparenza dei trattamenti, le garanzie sulle decisioni automatizzate, i divieti dell'AI Act già applicabili e gli obblighi di settore e antiriciclaggio. Sono invece buone pratiche — talvolta richieste da standard volontari o da politiche interne — la validazione indipendente dei modelli, i test di equità, la documentazione dettagliata delle prestazioni e il monitoraggio sistematico del drift. Molte di queste buone pratiche diventeranno comunque necessarie, nella forma prevista dall'AI Act, per i sistemi che rientrano nell'alto rischio a partire da dicembre 2027.
Come valutare un sistema AI
Per un responsabile tecnologico o di compliance, la domanda utile non è se un sistema «usa l'AI», ma se è adatto allo scopo e governato in modo adeguato. Un quadro di valutazione professionale può partire da dieci domande.
Finalità: quale problema risolve il sistema, e a beneficio di chi — operatore, giocatore, autorità?
Qualità dei dati: i dati sono completi, rappresentativi, aggiornati e trattati in modo lecito?
Metriche di prestazione: quali metriche sono usate, e sono adatte a eventi rari e a costi di errore asimmetrici?
Tasso di errore: quanti falsi positivi e falsi negativi produce, e con quale impatto operativo?
Impatto sugli utenti: quali conseguenze hanno le decisioni sulle persone, e possono essere contestate?
Spiegabilità: è possibile spiegare, a un analista, a un giocatore o a un'autorità, perché il sistema ha prodotto un certo risultato?
Sicurezza: il sistema è protetto da manipolazioni, accessi non autorizzati e attacchi ai dati o al modello?
Supervisione umana: chi verifica le decisioni, con quali competenze, quali poteri e quanto tempo?
Conformità normativa: sono stati valutati GDPR, AI Act, normativa di settore e antiriciclaggio?
Monitoraggio continuo: come vengono rilevati drift, degradazione e effetti indesiderati nel tempo?
La tabella non attribuisce punteggi: i livelli di beneficio e di rischio dipendono dall'implementazione concreta, dai dati e dai controlli adottati.
Quando l'automazione peggiora il problema
L'automazione amplifica: rende più rapidi e più estesi sia i risultati corretti sia gli errori. Diversi rischi sistemici meritano attenzione.
Decisioni opache. Quando né l'operatore né il giocatore riescono a capire perché un conto è stato bloccato o un'offerta è stata proposta, diventa difficile correggere gli errori e rispondere alle autorità. Eccessiva fiducia nei modelli. Il cosiddetto automation bias porta gli operatori ad accettare acriticamente le indicazioni del sistema, trasformando una supervisione umana formale in una ratifica di fatto. Discriminazione algoritmica. Variabili apparentemente neutre possono funzionare come indicatori indiretti di caratteristiche protette, producendo trattamenti diversi per gruppi di persone. Errori ripetuti su larga scala. Un difetto in una regola o in un modello si replica su migliaia di casi prima di essere scoperto.
Dipendenza dai fornitori. Molti operatori utilizzano soluzioni di terzi; senza accesso alla documentazione, ai dati di validazione e alla possibilità di audit, la responsabilità resta all'operatore mentre il controllo effettivo è altrove. Mancanza di audit indipendenti rende difficile verificare le affermazioni commerciali sulle prestazioni. Cambiamenti nella distribuzione dei dati — nuovi prodotti, nuove normative, nuovi comportamenti degli utenti — possono degradare silenziosamente un modello. Vulnerabilità informatiche specifiche dei sistemi di machine learning, come la manipolazione dei dati di addestramento o input costruiti per eludere un classificatore, si aggiungono a quelle tradizionali.
Il rischio più profondo è però il conflitto tra obiettivi commerciali e tutela degli utenti. Lo stesso operatore può utilizzare un modello per individuare giocatori a rischio e un altro per massimizzare il coinvolgimento degli stessi giocatori. Se i due sistemi non sono governati in modo coerente, il secondo può annullare gli effetti del primo. Per questo l'efficienza operativa — meno costi, decisioni più rapide, più automazione — non è una misura sufficiente della qualità di un sistema: occorre chiedersi anche chi ne sopporta gli errori e quali obiettivi sta effettivamente ottimizzando.
Un'industria più automatizzata non è necessariamente più sicura
L'intelligenza artificiale ha applicazioni concrete e utili nel gioco online. Nel contrasto alle frodi e al riciclaggio, nella sicurezza degli account e nella verifica dell'identità, i sistemi basati sui dati possono migliorare processi che sarebbero difficili da gestire manualmente su larga scala. Nel gioco responsabile, i modelli predittivi possono aiutare a individuare segnali di rischio prima che diventino evidenti, a condizione che siano validati e collegati a interventi efficaci.
Ma ogni applicazione va valutata per ciò che è: con la propria finalità, i propri dati, le proprie metriche e i propri errori. Un sistema accurato può generare più falsi allarmi che segnalazioni utili. Un modello efficace nel massimizzare il coinvolgimento può essere incompatibile con la tutela dei consumatori. Un allarme di rischio non è una diagnosi, e un'automazione rapida non è necessariamente una decisione giusta.
Il quadro normativo europeo e italiano riflette questa complessità: il GDPR è già pienamente applicabile alla profilazione e alle decisioni automatizzate, i divieti dell'AI Act sono in vigore dal 2025, gli obblighi di trasparenza dal 2026 e quelli per i sistemi ad alto rischio dal dicembre 2027, mentre la normativa di settore pone il gioco responsabile tra i principi del nuovo regime concessorio.
L'automazione, in definitiva, non elimina le responsabilità degli operatori; le sposta e le rende più tecniche. La qualità dei risultati dipende dai dati, dagli obiettivi, dalle metriche e dalle procedure di controllo scelte da persone. Un'industria più automatizzata può diventare più sicura — ma solo se misura i propri sistemi in base agli effetti sulle persone, e non soltanto in base all'efficienza.