AI Act: cos'è e cosa cambia per le imprese italiane

L'AI Act è il Regolamento (UE) 2024/1689, la prima legge organica europea sull'intelligenza artificiale. La caratteristica più fraintesa è il perimetro: riguarda anche le imprese che l'intelligenza artificiale la usano soltanto, dal chatbot sul sito allo strumento che genera testi o seleziona candidature.

Che cosa significa per voi

• Usate strumenti di AI sul sito — chatbot, assistenti, generatori di contenuti: servono informazioni chiare verso chi li incontra.
• Usate l'AI nei processi interni — selezione del personale, valutazione dei clienti, controllo della produzione: qui può scattare la fascia alta di rischio.
• Sviluppate o rivendete sistemi di AI — siete fornitori, con obblighi più estesi.

Le due figure che contano

Il regolamento distingue due ruoli, e la differenza decide gli obblighi.

Un'azienda può essere entrambe le cose: utilizzatore degli strumenti acquistati, fornitore del sistema che costruisce e offre ai propri clienti. Chi personalizza in modo sostanziale un sistema altrui, o lo mette sul mercato con il proprio nome, assume il ruolo di fornitore.

Le quattro fasce di rischio

Rischio inaccettabile. Pratiche vietate: manipolazione che sfrutta vulnerabilità, punteggio sociale, e altre elencate dal regolamento. Vietate dal 2 febbraio 2025.

Alto rischio. Sistemi usati in ambiti sensibili — lavoro, istruzione, credito, infrastrutture critiche, sicurezza dei prodotti — con obblighi estesi su gestione del rischio, qualità dei dati, documentazione, sorveglianza umana e registri.

Rischio limitato. Obblighi di trasparenza: chi interagisce con un sistema automatico deve poterlo capire, e determinati contenuti generati vanno identificati.

Rischio minimo. Tutto il resto, senza obblighi specifici.

La fascia dipende dall'uso concreto. Lo stesso modello linguistico può stare in fascia minima quando riassume documenti interni e in fascia alta quando entra in una decisione che riguarda le persone.

Le scadenze

Le date già trascorse sono quelle che vale la pena verificare subito: la formazione del personale che usa strumenti di AI è un obbligo in vigore, e riguarda anche le piccole imprese.

Che cosa tocca un sito web

Tre punti pratici, che riguardano quasi tutti.

1. Il chatbot. Chi scrive in chat deve capire che sta parlando con un sistema automatico, con l'indicazione visibile all'inizio della conversazione.
2. I contenuti generati. Testi e immagini prodotti con strumenti automatici e presentati come autentici richiedono attenzione: l'obbligo di identificazione riguarda determinati contenuti sintetici, e la trasparenza verso il lettore resta comunque la scelta più solida.
3. I dati raccolti dagli strumenti. Un assistente che conserva le conversazioni tratta dati personali: informativa, base giuridica e tempi di conservazione vanno allineati, insieme al resto delle scelte descritte in cookie banner.

Per la pubblicità esiste un capitolo a parte, che abbiamo raccolto in creativi pubblicitari generati dall'AI: oltre al regolamento europeo valgono le regole sulla comunicazione commerciale corretta.

Cosa fare, in ordine

1. Mappare. Un elenco di dove l'AI è in uso: sito, assistenza, marketing, selezione del personale, produzione, amministrazione. Compresi gli strumenti introdotti dai singoli reparti.
2. Classificare. Per ogni uso, la fascia di rischio e il ruolo che avete.
3. Sistemare le informazioni. Avvisi nel chatbot, indicazioni sui contenuti generati, informativa aggiornata.
4. Definire la sorveglianza umana. Chi controlla cosa, con quale frequenza, e cosa succede quando il sistema sbaglia.
5. Formare le persone che usano gli strumenti, con traccia della formazione svolta.
6. Documentare le decisioni. Un fascicolo ordinato è ciò che dimostra la diligenza in caso di verifica.
7. Rivedere periodicamente, perché gli strumenti cambiano più in fretta delle norme.

Nella maggior parte delle piccole imprese il risultato di questo percorso è rassicurante: gli usi stanno in fascia minima o limitata e l'adeguamento è documentale. Il rischio vero è arrivare a una verifica con la mappa ancora da fare.

Errori che vediamo spesso

• Pensare che riguardi solo chi sviluppa, e saltare del tutto la mappatura.
• Strumenti introdotti dai singoli reparti e rimasti fuori dal censimento.
• Chatbot senza avviso, presentato come un operatore umano.
• Selezione del personale automatizzata senza valutare la fascia di rischio.
• Formazione assente, nonostante sia un obbligo già in vigore.
• Documentazione sparsa fra persone diverse, impossibile da ricostruire.

Checklist minima

• Elenco degli usi di AI in azienda, aggiornato
• Ruolo definito per ciascun uso: fornitore o utilizzatore
• Fascia di rischio assegnata e motivata
• Avvisi di trasparenza attivi su chatbot e contenuti generati
• Sorveglianza umana definita per gli usi che toccano le persone
• Formazione erogata e documentata
• Informativa privacy allineata agli strumenti in uso
• Fascicolo conservato e rivisto periodicamente

Quando conviene farsi aiutare

La mappatura iniziale si fa internamente, e spesso in una mattinata. Ha senso chiedere aiuto quando l'uso dell'AI entra in decisioni che riguardano persone, quando siete anche fornitori di un sistema, o quando serve un fascicolo ordinato da mostrare a clienti e controlli. È il lavoro che descriviamo nella pagina conformità AI Act; le scadenze in ordine sono in AI Act: quando entra in vigore.

Fonti

• Regolamento (UE) 2024/1689 (AI Act), definizioni, classificazione del rischio e obblighi
• Commissione europea, materiali attuativi sull'applicazione del regolamento
• Legge italiana del 2025 in materia di intelligenza artificiale, autorità nazionali competenti
• Regolamento (UE) 2016/679, trattamento dei dati personali

Verificato il 21.09.2026.