---
title: "AI Act: che cosa deve fare un’azienda che usa l’AI, e non la produce"
description: "ChatGPT, Copilot, un gestionale con l’AI: per l’AI Act siete «deployer». Che cosa vale già, che cosa arriva il 2 dicembre 2027, che cosa aggiunge l’Italia."
url: https://csidia.com/note-operative/ai-act-azienda-che-usa-ai-cosa-deve-fare/
lang: it
date: 2026-10-21
label: "Normativa"
publisher: CSIDIA S.r.l. (https://csidia.com/)
---

# AI Act: che cosa deve fare un’azienda che usa l’AI, e non la produce

Se nella vostra azienda si usa ChatGPT per scrivere, Copilot nella posta o un gestionale con dentro una funzione di intelligenza artificiale, per l’AI Act siete un *deployer*: chi «utilizza un sistema di IA sotto la propria autorità». Non dovete certificare né marcare CE niente: sono compiti del fornitore. Ma se mettete il vostro nome su un sistema ad alto rischio, lo modificate in modo sostanziale o lo usate per uno scopo ad alto rischio che il fornitore non aveva previsto, il fornitore diventate voi (art. 25). Alcuni obblighi valgono già, altri arrivano il 2 dicembre 2027, e la legge italiana ne aggiunge due: uno sul lavoro e uno per i professionisti. Eccoli, in ordine di urgenza.

## Già in vigore: tre obblighi

**1. Le pratiche vietate**, dal 2 febbraio 2025 (art. 5). Quella più vicina a un’azienda è l’uso di sistemi di AI per «inferire le emozioni di una persona fisica nell’ambito del luogo di lavoro»: è vietato, salvo motivi medici o di sicurezza. Le sanzioni arrivano a 35 milioni di euro o al 7% del fatturato mondiale annuo; per le PMI vale il più basso dei due importi (art. 99, paragrafi 3 e 6).

**2. La formazione** (art. 4). L’obbligo vale dal 2 febbraio 2025 e il Regolamento (UE) 2026/1744, in vigore dal 27 luglio 2026, lo ha riscritto: oggi fornitori e deployer «adottano misure volte a sostenere lo sviluppo dell’alfabetizzazione in materia di IA» del personale, e il testo precisa che l’obbligo non impone di garantire «un livello specifico» a nessuno. In pratica non serve un attestato: serve poter mostrare che cosa avete fatto, chi è stato formato, quando e su quali strumenti. Le regole da scrivere sono in [Policy aziendale sull’IA: dal 2025 non è più una scelta, è un obbligo di legge](https://csidia.com/note-operative/policy-ai-aziendale-obbligo-di-legge).

**3. La trasparenza** (art. 50), dal 2 agosto 2026. Per chi usa l’AI i casi sono tre:
- se pubblicate immagini, audio o video che sono un *deep fake*, dovete dire che sono generati o manipolati;
- se pubblicate testi generati con l’AI «allo scopo di informare il pubblico su questioni di interesse pubblico», dovete dirlo, a meno che il testo sia passato da una revisione umana o da un controllo editoriale e una persona o un’azienda ne abbia la responsabilità editoriale;
- se usate sistemi di riconoscimento delle emozioni o di categorizzazione biometrica, dovete informare le persone esposte.

Qui le sanzioni arrivano a 15 milioni di euro o al 3% del fatturato (art. 99, paragrafo 4), sempre con il più basso dei due per le PMI.

## In Italia, dal 10 ottobre 2025: i lavoratori vanno informati

La legge 23 settembre 2025, n. 132, all’articolo 11 stabilisce che il datore di lavoro «è tenuto a informare il lavoratore dell’utilizzo dell’intelligenza artificiale», nei casi e nei modi dell’articolo 1-bis del decreto legislativo 152/1997. Quell’articolo riguarda i sistemi decisionali o di monitoraggio integralmente automatizzati che incidono su assunzione, gestione del rapporto, compiti, sorveglianza e valutazione: il lavoratore va informato su scopi, logica e funzionamento del sistema e sui dati che usa, e di ogni modifica per iscritto almeno 24 ore prima. L’articolo 13 aggiunge un obbligo per i professionisti: dire al cliente quali sistemi di AI usano, «con linguaggio chiaro, semplice ed esaustivo». Il quadro completo della legge è in [La legge italiana sull’AI (132/2025)](https://csidia.com/note-operative/legge-italiana-ai-132-2025).

## Il 2 dicembre 2027: se l’AI decide sulle persone

L’allegato III dell’AI Act mette fra i sistemi ad alto rischio quelli usati «per l’assunzione o la selezione di persone fisiche», per decidere promozioni e cessazioni, per assegnare compiti in base al comportamento e per monitorare e valutare le prestazioni. Il Regolamento 2026/1744 ha spostato al 2 dicembre 2027 la data da cui valgono le regole per questi sistemi. Da quel giorno chi li usa deve, fra l’altro (art. 26):
- usarli secondo le istruzioni del fornitore;
- affidare la sorveglianza a persone con la competenza, la formazione e l’autorità necessarie;
- controllare che i dati di input siano pertinenti, quando li controlla lui;
- conservare i log per almeno sei mesi;
- informare i lavoratori e i loro rappresentanti prima di metterli in uso sul luogo di lavoro.

Le date sono anche nel nostro [calendario delle scadenze](https://csidia.com/strumenti/scadenze-conformita).

## Come lo facciamo noi

Il primo passo di ogni deployer è sapere che cosa usa. Per i nostri progetti di AI teniamo un registro dei modelli: che cosa fa ciascuno, su quale macchina gira, con quale licenza e se permette l’uso commerciale, se è in uso, in prova o scartato, e perché. Nel registro del nostro progetto di lettura dei documenti, al 20 ottobre 2026, ci sono 18 modelli: 4 in uso, 1 in prova, 4 provati, 8 scartati e 1 ritirato. Gli scartati restano scritti, con il motivo: è la parte che serve quando qualcuno vi chiede perché avete scelto proprio quel sistema.

Vale anche per queste note. La norma esonera i testi rivisti da una persona sotto la responsabilità editoriale di qualcuno; noi la riga in fondo la mettiamo comunque.

## Che cosa fare questo mese

1. L’elenco degli strumenti di AI in uso, compresi quelli dentro i software che avete già: chi li usa e su quali dati.
2. Per ciascuno, una domanda: decide o aiuta a decidere su persone, cioè candidati, dipendenti o clienti? Se sì, preparatevi al 2 dicembre 2027; e se è un sistema integralmente automatizzato che riguarda i lavoratori, l’informativa è dovuta già oggi.
3. La traccia della formazione: date, persone, materiali.
4. Una regola scritta per i testi e le immagini che pubblicate con l’aiuto dell’AI.

Se volete sapere dove cadono gli strumenti che usate già, il passo è uno: [scriveteci quali sistemi di AI usate e su quali dati](https://csidia.com/contatti).

*Scritto con l’aiuto dell’AI e verificato da CSIDIA.*

## Fonti

- [Regolamento (UE) 2024/1689 (AI Act), artt. 3, 4, 5, 26, 50, 99 e allegato III (EUR-Lex)](https://eur-lex.europa.eu/eli/reg/2024/1689/oj)
- [Regolamento (UE) 2026/1744, art. 1, punti 5 (nuovo art. 4) e 40 (nuove date dell’art. 113) (EUR-Lex)](https://eur-lex.europa.eu/eli/reg/2026/1744/oj)
- [Legge 23 settembre 2025, n. 132, art. 11: AI e lavoro, con il testo dell’art. 1-bis del d.lgs. 152/1997 (Normattiva)](https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:legge:2025-09-23;132~art11!vig=)
- [Legge 23 settembre 2025, n. 132, art. 13: professioni intellettuali (Normattiva)](https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:legge:2025-09-23;132~art13!vig=)

Nota di CSIDIA S.r.l. (Vignola, MO): https://csidia.com/note-operative/ai-act-azienda-che-usa-ai-cosa-deve-fare/ · Chi siamo e che cosa facciamo: https://csidia.com/in-breve/ · engagement@csidia.com