---
title: "Policy aziendale sull’IA: dal 2025 non è più una scelta, è un obbligo di legge"
description: "Dipendenti che incollano dati riservati in chatbot gratuiti, fuori controllo IT: AI Act, segreto industriale e GDPR rendono la policy sull’IA obbligatoria."
url: https://csidia.com/note-operative/policy-ai-aziendale-obbligo-di-legge/
lang: it
date: 2026-07-23
label: "Normativa"
publisher: CSIDIA S.r.l. (https://csidia.com/)
english: https://csidia.com/en/notes/policy-ai-aziendale-obbligo-di-legge/
---

# Policy aziendale sull’IA: dal 2025 non è più una scelta, è un obbligo di legge

> **Aggiornamento (28 luglio 2026)** — Il Regolamento (UE) 2026/1744, in vigore dal 27 luglio, ha **sostituito** l’art. 4 dell’AI Act: l’obbligo resta e la data resta il 2 febbraio 2025, ma da obbligo di risultato («garantire un livello sufficiente») diventa obbligo di mezzi («adottare misure volte a sostenere lo sviluppo»). La sezione qui sotto è aggiornata al testo vigente; le conclusioni operative non cambiano.

Lunedì mattina, ufficio commerciale di una PMI manifatturiera. Il responsabile vendite deve chiudere un’offerta complessa entro l’ora di pranzo: apre ChatGPT sul proprio account personale — lo stesso che usa la sera per altro — e incolla il listino riservato, due clausole di un contratto quadro, i dati del cliente per personalizzare il preventivo. Funziona: l’offerta esce in dieci minuti invece che in due ore. Nessuno in IT lo sa, e nessuno lo saprà finché non succede qualcosa. Nella stanza accanto un tecnico incolla codice proprietario per farselo correggere; in HR qualcuno carica venti CV per uno screening veloce. Non è un problema di dipendenti indisciplinati: è un’azienda che non ha mai scritto una riga su cosa si può fare con l’IA — e che, senza saperlo, ha già smesso di essere in regola.

## L’obbligo che quasi nessuno rispetta

Dal **2 febbraio 2025** si applica l’art. 4 del Regolamento (UE) 2024/1689 (AI Act), per effetto dell’art. 113, terzo comma, lett. a). Riguarda fornitori e **deployer** di sistemi di IA: ogni azienda che li usa, non solo chi li produce.

Il **27 luglio 2026**, con l’entrata in vigore del Regolamento (UE) 2026/1744 — l’Omnibus IA — quell’articolo è stato **sostituito** (art. 1, punto 5). Non è stato abrogato: è cambiato di natura. Il testo vigente dice che fornitori e deployer «adottano misure volte a sostenere lo sviluppo dell’alfabetizzazione in materia di IA del loro personale nonché di qualsiasi altra persona che si occupa del funzionamento e dell’utilizzo dei sistemi di IA per loro conto, prendendo in considerazione le loro conoscenze tecniche, la loro esperienza, istruzione e formazione, nonché il contesto in cui i sistemi di IA devono essere utilizzati, e tenendo conto delle persone o dei gruppi di persone su cui i sistemi di IA devono essere utilizzati». E aggiunge una frase che prima non c’era: «Tale obbligo non impone ai fornitori o ai deployer di garantire un livello specifico di alfabetizzazione in materia di IA per alcuna persona».

La differenza non è cosmetica. Prima bisognava «garantire, nella misura del possibile, un livello sufficiente» di alfabetizzazione: un obbligo di risultato, misurato su un metro — «sufficiente» — che nessuno aveva mai definito. Adesso bisogna **adottare misure** che ne sostengano lo sviluppo: un obbligo di mezzi. Il considerando 8 dell’Omnibus lo motiva apertamente: obblighi rigorosi «non sarebbero adatti a tutti i tipi di fornitori e deployer» e creano «un onere aggiuntivo in termini di conformità, in particolare per le imprese più piccole». I nuovi paragrafi 2 e 3 aggiungono l’impalcatura di sostegno: Commissione e Stati membri agevolano l’adempimento, in particolare per le PMI, e la Commissione pubblica esempi pratici sulla piattaforma unica di informazione; il consiglio per l’IA adotta raccomandazioni con obiettivi comuni.

Che cosa cambia per un’azienda che non ha fatto nulla: **niente**. L’obbligo di attivarsi resta, e la data resta il 2 febbraio 2025 — l’Omnibus ha riscritto la lett. a) dell’art. 113 senza toccarla. Cambia che cosa vi si può contestare: non di non aver raggiunto un livello, ma di non aver adottato misure. È una soglia più bassa e più facile da documentare, e proprio per questo non averla superata pesa di più.

L’art. 4 non ha una fascia sanzionatoria propria nell’art. 99, e l’Omnibus non gliel’ha data: l’unica lettera nuova del paragrafo 4 riguarda gli obblighi dell’art. 25. Siamo lontani dalle pratiche vietate (fino a 35 milioni di euro o, per le imprese, il 7% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore) e dalla violazione degli obblighi su alto rischio e trasparenza (15 milioni o il 3%, se superiore). Ma non è un obbligo senza conseguenze: è la prova che manca ogni volta che un incidente più serio finisce sotto la lente di un’autorità — un dato personale esposto, un segreto svelato, una pratica vietata scoperta per caso. Nessuna policy, nessun registro di formazione: in un accertamento, è un’aggravante che si scrive da sola.

## Il segreto industriale che evapora

Per molte imprese italiane il rischio più concreto non è la sanzione AI Act: è perdere la tutela legale su ciò che le rende competitive. La Direttiva (UE) 2016/943 e il D.Lgs. 63/2018, che ha riscritto gli artt. 98-99 del Codice della Proprietà Industriale, proteggono il segreto commerciale a tre condizioni cumulative: che l’informazione sia segreta, che abbia valore economico proprio in quanto tale, e che il titolare l’abbia sottoposta a **misure ragionevolmente adeguate a mantenerla segreta**. È la terza condizione che una policy sull’IA costruisce — e che la sua assenza demolisce. Un listino, un capitolato, un algoritmo di produzione incollato in un chatbot pubblico, senza un divieto scritto, è la prova migliore che quelle misure «ragionevolmente adeguate» non esistevano. Se il segreto finisce da un concorrente, il giudice non guarda le intenzioni: guarda se l’azienda aveva fatto ciò che la legge le chiedeva. Senza policy, la tutela del segreto industriale evapora proprio nel momento in cui servirebbe.

## GDPR: il trattamento che nessuno ha autorizzato

Quando nel listino o nel contratto ci sono dati di persone fisiche — un contatto cliente, un candidato, un collega citato in un verbale — scatta il GDPR. Gli artt. 5, par. 2 (accountability), 24 (responsabilizzazione del titolare) e 32 (sicurezza del trattamento) impongono all’azienda di dimostrare, non solo dichiarare, che il trattamento è sotto controllo. Un dipendente che incolla un dato personale in un servizio consumer non autorizzato produce un trattamento che il titolare non conosce né governa: è, per definizione, fuori dal perimetro dell’art. 24. Se quel dato finisce esposto, la mancata notifica è già stata sanzionata: fu uno dei quattro rilievi che nel 2024 sono costati a OpenAI [15 milioni di euro di multa del Garante](https://csidia.com/note-operative/garante-openai-multa-15-milioni), dopo il data breach di ChatGPT del marzo 2023 — lo stesso obbligo di notifica in 72 ore (artt. 33-34 GDPR) è impossibile da rispettare se l’incidente non si vede nemmeno. Il Garante ha mostrato identica attenzione sui dati dei lavoratori, bloccando [un plug-in che leggeva lo stress dei dipendenti dalle chat aziendali](https://csidia.com/note-operative/garante-sentiment-analysis-lavoratori), e sui fornitori esteri meno trasparenti, bloccando DeepSeek a gennaio 2025 [per le stesse lacune già viste su ChatGPT](https://csidia.com/note-operative/modelli-cinesi-open-source-in-azienda): la stessa cautela vale, a maggior ragione, quando è il dipendente a spingere da solo i dati fuori dal perimetro.

## Come lo verifichiamo noi

Sapere che l’obbligo esiste dal 2025 non produce da solo la policy, né il registro che ne è la prova. Con la **Governance dei sistemi AI** censiamo gli strumenti già in uso, dichiarati e non — compresi quelli integrati nei gestionali — stabiliamo per ciascuno se siete fornitore o deployer, e scriviamo con voi la policy: cosa è ammesso per classe di dato, cosa è vietato, come si chiede uno strumento nuovo. Sul caso di questo articolo: costruiamo il registro della formazione — date, presenti, materiali — che oggi è l’unica prova che un accertamento sull’art. 4 può verificare davvero, e lo teniamo aggiornato a ogni nuova assunzione.

[Vedi il servizio](https://csidia.com/soluzioni/governance-ai) · [Parlane con un tecnico](https://csidia.com/contatti)

## L’aggancio NIS2, per chi è nel perimetro

Chi rientra nel perimetro NIS2 (D.Lgs. 138/2024) ha un motivo in più per non rinviare. L’art. 23 chiede agli organi di amministrazione di approvare le misure di gestione del rischio informatico, sorvegliarne l’attuazione e seguire essi stessi una formazione adeguata, estendendola al personale. Un uso incontrollato dell’IA — account personali, dati aziendali su server terzi mai qualificati — è esso stesso un rischio di cibersicurezza non gestito: la policy sull’IA è una delle misure che [la NIS2 già chiede](https://csidia.com/note-operative/nis2-aziende-settori-critici) a chi è dentro il perimetro.

## Cosa deve contenere la policy, adesso

1. **Una mappa strumenti per classe di dato**: cosa è ammesso (testi pubblici, riformulazioni) e cosa è vietato nei servizi non approvati — sempre: dati personali di clienti e colleghi, segreti industriali, codice proprietario, contratti.
2. **Divieti scritti, non sottintesi**: la policy va firmata, datata, comunicata — non una mail dimenticata nella casella di un responsabile.
3. **Formazione documentata**: registri di presenza, materiali, date. Dopo l’Omnibus conta ancora di più, perché è esattamente la prova che l’art. 4 adesso richiede — misure adottate, non un livello raggiunto — ed è l’unica cosa che un’ispezione può verificare davvero.
4. **Un’alternativa approvata**: il punto che decide se la policy regge o viene aggirata. Una policy fatta solo di divieti perde, perché i dipendenti l’IA la vogliono usare comunque — vietare senza offrire uno strumento sicuro sposta l’uso sul telefono personale, [esattamente come lo shadow AI insegna](https://csidia.com/note-operative/shadow-ai-governare-non-vietare).
5. **Audit periodico**: verificare che ciò che è scritto corrisponda a ciò che accade davvero, non una tantum all’adozione della policy.

## Fonti

- [Regolamento (UE) 2026/1744 (Omnibus IA), art. 1, punto 5 — testo vigente dell’art. 4, e punto 40 sull’art. 113 (EUR-Lex, CELEX 32026R1744)](https://publications.europa.eu/resource/celex/32026R1744)
- [Regolamento (UE) 2024/1689 (AI Act), art. 4 — alfabetizzazione in materia di IA (EUR-Lex)](https://eur-lex.europa.eu/eli/reg/2024/1689/oj)
- [D.Lgs. 11 maggio 2018, n. 63 — attuazione della direttiva (UE) 2016/943 sui segreti commerciali, artt. 98-99 CPI (Normattiva)](https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:decreto.legislativo:2018-05-11;63)
- [Regolamento (UE) 2016/679 (GDPR), artt. 5, 24, 32 — testo ufficiale (EUR-Lex)](https://eur-lex.europa.eu/eli/reg/2016/679/oj)
- [D.Lgs. 4 settembre 2024, n. 138 — recepimento NIS2, art. 23 (Normattiva)](https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:decreto.legislativo:2024-09-04;138)

Nota di CSIDIA S.r.l. (Vignola, MO): https://csidia.com/note-operative/policy-ai-aziendale-obbligo-di-legge/ · Chi siamo e che cosa facciamo: https://csidia.com/in-breve/ · engagement@csidia.com