IT EN
Avvia una prova

Note operative Normativa

AI Act: che cosa deve fare un’azienda che usa l’AI, e non la produce

5 min di lettura

Se nella vostra azienda si usa ChatGPT per scrivere, Copilot nella posta o un gestionale con dentro una funzione di intelligenza artificiale, per l’AI Act siete un deployer: chi «utilizza un sistema di IA sotto la propria autorità». Non dovete certificare né marcare CE niente: sono compiti del fornitore. Ma se mettete il vostro nome su un sistema ad alto rischio, lo modificate in modo sostanziale o lo usate per uno scopo ad alto rischio che il fornitore non aveva previsto, il fornitore diventate voi (art. 25). Alcuni obblighi valgono già, altri arrivano il 2 dicembre 2027, e la legge italiana ne aggiunge due: uno sul lavoro e uno per i professionisti. Eccoli, in ordine di urgenza.

Già in vigore: tre obblighi

1. Le pratiche vietate, dal 2 febbraio 2025 (art. 5). Quella più vicina a un’azienda è l’uso di sistemi di AI per «inferire le emozioni di una persona fisica nell’ambito del luogo di lavoro»: è vietato, salvo motivi medici o di sicurezza. Le sanzioni arrivano a 35 milioni di euro o al 7% del fatturato mondiale annuo; per le PMI vale il più basso dei due importi (art. 99, paragrafi 3 e 6).

2. La formazione (art. 4). L’obbligo vale dal 2 febbraio 2025 e il Regolamento (UE) 2026/1744, in vigore dal 27 luglio 2026, lo ha riscritto: oggi fornitori e deployer «adottano misure volte a sostenere lo sviluppo dell’alfabetizzazione in materia di IA» del personale, e il testo precisa che l’obbligo non impone di garantire «un livello specifico» a nessuno. In pratica non serve un attestato: serve poter mostrare che cosa avete fatto, chi è stato formato, quando e su quali strumenti. Le regole da scrivere sono in Policy aziendale sull’IA: dal 2025 non è più una scelta, è un obbligo di legge.

3. La trasparenza (art. 50), dal 2 agosto 2026. Per chi usa l’AI i casi sono tre:

  • se pubblicate immagini, audio o video che sono un deep fake, dovete dire che sono generati o manipolati;
  • se pubblicate testi generati con l’AI «allo scopo di informare il pubblico su questioni di interesse pubblico», dovete dirlo, a meno che il testo sia passato da una revisione umana o da un controllo editoriale e una persona o un’azienda ne abbia la responsabilità editoriale;
  • se usate sistemi di riconoscimento delle emozioni o di categorizzazione biometrica, dovete informare le persone esposte.

Qui le sanzioni arrivano a 15 milioni di euro o al 3% del fatturato (art. 99, paragrafo 4), sempre con il più basso dei due per le PMI.

In Italia, dal 10 ottobre 2025: i lavoratori vanno informati

La legge 23 settembre 2025, n. 132, all’articolo 11 stabilisce che il datore di lavoro «è tenuto a informare il lavoratore dell’utilizzo dell’intelligenza artificiale», nei casi e nei modi dell’articolo 1-bis del decreto legislativo 152/1997. Quell’articolo riguarda i sistemi decisionali o di monitoraggio integralmente automatizzati che incidono su assunzione, gestione del rapporto, compiti, sorveglianza e valutazione: il lavoratore va informato su scopi, logica e funzionamento del sistema e sui dati che usa, e di ogni modifica per iscritto almeno 24 ore prima. L’articolo 13 aggiunge un obbligo per i professionisti: dire al cliente quali sistemi di AI usano, «con linguaggio chiaro, semplice ed esaustivo». Il quadro completo della legge è in La legge italiana sull’AI (132/2025).

Il 2 dicembre 2027: se l’AI decide sulle persone

L’allegato III dell’AI Act mette fra i sistemi ad alto rischio quelli usati «per l’assunzione o la selezione di persone fisiche», per decidere promozioni e cessazioni, per assegnare compiti in base al comportamento e per monitorare e valutare le prestazioni. Il Regolamento 2026/1744 ha spostato al 2 dicembre 2027 la data da cui valgono le regole per questi sistemi. Da quel giorno chi li usa deve, fra l’altro (art. 26):

  • usarli secondo le istruzioni del fornitore;
  • affidare la sorveglianza a persone con la competenza, la formazione e l’autorità necessarie;
  • controllare che i dati di input siano pertinenti, quando li controlla lui;
  • conservare i log per almeno sei mesi;
  • informare i lavoratori e i loro rappresentanti prima di metterli in uso sul luogo di lavoro.

Le date sono anche nel nostro calendario delle scadenze.

Come lo facciamo noi

Il primo passo di ogni deployer è sapere che cosa usa. Per i nostri progetti di AI teniamo un registro dei modelli: che cosa fa ciascuno, su quale macchina gira, con quale licenza e se permette l’uso commerciale, se è in uso, in prova o scartato, e perché. Nel registro del nostro progetto di lettura dei documenti, al 20 ottobre 2026, ci sono 18 modelli: 4 in uso, 1 in prova, 4 provati, 8 scartati e 1 ritirato. Gli scartati restano scritti, con il motivo: è la parte che serve quando qualcuno vi chiede perché avete scelto proprio quel sistema.

Vale anche per queste note. La norma esonera i testi rivisti da una persona sotto la responsabilità editoriale di qualcuno; noi la riga in fondo la mettiamo comunque.

Che cosa fare questo mese

  1. L’elenco degli strumenti di AI in uso, compresi quelli dentro i software che avete già: chi li usa e su quali dati.
  2. Per ciascuno, una domanda: decide o aiuta a decidere su persone, cioè candidati, dipendenti o clienti? Se sì, preparatevi al 2 dicembre 2027; e se è un sistema integralmente automatizzato che riguarda i lavoratori, l’informativa è dovuta già oggi.
  3. La traccia della formazione: date, persone, materiali.
  4. Una regola scritta per i testi e le immagini che pubblicate con l’aiuto dell’AI.

Se volete sapere dove cadono gli strumenti che usate già, il passo è uno: scriveteci quali sistemi di AI usate e su quali dati.

Scritto con l’aiuto dell’AI e verificato da CSIDIA.

Fonti