Adeguamento AI Act: quali obblighi ha la vostra impresa?
Mappiamo i sistemi di intelligenza artificiale utilizzati, individuiamo il ruolo giuridico dell’impresa e distinguiamo gli obblighi effettivamente applicabili dagli adempimenti non necessari. Definiamo quindi documenti, responsabilità e priorità operative.
Gli obblighi non sono uguali per tutte le imprese
Un assistente AI impiegato per redigere una bozza o eseguire una ricerca non pone gli stessi problemi di un software che filtra le candidature, valuta i dipendenti, assegna i turni o concorre a determinare l’accesso al credito. L’AI Act (Regolamento UE 2024/1689) differenzia gli obblighi in base alla finalità e al contesto di utilizzo del sistema, al livello di rischio e al ruolo assunto dall’impresa.
La verifica parte almeno da quattro elementi: la finalità perseguita dal sistema, i dati utilizzati, i soggetti nei confronti dei quali può produrre effetti e il ruolo concretamente assunto dall’impresa. Occorre inoltre accertare chi prende la decisione finale e quale peso abbia il risultato prodotto dal sistema. Da questa analisi discende il perimetro degli adempimenti applicabili.
Anche il calendario richiede attenzione. Il Regolamento (UE) 2026/1744 ha differito al 2027 e al 2028 l’applicazione di una parte degli obblighi europei relativi ai sistemi ad alto rischio. Tale differimento non sospende, tuttavia, le discipline già vigenti.
Quando il sistema incide su candidati o dipendenti possono rilevare, secondo il caso, lo Statuto dei lavoratori e la normativa antidiscriminatoria; quando vengono trattati dati personali trova applicazione il GDPR, che impone la valutazione d’impatto sulla protezione dei dati — la DPIA dell’art. 35 — ogni volta che il trattamento può presentare un rischio elevato per i diritti e le libertà delle persone fisiche. Queste discipline operano già oggi, quando ne ricorrono i rispettivi presupposti, indipendentemente dal calendario dell’AI Act.
Dal 2 agosto 2026 è inoltre applicabile la parte principale dell’AI Act, compresi gli obblighi di trasparenza dell’articolo 50, ferme le specifiche disposizioni transitorie.
Il calendario dell’AI Act
- 2 febbraio 2025: misure di alfabetizzazione in materia di IA e pratiche vietate già applicabili
- 2 agosto 2026: applicazione generale e obblighi di trasparenza
- 2 dicembre 2026: nuove pratiche vietate e termine transitorio per la marcatura dei contenuti sintetici
- 2 dicembre 2027: obblighi per i sistemi ad alto rischio dell’Allegato III
- 2 agosto 2028: obblighi per i sistemi ad alto rischio dell’Allegato I
Il differimento riguarda principalmente il regime europeo dei sistemi ad alto rischio. Restano già applicabili l’articolo 4, le pratiche vietate già in vigore, gli obblighi di trasparenza dell’articolo 50 e, quando ne ricorrono i presupposti, le discipline in materia di lavoro e protezione dei dati personali, ferme le specifiche regole transitorie.
Dall’analisi dei sistemi alla documentazione
L’attività si articola in quattro fasi. Le misure vengono definite dopo la qualificazione dei sistemi e sulla base dei processi effettivamente in uso.
Mappatura dei sistemi
Rileviamo i sistemi adottati dall’impresa e quelli utilizzati dalle singole funzioni, compresi quelli già integrati negli applicativi esistenti. Per ciascun impiego ricostruiamo finalità, dati trattati, risultati prodotti, persone interessate e modalità di assunzione della decisione finale.
Qualificazione giuridica
Determiniamo il ruolo giuridico dell’impresa e le disposizioni applicabili a ciascun impiego: pratiche vietate, misure di alfabetizzazione, obblighi di trasparenza, eventuale classificazione ad alto rischio ed eventuali esclusioni. La qualificazione dipende dal funzionamento concreto del sistema, non dalla sua denominazione commerciale.
Verifica coordinata
Quando il sistema incide sul personale, sul merito creditizio o sulla valutazione del rischio assicurativo, l’AI Act deve essere coordinato con la disciplina del lavoro, la normativa sulla protezione dei dati personali e le regole di settore. La verifica comprende anche i rapporti con il fornitore e la ripartizione delle responsabilità.
Documentazione e presidio
Predisponiamo soltanto le misure necessarie all’esito della verifica: mappatura o registro dei sistemi, istruzioni interne, informative, clausole contrattuali, misure di sorveglianza umana e, ove dovute, la valutazione d’impatto sulla protezione dei dati (DPIA) e quella sui diritti fondamentali (FRIA). Su richiesta, il presidio può proseguire con un incarico periodico di aggiornamento.
Il perimetro degli obblighi
La verifica individua e motiva gli adempimenti applicabili all’impresa, distinguendoli da quelli non necessari.
Su questa base predisponiamo soltanto le misure e i documenti coerenti con gli obblighi effettivamente accertati.
Richiedete una verifica preliminareGli obblighi di trasparenza sono già applicabili
Dal 2 agosto 2026 gli obblighi di trasparenza dell’articolo 50 sono applicabili, ma non gravano tutti sullo stesso soggetto.
Fornitore del sistema
Il fornitore deve informare le persone quando interagiscono direttamente con un sistema di IA, salvo che la natura artificiale dell’interlocutore risulti evidente. Deve inoltre rendere rilevabili e marcare in formato leggibile dalla macchina i contenuti sintetici generati o manipolati dal sistema, nei casi previsti.
Impresa utilizzatrice
All’impresa utilizzatrice — il deployer — spettano, nei casi previsti, la dichiarazione dei deepfake e di determinati testi pubblicati per informare il pubblico su questioni di interesse pubblico. Deve inoltre informare le persone esposte a sistemi di riconoscimento delle emozioni o di categorizzazione biometrica, quando tali impieghi siano consentiti.
Il 20 luglio 2026 la Commissione europea ha pubblicato le linee guida sull’articolo 50, che si affiancano al codice di buone pratiche sui contenuti generati dall’IA. I documenti chiariscono la ripartizione degli obblighi, la nozione di deepfake e il ruolo della revisione umana. Per i testi destinati a informare il pubblico su questioni di interesse pubblico non basta una correzione ortografica o grammaticale: occorrono un esame sostanziale del contenuto e una responsabilità editoriale.
L’obbligo di marcatura posto sul fornitore non si applica ai sistemi che svolgono esclusivamente funzioni di assistenza standard alla redazione o che non modificano in modo sostanziale i dati di input o il loro significato. Un’impresa che sviluppa o fa sviluppare un sistema e lo immette sul mercato o lo utilizza con il proprio nome o marchio può, invece, assumere il ruolo e gli obblighi del fornitore.
Approfondite gli obblighi di trasparenza dell’articolo 50Le regole già applicabili
- Misure a sostegno dell’alfabetizzazione in materia di IA del personale e delle altre persone che utilizzano i sistemi per conto dell’impresa (art. 4)
- Pratiche vietate già applicabili (art. 5)
- Obblighi di trasparenza per determinati sistemi e contenuti generati o manipolati (art. 50)
- Statuto dei lavoratori e obblighi informativi sull’impiego di sistemi automatizzati
- Protezione dei dati personali nei processi che utilizzano sistemi di IA, compresa la valutazione d’impatto (DPIA) quando il trattamento può presentare un rischio elevato
Queste discipline devono essere considerate già oggi, quando ne ricorrono i rispettivi presupposti. Il differimento al 2027 e al 2028 riguarda invece una parte degli obblighi relativi ai sistemi ad alto rischio.
Una valutazione coordinata tra discipline diverse
Il Regolamento europeo è soltanto uno dei livelli da considerare. Nei processi aziendali, l’intelligenza artificiale può incidere contemporaneamente sui rapporti di lavoro, sul trattamento dei dati personali, sui contratti con i fornitori e sulle decisioni che riguardano clienti o utenti.
Per questo l’attività parte dall’impiego concreto del sistema, non da un modello documentale predefinito. Prima individuiamo le norme applicabili; quindi definiamo gli adempimenti, i documenti e le eventuali attività di aggiornamento.
Casi e approfondimenti recenti
DPIA e FRIA: quale valutazione d’impatto deve fare l’impresa che usa l’intelligenza artificiale
DPIA e FRIA non sono la stessa cosa. Quando la valutazione d’impatto è obbligatoria per chi usa l’intelligenza artificiale, e…
Leggi tutto
Intelligenza artificiale, arriva il reato di omesse misure di sicurezza: che cosa rischiano imprese e amministratori
Il CdM del 4 agosto 2026 ha approvato i decreti sull’AI Act: nuovo art. 437-bis c.p., responsabilità dell’ente e prova…
Leggi tutto
Digital Omnibus e AI Act: che cosa cambia per imprese e sistemi ad alto rischio
Il Reg. UE 2026/1744 rinvia l’alto rischio al 2027 e al 2028, ma trasparenza e pratiche vietate restano. Le decorrenze…
Leggi tuttoQuello che le imprese ci chiedono
Utilizziamo soltanto assistenti come ChatGPT o Copilot. Dobbiamo comunque adeguarci?
Il solo impiego di questi assistenti non comporta, di regola, un adeguamento complessivo. Richiede comunque misure proporzionate: occorre stabilire chi possa utilizzarli, quali dati possano essere inseriti e come debbano essere verificati i risultati prodotti.
Se il sistema non viene impiegato in processi decisionali o in altri contesti sensibili, l’intervento può restare circoscritto alle istruzioni d’uso, alla protezione delle informazioni e alle misure di alfabetizzazione adeguate al contesto.
Siamo utilizzatori o fornitori? Come si stabilisce?
Di regola, l’impresa che utilizza professionalmente un sistema di IA sotto la propria autorità assume il ruolo di utilizzatore. Può invece assumere il ruolo di fornitore quando sviluppa o fa sviluppare il sistema e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio.
Il ruolo può mutare anche nei casi previsti dal Regolamento in seguito a modifiche sostanziali o a cambiamenti della finalità del sistema. La qualificazione dipende quindi dall’impiego concreto e non soltanto dalla denominazione attribuita alle parti nel contratto con il fornitore tecnologico.
L’alfabetizzazione richiede un corso con attestato?
No. L’art. 4 dell’AI Act, nel testo oggi vigente, richiede misure volte a sostenere lo sviluppo dell’alfabetizzazione del personale e delle altre persone che utilizzano sistemi di IA per conto dell’impresa, tenendo conto delle conoscenze, dell’esperienza, della formazione e del contesto d’uso.
La norma precisa espressamente che l’obbligo non impone di garantire un livello specifico di alfabetizzazione per alcuna persona, e non prescrive corsi, attestati o registri. A seconda dell’impiego possono essere adeguate istruzioni operative, regole interne, momenti di confronto o una formazione strutturata.
Quali obblighi sono già applicabili e quali entreranno in vigore successivamente?
Dal 2 febbraio 2025 si applicano le misure di alfabetizzazione dell’art. 4 e il divieto delle pratiche vietate. Dal 2 agosto 2026 il Regolamento è in applicazione generale e sono applicabili gli obblighi di trasparenza dell’art. 50.
Dal 2 dicembre 2026 si applicheranno i nuovi divieti introdotti dal Regolamento 2026/1744 e scadrà l’adeguamento dei sistemi generativi già sul mercato agli obblighi di marcatura. Gli obblighi sui sistemi ad alto rischio dell’Allegato III si applicheranno dal 2 dicembre 2027; quelli sui sistemi collegati ai prodotti dell’Allegato I dal 2 agosto 2028. Restano ferme le specifiche regole transitorie per i sistemi già in uso.
Utilizziamo un software per la selezione del personale. Possiamo attendere il 2027?
No, non senza una verifica preventiva. Il differimento al 2 dicembre 2027 riguarda gli obblighi del Regolamento sui sistemi ad alto rischio, non le discipline italiane già vigenti.
Quando un sistema seleziona candidature, valuta i lavoratori, assegna compiti o consente forme di controllo sull’attività, devono essere verificati lo Statuto dei lavoratori, gli obblighi informativi relativi ai sistemi automatizzati e la disciplina sulla protezione dei dati personali. Si tratta di profili da esaminare già nella fase di adozione e configurazione dello strumento.
Quali documenti deve predisporre l’impresa?
Non esiste un unico fascicolo obbligatorio per tutte le imprese. I documenti dipendono dal ruolo assunto, dalle caratteristiche del sistema e dal contesto nel quale viene utilizzato.
In base all’esito della verifica possono risultare necessari o opportuni un inventario interno dei sistemi, istruzioni per il personale, documentazione delle misure di alfabetizzazione, informative, clausole contrattuali, misure di sorveglianza umana e la valutazione d’impatto sulla protezione dei dati (DPIA) o, nei casi previsti, la valutazione d’impatto sui diritti fondamentali (FRIA).
L’analisi si conclude con l’indicazione motivata degli adempimenti applicabili e di quelli non necessari.
Come sono determinati i compensi?
Il compenso viene definito per iscritto sulla base del perimetro dell’attività, prima del conferimento dell’incarico. Il primo confronto serve a delimitare il perimetro: soltanto all’esito è possibile indicare quali attività occorrano e a quale costo.
Richiedi una valutazione
Indicate in quale processo il sistema viene impiegato, quale risultato produce e chi assume la decisione finale. Non occorre conoscerne la classificazione giuridica.
- Il primo confronto non comporta il conferimento di alcun incarico
- Perimetro, attività e compenso definiti per iscritto prima di procedere
- Assistenza in tutta Italia