IA e il regolamento europeo sull'IA: Cosa devono sapere i professionisti

Il Regolamento europeo sull'intelligenza artificiale, noto come AI Act, rappresenta il primo quadro normativo organico al mondo dedicato all'intelligenza artificiale. Non si tratta di un documento teorico o di una dichiarazione di intenti: è una legge vincolante, approvata dal Parlamento Europeo nel marzo 2024, pubblicata nella Gazzetta Ufficiale dell'Unione Europea nel luglio 2024 e progressivamente entrata in vigore a partire dal febbraio 2025. Le sue disposizioni principali sono pienamente operative dal 2 agosto 2026, e riguardano direttamente qualsiasi azienda, ente pubblico o professionista che sviluppi, distribuisca o utilizzi sistemi di intelligenza artificiale all'interno dell'Unione Europea.

Per i professionisti italiani, comprendere l'AI Act non è più facoltativo. Che si lavori nel marketing, nella gestione delle risorse umane, nella finanza, nella sanità o nella pubblica amministrazione, le probabilità di interagire quotidianamente con sistemi di IA sono ormai altissime. Ogni volta che si utilizza un chatbot per il servizio clienti, un sistema automatizzato di screening curricula, un algoritmo di credit scoring o un tool di IA generativa per la creazione di contenuti, si sta operando all'interno del perimetro normativo dell'AI Act.

Questa guida è pensata per offrire una comprensione concreta e operativa del regolamento. Nessun linguaggio giuridico inaccessibile, nessuna astrazione: solo ciò che serve sapere per lavorare con l'IA in modo conforme, consapevole e produttivo. Chi vuole approfondire le applicazioni pratiche dell'intelligenza artificiale nel contesto lavorativo può iniziare dal nostro corso IA gratuito, che copre i fondamenti in sole due ore.

Cos'è l'AI Act e perché è stato creato

L'AI Act nasce dalla consapevolezza che l'intelligenza artificiale, pur offrendo enormi opportunità economiche e sociali, può comportare rischi significativi per i diritti fondamentali dei cittadini europei. La Commissione Europea ha avviato il percorso legislativo già nel 2021, con una proposta che ha attraversato tre anni di negoziati intensi tra Parlamento, Consiglio e Commissione prima di raggiungere la forma definitiva.

L'obiettivo dichiarato è duplice: da un lato, promuovere l'innovazione e la competitività europea nel campo dell'IA; dall'altro, garantire che i sistemi di intelligenza artificiale rispettino i valori fondamentali dell'UE, in particolare la protezione dei diritti umani, la trasparenza, la non discriminazione e la sicurezza. È un equilibrio delicato, e il regolamento tenta di raggiungerlo attraverso un approccio basato sul rischio anziché imporre un divieto generalizzato o una regolamentazione uniforme per tutti i sistemi di IA.

Per le aziende italiane, l'AI Act si inserisce in un contesto normativo già articolato. L'Italia ha il GDPR (che qui utilizziamo con l'abbreviazione inglese, come è prassi consolidata nel settore), il Codice della Privacy aggiornato dal D.Lgs. 101/2018, e una serie di linee guida settoriali emanate dal Garante per la protezione dei dati personali. L'AI Act non sostituisce queste normative ma si affianca ad esse, creando un ulteriore livello di obblighi specifici per i sistemi di intelligenza artificiale.

La cronologia dell'AI Act: date chiave per i professionisti

Comprendere la tempistica è essenziale per pianificare la conformità. L'AI Act non è entrato in vigore tutto in una volta, ma segue un calendario progressivo che le aziende devono conoscere nel dettaglio:

1 agosto 2024: Pubblicazione nella Gazzetta Ufficiale dell'UE ed entrata in vigore formale del regolamento.
2 febbraio 2025: Divieto immediato dei sistemi di IA a rischio inaccettabile. Da questa data, sono già vietati i sistemi di social scoring, la manipolazione subliminale attraverso l'IA, lo sfruttamento di vulnerabilità di gruppi specifici e il riconoscimento facciale in tempo reale negli spazi pubblici (con eccezioni limitate per le forze dell'ordine).
2 agosto 2025: Applicazione delle regole sui modelli di IA per finalità generali (GPAI), inclusi gli obblighi di trasparenza per i modelli come GPT-4, Claude, Gemini e simili.
2 agosto 2026: Piena applicabilità delle regole sui sistemi di IA ad alto rischio. Questa è la data più rilevante per la maggior parte delle aziende, perché riguarda i sistemi utilizzati in settori come risorse umane, istruzione, sanità, finanza e infrastrutture critiche.
2 agosto 2027: Applicazione degli obblighi per i sistemi ad alto rischio già regolamentati da specifiche normative di settore (dispositivi medici, macchinari, trasporti).

Per un professionista italiano nel 2026, questo significa che il periodo di transizione è essenzialmente terminato. I sistemi a rischio inaccettabile sono già vietati, le regole sui modelli generativi sono operative, e le disposizioni sui sistemi ad alto rischio stanno entrando in vigore proprio ora. Non c'è più tempo per rimandare la preparazione.

Le quattro categorie di rischio: il cuore del regolamento

L'architrave dell'AI Act è il sistema di classificazione basato sul rischio. Ogni sistema di intelligenza artificiale viene inquadrato in una di quattro categorie, e le conseguenze normative cambiano radicalmente a seconda della classificazione. Questa struttura piramidale è ciò che distingue l'approccio europeo da quello di altre giurisdizioni e ciò che i professionisti devono comprendere a fondo.

Rischio inaccettabile: i sistemi vietati

Al vertice della piramide si trovano i sistemi di IA considerati incompatibili con i valori fondamentali dell'Unione Europea. Questi sistemi sono semplicemente vietati, senza eccezioni per le aziende private. L'elenco include:

Social scoring: Sistemi che classificano le persone sulla base del loro comportamento sociale o delle loro caratteristiche personali, assegnando punteggi che determinano trattamenti discriminatori. Se un'azienda italiana stesse sviluppando un sistema che valuta l'affidabilità dei clienti sulla base della loro attività sui social media, questo rientrerebbe nel divieto.
Manipolazione subliminale: Tecniche di IA che sfruttano meccanismi al di sotto della soglia di consapevolezza delle persone per influenzarne il comportamento in modo potenzialmente dannoso. Questo riguarda, ad esempio, sistemi di marketing che utilizzano l'IA per identificare e sfruttare vulnerabilità emotive dei consumatori.
Sfruttamento di vulnerabilità: Sistemi progettati per sfruttare specifiche vulnerabilità legate a età, disabilità o condizione socioeconomica. Un chatbot di vendita programmato per fare pressione specificamente su persone anziane con tecniche di persuasione aggressive basate sull'IA sarebbe vietato.
Riconoscimento biometrico in tempo reale: L'uso di sistemi di identificazione biometrica remota in tempo reale negli spazi pubblici è vietato, con eccezioni molto circoscritte per le forze dell'ordine (ricerca di vittime di rapimento, prevenzione di minacce terroristiche specifiche, individuazione di sospetti per reati gravi), soggette comunque ad autorizzazione giudiziaria preventiva.
Categorizzazione biometrica: Sistemi che classificano le persone in base a caratteristiche sensibili come etnia, orientamento politico, orientamento sessuale o convinzioni religiose attraverso dati biometrici.
Scraping massivo non mirato: La raccolta indiscriminata di immagini facciali da Internet o da filmati di sorveglianza per creare database di riconoscimento facciale.
Inferenza emotiva sul posto di lavoro e nelle scuole: Sistemi che deducono le emozioni dei lavoratori o degli studenti, salvo che per motivi medici o di sicurezza.

Per le aziende italiane, il messaggio è chiaro: qualsiasi progetto di IA che si avvicini a queste aree deve essere immediatamente rivalutato e, se necessario, interrotto. Il divieto è già in vigore dal febbraio 2025.

Rischio alto: obblighi stringenti ma uso consentito

Questa è la categoria che riguarda il maggior numero di aziende italiane, ed è quella che richiede la preparazione più attenta. I sistemi di IA ad alto rischio non sono vietati, ma sono soggetti a un regime normativo rigoroso che include valutazione della conformità, documentazione tecnica, sorveglianza umana e monitoraggio continuo.

L'AI Act identifica i sistemi ad alto rischio in due modi. Il primo riguarda i sistemi di IA utilizzati come componenti di sicurezza di prodotti già regolamentati da specifiche normative UE: dispositivi medici, macchinari, giocattoli, ascensori, veicoli, apparecchiature radio. Il secondo, più rilevante per la maggior parte dei professionisti, riguarda i sistemi di IA utilizzati in otto aree specifiche:

Identificazione biometrica e categorizzazione: Sistemi di identificazione biometrica remota non in tempo reale (ad esempio, analisi ex post di filmati di sicurezza).
Gestione e funzionamento di infrastrutture critiche: Sistemi di IA utilizzati nella gestione di reti energetiche, idriche, del gas, dei trasporti o delle telecomunicazioni.
Istruzione e formazione professionale: Sistemi che determinano l'accesso all'istruzione, valutano gli studenti, monitorano comportamenti durante gli esami o personalizzano i percorsi formativi.
Occupazione e gestione dei lavoratori: Sistemi di screening e filtraggio dei curricula, valutazione delle candidature, decisioni su promozioni, cessazione del rapporto di lavoro, assegnazione di compiti basata su caratteristiche individuali, monitoraggio e valutazione delle prestazioni lavorative.
Accesso a servizi essenziali: Sistemi utilizzati per valutare l'affidabilità creditizia, determinare premi assicurativi basati su profilazione individuale, valutare l'accesso a servizi pubblici essenziali.
Attività di contrasto: Sistemi utilizzati dalle forze dell'ordine per la valutazione del rischio di vittimizzazione, per poligrafi o strumenti simili, per la valutazione di prove, per la previsione della criminalità.
Gestione della migrazione, dell'asilo e dei controlli alle frontiere: Sistemi utilizzati per l'analisi di domande di asilo, per la sorveglianza alle frontiere, per la valutazione dei rischi di sicurezza.
Amministrazione della giustizia e processi democratici: Sistemi che assistono le autorità giudiziarie nella ricerca e interpretazione dei fatti e della legge, o che influenzano i processi elettorali.

Per un'azienda italiana che utilizza un software di IA per lo screening dei curricula — e sono ormai moltissime, dalle grandi multinazionali alle PMI più strutturate — questo significa che quel sistema deve soddisfare requisiti specifici prima di poter essere legittimamente utilizzato.

Rischio limitato: obblighi di trasparenza

I sistemi a rischio limitato sono quelli che interagiscono con le persone senza che queste ne siano necessariamente consapevoli. L'obbligo principale qui è la trasparenza: le persone devono sapere che stanno interagendo con un sistema di IA.

Questo riguarda direttamente moltissime applicazioni comuni nelle aziende italiane:

Chatbot: Se la vostra azienda utilizza un chatbot sul sito web o su WhatsApp Business, gli utenti devono essere informati che stanno interagendo con un sistema automatizzato, non con un operatore umano.
Deepfake e contenuti generati dall'IA: I contenuti audio, video o immagini generati o manipolati dall'IA devono essere chiaramente etichettati come tali. Un video aziendale in cui un avatar generato dall'IA presenta un prodotto deve essere identificato come contenuto sintetico.
Sistemi di riconoscimento delle emozioni: Quando utilizzati in contesti dove non sono vietati (ad esempio, ricerche di mercato volontarie), le persone coinvolte devono essere informate del funzionamento del sistema.
Contenuti generati da IA generativa: I testi, le immagini e gli altri contenuti prodotti da sistemi di IA generativa (come ChatGPT, DALL-E, Midjourney) devono essere identificabili come generati artificialmente, anche attraverso metadati machine-readable.

In termini pratici, se la vostra azienda utilizza ChatGPT per generare descrizioni di prodotto sul sito e-commerce, o se usa un sistema di IA per rispondere automaticamente alle email dei clienti, dovete implementare meccanismi di trasparenza adeguati. Questo non significa necessariamente inserire un disclaimer su ogni singolo testo, ma adottare una politica chiara e accessibile che informi gli utenti dell'uso dell'IA.

Rischio minimo: nessun obbligo aggiuntivo

La grande maggioranza dei sistemi di IA rientra in questa categoria. Filtri antispam, sistemi di raccomandazione per contenuti, assistenti virtuali per uso interno, strumenti di IA per la traduzione, correttori grammaticali basati sull'IA: tutti questi sistemi possono essere utilizzati senza obblighi normativi aggiuntivi derivanti dall'AI Act, fermo restando il rispetto del GDPR e delle altre normative applicabili.

Questo è un punto importante da sottolineare, perché una narrazione diffusa tende a presentare l'AI Act come un ostacolo generalizzato all'innovazione. Non lo è. Per la stragrande maggioranza delle applicazioni di IA utilizzate quotidianamente nelle aziende italiane — dagli strumenti di produttività alle analisi di business intelligence — il regolamento non impone alcun onere aggiuntivo. Il focus è sui sistemi che possono avere un impatto significativo sui diritti fondamentali delle persone.

Obblighi di conformità per i sistemi ad alto rischio

Per chi sviluppa, distribuisce o utilizza sistemi di IA classificati ad alto rischio, l'AI Act prevede una serie di obblighi specifici che meritano un approfondimento. Questi obblighi si applicano con intensità diversa a seconda del ruolo dell'operatore nella catena del valore: il fornitore (chi sviluppa il sistema), il deployer (chi lo utilizza nel proprio contesto operativo) e il distributore hanno responsabilità differenti.

Obblighi per i fornitori di sistemi ad alto rischio

I fornitori — cioè le aziende che sviluppano e immettono sul mercato sistemi di IA ad alto rischio — hanno gli obblighi più gravosi:

Sistema di gestione del rischio: Deve essere implementato un processo continuo e documentato di identificazione, analisi, stima e valutazione dei rischi associati al sistema di IA, aggiornato durante tutto il ciclo di vita del prodotto.
Governance dei dati: I dataset utilizzati per l'addestramento, la validazione e il test devono essere soggetti a pratiche di governance adeguate. Questo include requisiti di qualità, rappresentatività, assenza di bias, completezza e appropriatezza rispetto alla finalità prevista.
Documentazione tecnica: Deve essere predisposta una documentazione tecnica completa prima dell'immissione sul mercato, che consenta alle autorità di valutare la conformità del sistema. Questa documentazione deve essere mantenuta aggiornata.
Registrazione automatica degli eventi (logging): Il sistema deve essere progettato per registrare automaticamente gli eventi rilevanti durante il suo funzionamento, con una tracciabilità adeguata a consentire il monitoraggio ex post.
Trasparenza e istruzioni per l'uso: Deve essere fornita al deployer una documentazione chiara e completa che consenta di comprendere le capacità e i limiti del sistema, le condizioni di utilizzo previste, i livelli di accuratezza attesi e i rischi residui.
Sorveglianza umana: Il sistema deve essere progettato in modo da consentire un'efficace supervisione da parte di persone fisiche durante il periodo di utilizzo. Questo include la possibilità di intervento umano per correggere, sovrascrivere o interrompere le decisioni del sistema.
Accuratezza, robustezza e cybersecurity: Il sistema deve raggiungere livelli appropriati di accuratezza, robustezza e sicurezza informatica, dichiarati nella documentazione tecnica e verificabili.
Sistema di gestione della qualità: Il fornitore deve implementare un sistema di gestione della qualità conforme ai requisiti del regolamento, documentato e sistematico.
Valutazione della conformità: Prima dell'immissione sul mercato, il sistema deve essere sottoposto a una valutazione della conformità, che può essere effettuata internamente o attraverso un organismo notificato, a seconda della tipologia.
Registrazione nella banca dati UE: Il sistema deve essere registrato nella banca dati dell'UE per i sistemi di IA ad alto rischio prima della sua immissione sul mercato.

Obblighi per i deployer (utilizzatori) di sistemi ad alto rischio

Per la maggior parte delle aziende italiane, il ruolo rilevante è quello del deployer: chi utilizza un sistema di IA ad alto rischio nel proprio contesto operativo. Anche i deployer hanno obblighi specifici, sebbene meno gravosi di quelli dei fornitori:

Utilizzo conforme alle istruzioni: Il sistema deve essere utilizzato secondo le istruzioni fornite dal fornitore. Se un software di screening curricula è progettato per assistere il selezionatore umano ma non per prendere decisioni autonome, l'azienda che lo utilizza non può delegargli la decisione finale.
Sorveglianza umana: Il deployer deve garantire che le persone incaricate della supervisione del sistema abbiano le competenze, la formazione e l'autorità necessarie per svolgere efficacemente questo ruolo.
Dati di input: Il deployer deve assicurarsi che i dati forniti al sistema siano pertinenti e sufficientemente rappresentativi rispetto alla finalità prevista.
Monitoraggio: Il deployer deve monitorare il funzionamento del sistema e segnalare al fornitore eventuali rischi o malfunzionamenti.
Conservazione dei log: I log generati automaticamente dal sistema devono essere conservati per un periodo adeguato, comunque non inferiore a sei mesi.
Valutazione d'impatto sui diritti fondamentali: Per i deployer che sono enti di diritto pubblico o enti privati che forniscono servizi pubblici, è obbligatoria una valutazione d'impatto sui diritti fondamentali prima della messa in servizio del sistema.
Informazione delle persone fisiche: Le persone soggette a decisioni basate su sistemi di IA ad alto rischio devono essere informate dell'uso del sistema.

Per un'azienda italiana che acquista e utilizza un software di IA per la gestione delle risorse umane, ad esempio, questo si traduce in una serie di azioni concrete: formare il team HR sull'uso corretto del sistema, garantire che un essere umano riveda sempre le raccomandazioni dell'IA prima che diventino decisioni, conservare i log del sistema, e informare i candidati che il loro profilo viene analizzato anche attraverso strumenti di intelligenza artificiale.

Le sanzioni: quanto costa la non conformità

L'AI Act prevede un regime sanzionatorio serio, calibrato sulla gravità della violazione e strutturato su tre livelli principali:

Violazioni relative ai sistemi vietati: Fino a 35 milioni di euro o il 7% del fatturato mondiale annuo dell'azienda (si applica l'importo più elevato). Per un'azienda italiana con un fatturato di 50 milioni di euro, la sanzione massima potrebbe raggiungere i 35 milioni — una cifra potenzialmente distruttiva.
Violazioni degli obblighi per sistemi ad alto rischio: Fino a 15 milioni di euro o il 3% del fatturato mondiale annuo.
Fornitura di informazioni inesatte alle autorità: Fino a 7,5 milioni di euro o l'1,5% del fatturato mondiale annuo.

Per le PMI e le startup, il regolamento prevede che le sanzioni siano proporzionate e tengano conto delle dimensioni dell'impresa. Non si tratta di un'esenzione, ma di una modulazione: un'azienda con dieci dipendenti non riceverà la stessa sanzione di una multinazionale. Tuttavia, l'importo resta comunque significativo in proporzione al fatturato.

Vale la pena confrontare queste cifre con le sanzioni GDPR già familiari alle aziende italiane: fino a 20 milioni di euro o il 4% del fatturato mondiale. Le sanzioni dell'AI Act per le violazioni più gravi sono quindi ancora più severe. Chi ha vissuto le prime sanzioni GDPR significative comminate dal Garante italiano — pensiamo ai procedimenti contro Clearview AI (20 milioni di euro) o contro aziende di telemarketing — sa che queste non sono cifre teoriche.

Il ruolo dell'AGID e delle autorità italiane

L'AI Act prevede che ciascuno Stato membro designi una o più autorità nazionali competenti per la sua applicazione. In Italia, il quadro istituzionale si sta definendo attorno a due poli principali: l'Agenzia per l'Italia Digitale (AGID) e l'Autorità Garante per la protezione dei dati personali.

L'AGID, che già svolge un ruolo centrale nella trasformazione digitale della pubblica amministrazione italiana, è destinata ad avere un ruolo di primo piano nella supervisione dei sistemi di IA, in particolare nel settore pubblico. L'agenzia ha già sviluppato competenze significative in materia di IA attraverso il programma AI della strategia nazionale e attraverso iniziative come il portale syllabus.gov.it, che offre percorsi formativi strutturati per i dipendenti pubblici, inclusi moduli specifici sull'intelligenza artificiale.

Il Garante per la protezione dei dati personali, d'altra parte, ha già dimostrato una postura proattiva e talvolta aggressiva rispetto all'IA, come evidenziato dal temporaneo blocco di ChatGPT in Italia nel marzo 2023 — il primo provvedimento del genere al mondo — e dalle successive indagini su diversi sistemi di IA. Il Garante avrà un ruolo fondamentale nell'applicazione dell'AI Act per tutti gli aspetti che intersecano la protezione dei dati personali, che nella pratica significa la grande maggioranza dei sistemi di IA.

A livello europeo, è stato istituito l'Ufficio Europeo per l'IA (AI Office), che avrà un ruolo di coordinamento e supervisione, in particolare per i modelli di IA per finalità generali. L'AI Office ha già pubblicato le prime bozze di codici di condotta per i fornitori di modelli GPAI e sta lavorando alla definizione di standard tecnici armonizzati.

L'approccio italiano all'IA: tra regolamentazione e promozione

L'Italia ha adottato un approccio ambivalente all'intelligenza artificiale che i professionisti devono comprendere. Da un lato, il governo ha promosso attivamente l'adozione dell'IA attraverso la Strategia Italiana per l'Intelligenza Artificiale 2024-2026 e attraverso iniziative di formazione come quelle offerte da Formez PA per i dipendenti pubblici. Dall'altro, le autorità di regolamentazione italiane hanno dimostrato una sensibilità particolare verso i rischi dell'IA, intervenendo in modo più deciso rispetto ad altri paesi europei.

Questa doppia anima si riflette nelle opportunità disponibili per i professionisti italiani. Chi vuole approfondire le competenze in materia di IA può accedere a diverse risorse: i percorsi formativi del programma Syllabus per i dipendenti pubblici, le iniziative di formazione di Formez PA, i corsi offerti da accademie specializzate come MYIA Academy nel campo dell'IA applicata al business, e gli eventi come l'AI WEEK di Milano, che ogni anno raccoglie migliaia di professionisti e ricercatori per discutere le ultime tendenze e applicazioni dell'intelligenza artificiale.

Per chi cerca una formazione strutturata e accessibile, i corsi IA specificamente progettati per il contesto europeo rappresentano un punto di partenza efficiente, perché integrano le competenze tecniche con la comprensione del quadro normativo.

Come l'AI Act impatta le aziende italiane nella pratica

Al di là della teoria normativa, è fondamentale capire cosa significa l'AI Act nella pratica quotidiana di un'azienda italiana. Vediamo alcuni scenari concreti che illustrano l'impatto del regolamento su attività reali.

Scenario 1: Azienda manifatturiera del Nord-Est con screening automatizzato dei curricula

Un'azienda meccanica di Vicenza con 200 dipendenti utilizza un software di recruiting che analizza automaticamente i curricula ricevuti e assegna un punteggio di idoneità. Questo sistema è classificato ad alto rischio dall'AI Act. L'azienda, in quanto deployer, deve: verificare che il fornitore del software abbia completato la valutazione di conformità e la registrazione nella banca dati UE; formare il responsabile HR sull'uso corretto del sistema e sulle sue limitazioni; garantire che nessun candidato venga scartato esclusivamente sulla base del punteggio automatico senza revisione umana; informare i candidati che il loro CV viene analizzato da un sistema di IA; conservare i log del sistema per almeno sei mesi; monitorare eventuali bias del sistema (ad esempio, verificare periodicamente se il sistema tende a penalizzare sistematicamente candidati di determinate nazionalità o fasce d'età).

Scenario 2: Studio professionale che utilizza IA generativa per documenti legali

Uno studio legale di Roma utilizza ChatGPT o Claude per la redazione di bozze contrattuali e pareri legali. Nella maggior parte dei casi, questo rientra nel rischio minimo o limitato: l'IA è utilizzata come strumento di assistenza alla redazione, non per prendere decisioni autonome con impatto giuridico. Gli obblighi principali riguardano la trasparenza (se i documenti generati dall'IA vengono inviati ai clienti, è buona pratica informarli) e il GDPR (i dati dei clienti non devono essere inseriti in strumenti di IA che non offrono adeguate garanzie di protezione dei dati). Se però lo stesso studio sviluppasse un sistema di IA che analizza automaticamente le probabilità di successo di un contenzioso e suggerisce strategie processuali, ci si avvicinerebbe all'area dell'alto rischio nella categoria "amministrazione della giustizia".

Scenario 3: Banca che utilizza credit scoring basato sull'IA

Una banca italiana che utilizza algoritmi di machine learning per valutare il merito creditizio dei richiedenti opera chiaramente nell'area dell'alto rischio. Tutti gli obblighi descritti sopra si applicano integralmente. In più, la banca deve effettuare una valutazione d'impatto sui diritti fondamentali, data la natura del servizio offerto. Le sanzioni per la non conformità in questo settore sono particolarmente severe, sia per l'AI Act sia per la normativa bancaria e finanziaria di settore.

Scenario 4: E-commerce che utilizza chatbot e raccomandazioni personalizzate

Un e-commerce italiano che utilizza un chatbot per il servizio clienti e un sistema di raccomandazione prodotti basato sull'IA opera generalmente nell'area del rischio limitato. L'obbligo principale è informare gli utenti che stanno interagendo con un chatbot e non con un operatore umano. Il sistema di raccomandazione, se si limita a suggerire prodotti sulla base della cronologia di acquisto, rientra nel rischio minimo. Se però il sistema di raccomandazione determina anche i prezzi mostrati ai singoli utenti sulla base di profilazione comportamentale, la questione diventa più complessa e potrebbe sollevare problematiche sia sotto l'AI Act sia sotto la normativa sulla protezione dei consumatori.

Checklist di preparazione per le aziende italiane

Sulla base di quanto esposto, ecco una checklist operativa che ogni azienda italiana dovrebbe seguire per prepararsi alla piena applicabilità dell'AI Act. Non si tratta di un elenco esaustivo — la specificità di ciascun settore e azienda richiede una valutazione personalizzata — ma di un punto di partenza concreto.

Fase 1: Mappatura e inventario (da completare immediatamente)

Censire tutti i sistemi di IA in uso. Questo include non solo i software acquistati esplicitamente come "soluzioni di IA", ma anche le funzionalità di IA integrate in strumenti già in uso: Microsoft Copilot, funzioni di IA in CRM e ERP, strumenti di analisi dati, chatbot, sistemi di automazione marketing. Molte aziende scoprono di utilizzare più sistemi di IA di quanto pensassero.
Classificare ciascun sistema per categoria di rischio. Per ogni sistema censito, determinare se rientra nel rischio inaccettabile (vietato), alto, limitato o minimo. In caso di dubbio, consultare le linee guida della Commissione Europea o rivolgersi a un consulente specializzato.
Verificare i sistemi vietati. Controllare che nessun sistema in uso rientri nella categoria a rischio inaccettabile. Se sì, interromperne immediatamente l'utilizzo. Il divieto è già in vigore.
Documentare i risultati. Creare un registro interno dei sistemi di IA utilizzati, con la relativa classificazione di rischio e le azioni necessarie per ciascuno.

Fase 2: Conformità operativa (per i sistemi ad alto rischio)

Contattare i fornitori. Per ogni sistema ad alto rischio, verificare con il fornitore che il sistema abbia superato la valutazione di conformità e sia stato registrato nella banca dati UE. Richiedere la documentazione tecnica e le istruzioni per l'uso conformi ai requisiti dell'AI Act.
Implementare la sorveglianza umana. Identificare e formare le persone responsabili della supervisione di ciascun sistema ad alto rischio. Definire procedure chiare per l'intervento umano in caso di malfunzionamento o risultati inappropriati del sistema.
Configurare la conservazione dei log. Assicurarsi che i log generati dai sistemi ad alto rischio vengano conservati per almeno sei mesi, in modo accessibile e protetto.
Informare le persone interessate. Implementare meccanismi di informazione per le persone soggette a decisioni basate su sistemi di IA ad alto rischio (candidati, clienti, utenti).
Effettuare la valutazione d'impatto sui diritti fondamentali (se richiesta per la tipologia di organizzazione e di utilizzo).

Fase 3: Trasparenza (per tutti i sistemi di IA)

Aggiornare le informative. Rivedere le informative privacy, i termini di servizio e le comunicazioni al pubblico per includere informazioni sull'uso dell'IA, dove applicabile.
Etichettare i contenuti generati dall'IA. Implementare politiche per l'identificazione dei contenuti generati o significativamente modificati dall'IA, in particolare per i contenuti audio, video e immagini.
Identificare i chatbot. Assicurarsi che tutti i chatbot e gli assistenti virtuali si identifichino come sistemi automatizzati all'inizio dell'interazione con l'utente.

Fase 4: Formazione e cultura aziendale

Formare il personale. L'AI Act richiede esplicitamente che il personale coinvolto nell'uso e nella supervisione dei sistemi di IA abbia un livello adeguato di competenza in materia di IA (AI literacy). Questo obbligo di formazione si applica a tutti gli operatori, non solo a quelli che utilizzano sistemi ad alto rischio.
Designare un responsabile interno. Identificare una persona o un team responsabile della conformità AI Act all'interno dell'organizzazione. Nelle aziende più piccole, questa funzione può essere integrata con quella del DPO (Data Protection Officer) o del responsabile compliance.
Integrare l'AI Act nei processi esistenti. L'AI Act non deve essere trattato come un progetto a sé stante, ma integrato nei processi di gestione del rischio, protezione dei dati, compliance e governance già esistenti in azienda.

L'intersezione tra AI Act e GDPR

Per le aziende italiane, una delle sfide più concrete è la gestione dell'intersezione tra AI Act e GDPR. I due regolamenti si sovrappongono significativamente, e la conformità all'uno non garantisce automaticamente la conformità all'altro.

Il GDPR regola il trattamento dei dati personali, indipendentemente dal fatto che vengano utilizzati sistemi di IA o meno. L'AI Act regola i sistemi di intelligenza artificiale, indipendentemente dal fatto che trattino dati personali o meno. Quando un sistema di IA tratta dati personali — e nella pratica è quasi sempre così — entrambi i regolamenti si applicano contemporaneamente.

Alcuni punti critici dell'intersezione:

Base giuridica per l'addestramento: Se un'azienda addestra o personalizza un modello di IA utilizzando dati personali dei propri clienti o dipendenti, deve avere una base giuridica valida ai sensi del GDPR (consenso, interesse legittimo, esecuzione di un contratto, ecc.). L'AI Act non modifica questo requisito.
Diritto alla spiegazione: Il GDPR già prevede il diritto a non essere sottoposti a decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici significativi (art. 22 GDPR). L'AI Act rafforza questo principio con l'obbligo di sorveglianza umana per i sistemi ad alto rischio.
Valutazione d'impatto: Per i sistemi di IA che trattano dati personali su larga scala o in modo sistematico, è probabile che sia necessaria sia una DPIA (Data Protection Impact Assessment) ai sensi del GDPR sia una valutazione d'impatto sui diritti fondamentali ai sensi dell'AI Act. Le due valutazioni possono essere integrate in un unico processo.
Trasferimenti internazionali di dati: Molti sistemi di IA, in particolare quelli basati su cloud, trattano i dati in server situati al di fuori dell'UE. Le regole GDPR sui trasferimenti internazionali si applicano integralmente, e l'AI Act aggiunge ulteriori considerazioni sulla localizzazione e sulla governance dei dati.

Per le aziende che utilizzano l'IA nel contesto europeo, gestire questa complessità normativa richiede un approccio integrato che consideri simultaneamente entrambi i regolamenti. Non si tratta di due mondi separati, ma di due facce della stessa medaglia.

IA per finalità generali (GPAI): cosa cambia per chi usa ChatGPT e simili

Un aspetto dell'AI Act particolarmente rilevante per i professionisti riguarda la regolamentazione dei modelli di IA per finalità generali (General Purpose AI o GPAI). Questa categoria include i modelli su cui si basano strumenti come ChatGPT, Claude, Gemini, Copilot e altri assistenti di IA generativa utilizzati quotidianamente da milioni di professionisti.

L'AI Act impone obblighi specifici ai fornitori di modelli GPAI, non direttamente agli utenti finali. Tuttavia, comprendere questi obblighi aiuta i professionisti a valutare meglio gli strumenti che utilizzano:

Obblighi di trasparenza: I fornitori di modelli GPAI devono rendere disponibile una documentazione tecnica adeguata, politiche di rispetto del diritto d'autore, e una sintesi sufficientemente dettagliata dei dati di addestramento.
Modelli con rischio sistemico: I modelli GPAI con rischio sistemico — identificati sulla base della potenza computazionale utilizzata per l'addestramento (la soglia è di 10^25 FLOP) o per designazione della Commissione — hanno obblighi aggiuntivi: valutazioni del modello, test adversarial, monitoraggio degli incidenti gravi, protezione della cybersecurity, e reporting del consumo energetico.
Codici di condotta: L'AI Office sta sviluppando codici di condotta per i fornitori di GPAI, che definiranno standard pratici per la conformità. I principali fornitori (OpenAI, Anthropic, Google, Meta, Mistral) stanno partecipando a questo processo.

Per un professionista italiano che utilizza ChatGPT o Claude nel proprio lavoro quotidiano, questo significa che i fornitori di questi strumenti sono tenuti a garantire un certo livello di trasparenza e sicurezza. Ma non esonera il professionista dalla responsabilità di utilizzare questi strumenti in modo appropriato: verificare l'accuratezza degli output, proteggere i dati sensibili, rispettare gli obblighi di trasparenza verso i propri interlocutori.

Sandbox regolamentari e spazi di sperimentazione

L'AI Act prevede l'istituzione di sandbox regolamentari — ambienti controllati in cui le aziende possono sviluppare e testare sistemi di IA innovativi sotto la supervisione delle autorità competenti, con un regime normativo temporaneamente semplificato. Ogni Stato membro è tenuto a istituire almeno un sandbox entro agosto 2026.

Per le aziende italiane, specialmente le PMI e le startup, questi sandbox rappresentano un'opportunità significativa. Partecipare a un sandbox consente di sviluppare soluzioni innovative con la guida diretta delle autorità di regolamentazione, riducendo l'incertezza normativa e i rischi di non conformità. L'AGID sta lavorando alla definizione dei criteri e delle modalità di accesso ai sandbox italiani.

I sandbox prevedono condizioni speciali per le PMI, incluso un accesso prioritario e la possibilità di testare sistemi con dati reali sotto condizioni controllate. È un meccanismo pensato per evitare che la regolamentazione diventi una barriera insormontabile per le imprese più piccole, che non hanno le risorse delle grandi multinazionali tecnologiche per gestire la conformità normativa.

Come prepararsi: risorse e formazione per i professionisti italiani

La preparazione all'AI Act non è solo una questione di adempimenti normativi. Richiede una comprensione sostanziale dell'intelligenza artificiale: come funziona, cosa può fare, quali sono i suoi limiti, come si valutano i rischi. Senza questa comprensione di base, gli adempimenti formali rischiano di essere esercizi burocratici privi di sostanza.

Per i professionisti italiani che vogliono costruire questa competenza, esistono diverse risorse di qualità:

Formez PA: Offre programmi di formazione specifici per i dipendenti della pubblica amministrazione, inclusi moduli sull'IA e sulla trasformazione digitale. Questi programmi sono generalmente gratuiti per il personale PA.
Programma Syllabus (syllabus.gov.it): La piattaforma del Dipartimento della Funzione Pubblica offre percorsi formativi strutturati che includono moduli sull'intelligenza artificiale e sulle competenze digitali.
AI WEEK Milano: L'evento annuale che si tiene a Milano è un'occasione per aggiornarsi sulle ultime tendenze, partecipare a workshop pratici e fare networking con professionisti e ricercatori del settore. L'edizione più recente ha dedicato sessioni specifiche all'AI Act e alle sue implicazioni pratiche.
MYIA Academy: Offre corsi specializzati sull'IA applicata al business, con un focus particolare sul contesto italiano ed europeo.
Corsi online strutturati: Per chi cerca una formazione flessibile e immediatamente applicabile, i corsi IA per professionisti europei offrono un percorso che integra competenze tecniche, applicazioni pratiche e comprensione del quadro normativo.

L'investimento in formazione non è solo una questione di conformità. Le aziende italiane che comprendono realmente l'IA — non solo i suoi aspetti normativi, ma le sue potenzialità operative — sono quelle che ne trarranno il maggiore vantaggio competitivo. L'AI Act, paradossalmente, può funzionare come acceleratore: obbligando le aziende a prendere l'IA seriamente, le spinge anche a comprenderla meglio e a utilizzarla in modo più efficace.

Il quadro europeo nel contesto globale

L'AI Act europeo non esiste in un vuoto. Le aziende italiane che operano a livello internazionale devono comprendere come si posiziona rispetto agli approcci di altre giurisdizioni.

Gli Stati Uniti hanno adottato un approccio prevalentemente basato su ordini esecutivi e linee guida settoriali, senza una legislazione organica paragonabile all'AI Act. La Cina ha introdotto normative specifiche per determinati aspetti dell'IA (IA generativa, raccomandazioni algoritmiche, deepfake) ma non un quadro normativo organico. Il Regno Unito, post-Brexit, ha scelto un approccio "pro-innovation" basato su principi anziché su regole vincolanti, delegando la supervisione ai regolatori settoriali esistenti.

L'approccio europeo è il più strutturato e vincolante. Questo comporta costi di conformità più elevati, ma anche vantaggi: una maggiore certezza giuridica, una protezione più solida per i cittadini e i consumatori, e un potenziale "effetto Bruxelles" — la tendenza delle normative UE a diventare standard de facto a livello globale, come è accaduto con il GDPR.

Per le aziende italiane che esportano o che collaborano con partner internazionali, l'AI Act potrebbe effettivamente diventare un vantaggio competitivo. Essere conformi agli standard europei, i più elevati al mondo, significa poter operare in qualsiasi giurisdizione senza dover abbassare i propri standard. È un argomento che può essere utilizzato nelle trattative commerciali e nella comunicazione al mercato.

Errori comuni da evitare

Sulla base dell'esperienza maturata con il GDPR — un percorso normativo per molti versi analogo, dalla cui implementazione le aziende italiane possono trarre lezioni preziose — ecco gli errori più frequenti da evitare nell'approccio all'AI Act:

Sottovalutare la portata del regolamento. Molte aziende tendono a pensare "questo non ci riguarda" perché non si considerano aziende tecnologiche. Ma l'AI Act riguarda chiunque utilizzi sistemi di IA, non solo chi li sviluppa. Se la vostra azienda usa un CRM con funzioni di IA predittiva, un sistema di raccomandazione prodotti, un chatbot, o anche solo ChatGPT per il supporto alla redazione, l'AI Act vi riguarda.
Aspettare l'ultimo momento. L'errore più grave commesso con il GDPR. Molte aziende italiane si sono attivate nelle ultime settimane prima del 25 maggio 2018, con risultati prevedibilmente inadeguati. Con l'AI Act, le prime disposizioni sono già in vigore e le principali entreranno in vigore entro agosto 2026. Chi non si è ancora mosso è già in ritardo.
Affrontare la conformità come esercizio formale. Compilare moduli e redigere documenti senza cambiare effettivamente i processi operativi è un approccio che non solo non protegge realmente l'azienda, ma che verrà facilmente smascherato in caso di verifica da parte delle autorità.
Ignorare la formazione del personale. L'AI Act impone un obbligo esplicito di AI literacy. Non si tratta di un suggerimento, ma di un requisito normativo. Il personale che interagisce con sistemi di IA deve avere una comprensione adeguata del loro funzionamento e dei loro limiti.
Separare l'AI Act dal GDPR. Trattare i due regolamenti come compartimenti stagni è un errore organizzativo costoso. Nella pratica, quasi tutti i sistemi di IA trattano dati personali, e la conformità deve essere gestita in modo integrato.

Da dove iniziare: i prossimi passi concreti

Se dopo aver letto questa guida sentite l'urgenza di agire — e dovreste sentirla — ecco i tre passi più importanti da compiere nelle prossime settimane:

Fate l'inventario. Entro la prossima settimana, compilate un elenco completo di tutti i sistemi di IA utilizzati nella vostra organizzazione. Coinvolgete tutti i reparti, perché l'IA si annida in luoghi inaspettati: il team marketing che usa Canva con funzioni di IA generativa, il team vendite che usa un CRM con scoring predittivo, il team HR che usa LinkedIn Recruiter con suggerimenti basati sull'IA.
Classificate i rischi. Per ogni sistema identificato, determinate la categoria di rischio. Se avete anche un solo sistema ad alto rischio, attivatevi immediatamente per verificare la conformità del fornitore e implementare le misure necessarie dalla vostra parte.
Investite nella formazione. Che si tratti di un corso strutturato, di un workshop interno o di un percorso di autoformazione, è essenziale che le persone chiave della vostra organizzazione comprendano sia le potenzialità sia i rischi dell'IA. Il nostro corso IA gratuito offre un punto di partenza accessibile che copre i fondamenti in sole due ore — nessun costo, nessun impegno, solo competenze pratiche immediatamente applicabili.

L'AI Act non è un ostacolo all'innovazione. È un quadro che, se compreso e implementato correttamente, può rendere l'uso dell'IA nelle aziende italiane più sicuro, più trasparente e, in definitiva, più efficace. I professionisti e le aziende che lo affrontano con serietà e tempestività avranno un vantaggio competitivo significativo rispetto a chi lo ignora o lo subisce passivamente.