AI Act: cosa devi sapere se utilizzi un modello di intelligenza artificiale nella tua azienda

Cos’è l’AI Act?

Negli ultimi tre anni l’intelligenza artificiale è entrata nella vita quotidiana di tutti con una velocità impressionante. 

Nelle aziende, ad oggi, viene utilizzata per scrivere testi, analizzare i dati, automatizzare i processi, supportare il customer service, fare selezione del personale, ottimizzare campagne marketing e chi più ne ha più ne metta. Il problema è che, fino a poco tempo fa, tutto questo si è sviluppato molto più velocemente delle regole.

È proprio da qui che nasce l’AI Act, il regolamento europeo pensato per introdurre un quadro normativo comune sull’utilizzo dell’intelligenza artificiale nei Paesi dell’Unione Europea. 

Innanzitutto, mettiamolo in chiaro: non si tratta di una legge pensata per “bloccare l’AI”, ma di un regolamento che si pone l’obiettivo di garantire che l’intelligenza artificiale venga sviluppata e utilizzata in modo sicuro, trasparente e rispettoso dei diritti fondamentali delle persone. 

L’AI Act è infatti il primo regolamento europeo che stabilisce regole armonizzate sull’intelligenza artificiale, introducendo obblighi e divieti specifici a seconda del tipo di sistema AI e del rischio che può generare. Il principio su cui si basa è semplice: non tutta l’intelligenza artificiale viene trattata allo stesso modo.

Un sistema che aiuta a generare testi o suggerire contenuti non viene regolato come un sistema che seleziona candidati per un lavoro, o uno che valuta l’accesso a un servizio o prende decisioni che possono avere un impatto significativo sulla vita delle persone. 

È per questo che il regolamento adotta un approccio basato sul rischio: più un sistema AI può incidere su salute, sicurezza o diritti fondamentali, più aumentano gli obblighi previsti dalla normativa. 

Un altro aspetto importante da chiarire è che l’AI Act non riguarda solo chi sviluppa intelligenza artificiale. In alcuni casi, infatti, può riguardare anche le aziende che la utilizzano professionalmente all’interno dei propri processi, soprattutto quando questi strumenti vengono impiegati in contesti specifici regolati dal regolamento. 

L’AI Act non verrà applicato tutto in una volta

Il regolamento è entrato formalmente in vigore il 1° agosto 2024, ma le sue disposizioni si stanno applicando in modo progressivo, con scadenze diverse a seconda del tipo di obbligo previsto. Alcune regole sono già operative, mentre altre entreranno in applicazione tra il 2026 e il 2027. 

Questo significa che è necessario rispondere a questa domanda: quali parti dell’AI Act riguardano la mia azienda e quando le dovrò applicare?

 

La mia azienda è coinvolta?

Molte aziende, sentendo parlare del regolamento europeo sull’intelligenza artificiale, si chiedono:

“Se usiamo ChatGPT, siamo coinvolti?”

“Se abbiamo un chatbot sul sito dobbiamo adeguarci?”

“Se usiamo strumenti AI per marketing o customer service cambia qualcosa?”

La risposta è: dipende da come l’intelligenza artificiale viene utilizzata e da che ruolo ha la tua azienda rispetto a quel sistema.

L’AI Act prende in cosiderazione:

• che tipo di sistema AI viene utilizzato
• in quale contesto viene usato
• che impatto può avere sulle persone
• che ruolo ha l’azienda rispetto a quel sistema (ad esempio: lo sviluppa, lo integra, lo mette sul mercato o lo utilizza all’interno dei propri processi)  

Questo significa che due aziende che usano l’AI possono trovarsi in situazioni molto diverse.

Che ruolo ha la tua azienda rispetto al sistema AI?

Il regolamento europeo distingue diversi soggetti a seconda del ruolo che ricoprono rispetto al sistema AI: c’è chi lo sviluppa e lo mette sul mercato, chi lo utilizza all’interno della propria attività professionale, chi lo distribuisce e chi lo introduce nel mercato europeo. Questa distinzione non è solo formale, perché da essa derivano obblighi molto diversi.

Il fonitore (il provider)

Una persona fisica o giuridica, un'autorità pubblica, un'agenzia o un altro organismo che sviluppa un sistema AI proprietario o lo commercializza con il proprio marchio rientra nella figura del provider, cioè il soggetto che ha la responsabilità di mettere quel sistema sul mercato.

Il deployer

Diverso è invece il caso di un’impresa che utilizza strumenti AI già esistenti all’interno dei propri processi aziendali, come un chatbot, un sistema di supporto al customer service o uno strumento per attività interne: in questi casi può entrare in gioco la figura del deployer, cioè il soggetto che usa quel sistema (sempre sotto il punto di vista professionale, non a livello personale).

L’importatore e il distibutore (l’importer e il distributor)

Esistono poi ruoli più specifici, come quello dell’importer e del distributor, che riguardano soggetti che introducono o distribuiscono sistemi AI nel mercato europeo, ma che per la maggior parte delle PMI hanno un impatto meno frequente. 

Un aspetto importante da tenere presente è che una stessa azienda può anche ricoprire più ruoli contemporaneamente. Un’impresa può, ad esempio, utilizzare strumenti AI nei propri processi interni ma allo stesso tempo sviluppare una soluzione AI per i propri clienti. In questi casi, gli obblighi previsti dal regolamento possono cambiare a seconda del contesto specifico.

 

I 4 livelli di rischio: com’è classificata l’AI

Abbiamo detto che uno dei principi più importanti dell’AI Act è che non tutta l’intelligenza artificiale viene regolata allo stesso modo.

Per questo è fondamentale soffermarsi su quali rischi può generare l’utilizzo di un sistema di AI per le persone. L’AI Act classifica i sistemi di intelligenza artificiale in quattro categorie principali, e da questa classificazione derivano obblighi molto diversi: in alcuni casi quasi nessuno, in altri molto rilevanti, in altri ancora il sistema può essere addirittura vietato.

1. Rischio minimo o nullo

Questa è la categoria in cui rientra la maggior parte degli strumenti AI oggi utilizzati. Parliamo di sistemi che, secondo il regolamento, non generano rischi significativi per salute, sicurezza o diritti fondamentali delle persone, e che quindi non sono soggetti a obblighi specifici particolarmente stringenti previsti dall’AI Act. 

In questa categoria possono rientrare, ad esempio, strumenti utilizzati come supporto per attività interne o sistemi AI che non prendono decisioni rilevanti sulle persone.

Questo non significa che possano essere utilizzati “senza attenzione”, ma che il regolamento non impone per questi casi obblighi complessi come quelli previsti per altre categorie. La stessa Commissione europea chiarisce che la grande maggioranza dei sistemi AI oggi in uso ricade proprio in questa fascia.

2. Rischio limitato

Qui non siamo ancora nel campo dell’AI ad alto rischio, ma iniziano a comparire alcuni obblighi specifici, soprattutto sul fronte della trasparenza.
Il principio è semplice: in alcuni casi l’utente deve essere messo nelle condizioni di capire che sta interagendo con un sistema AI o che sta visualizzando determinati contenuti generati artificialmente. 

Questa categoria può riguardare, ad esempio, sistemi che:

• interagiscono direttamente con persone (come alcuni chatbot)
• generano contenuti sintetici in contesti specifici
• producono deepfake o determinati contenuti AI che richiedono una disclosure

In questi casi il regolamento non vieta l’utilizzo del sistema, ma introduce obblighi di trasparenza verso l’utente. 

3. Alto rischio

Alcuni sistemi AI possono essere considerati high-risk, cioè ad alto rischio, quando vengono utilizzati in contesti che possono incidere in modo significativo su salute, sicurezza, diritti fondamentali e accesso a servizi o opportunità rilevanti per le persone

In questa categoria possono rientrare, a seconda del caso e del contesto di utilizzo, sistemi AI utilizzati in ambiti come:

• selezione del personale
• istruzione e sanità
• accesso a servizi essenziali
• infrastrutture critiche
• valutazioni che possono avere effetti rilevanti sulle persone

In questi casi l’AI Act prevede obblighi molto più rigorosi, che possono riguardare documentazione, monitoraggio, supervisione umana, gestione dei rischi, logging e altre misure specifiche.

È importante però non fare un errore: non basta nominare un settore per dire automaticamente che tutto è high-risk. Il regolamento richiede di valutare il sistema, il contesto e l’uso concreto. 

4. Rischio inaccettabile: i sistemi vietati

Qui si parla di sistemi che, secondo il regolamento, non possono essere utilizzati, perché ritenuti incompatibili con i diritti fondamentali o troppo pericolosi. Alcuni di questi divieti sono già applicabili dal 2 febbraio 2025 e si possono trovare nel dettaglio dell’articolo 5 del regolamento. 

Parliamo di casi molto specifici e particolarmente sensibili, non di utilizzi comuni dell’AI in azienda. Questa categoria è stata introdotta proprio per vietare pratiche che l’Unione Europea considera incompatibili con i propri principi fondamentali. Ad esempio:

• Sistemi AI che manipolano il comportamento delle persone in modo ingannevole o subliminale
• Sistemi AI che sfruttano vulnerabilità di persone o gruppi specifici, ad esempio legate all’età o alla disabilità, con l’obiettivo di influenzarne il comportamento in modo dannoso
• Sistemi di social scoring, cioè sistemi che classificano o valutano le persone sulla base del loro comportamento sociale o di caratteristiche personali
• Sistemi che cercano di prevedere il rischio che una persona commetta un reato basandosi esclusivamente sulla profilazione o su caratteristiche personali, senza elementi verificabili
• Creazione o ampliamento di database di riconoscimento facciale tramite raccolta indiscriminata di immagini dal web o da sistemi di videosorveglianza, per costruire archivi biometrici di massa.
• Sistemi AI che deducono emozioni sul luogo di lavoro o in ambito scolastico, salvo casi molto specifici legati a finalità mediche o di sicurezza.
• Sistemi che classificano le persone in base a dati biometrici per dedurre caratteristiche sensibili, come orientamento politico, convinzioni religiose, orientamento sessuale, origine etnica o altri dati.
• Alcuni utilizzi specifici di identificazione biometrica remota in tempo reale in spazi pubblici da parte delle forze dell’ordine, salvo eccezioni molto circoscritte previste dalla legge.

 

Cosa cambia ora?

L’AI Act è stato costruito con una applicazione progressiva, cioè con scadenze diverse a seconda del tipo di obbligo previsto. Alcune regole sono già operative, altre sono entrate in applicazione successivamente e altre ancora richiederanno tempi più lunghi.

Le tappe principali da conoscere

1 agosto 2024

L’AI Act entra ufficialmente in vigore in tutta l’Unione Europea. Questo però non significa che tutte le regole inizino ad applicarsi subito: da questa data parte il “conto alla rovescia” della sua implementazione progressiva. 

2 febbraio 2025

Da questa data diventano applicabili due aspetti molto importanti:

• il divieto di alcune pratiche AI considerate inaccettabili
• l’obbligo di promuovere una adeguata AI literacy, cioè formazione e consapevolezza per chi utilizza sistemi AI in azienda. 

2 agosto 2025

Qui entrano in gioco le prime regole dedicate ai cosiddetti modelli AI general purpose (GPAI), cioè modelli in grado di svolgere molteplici compiti e che possono essere alla base di diversi sistemi AI.
Questa fase riguarda soprattutto chi sviluppa o mette a disposizione questi modelli, più che l’impresa che li utilizza semplicemente per attività ordinarie. 

2 agosto 2026

Questo è il passaggio che interessa di più alla maggior parte delle imprese. Nel 2026 entra infatti in applicazione una parte molto importante del regolamento, tra cui:

• regole di trasparenza per alcuni sistemi AI
• applicazione generale di gran parte delle disposizioni dell’AI Act
• nuovi strumenti di governance e supporto all’attuazione del regolamento. 

2027 e oltre

Le regole più complesse e tecniche dedicate ad alcuni sistemi AI ad alto rischio hanno scadenze progressive che si estendono anche oltre il 2026, soprattutto per determinate categorie specifiche.

 

Cosa deve fare un’azienda ad oggi?

Dopo aver capito cos’è l’AI Act, come funziona e quali sistemi possono essere soggetti a regole diverse, la domanda diventa inevitabile: cosa dovrebbe fare oggi un’azienda che utilizza intelligenza artificiale?

La buona notizia è che, nella maggior parte dei casi, non significa fermare i progetti in corso o rivoluzionare da zero il proprio modo di lavorare. Significa però iniziare a capire come l’intelligenza artificiale viene utilizzata all’interno dell’azienda e costruire una governance minima che permetta di usare questi strumenti in modo più consapevole, strutturato e coerente con il quadro normativo europeo. L’AI Act, infatti, non chiede genericamente di “usare bene l’AI”: chiede, in diversi casi, di sapere quale AI si sta usando, in che contesto e con quali possibili impatti. 

Una check-list operativa per iniziare

1. Mappare gli strumenti AI già presenti in azienda: molte aziende utilizzano già strumenti AI senza averli mai davvero censiti. Pensiamo, ad esempio, a chatbot, generatori di contenuti, AI per marketing, sistemi di analisi automatica, strumenti AI integrati in CRM, software HR o piattaforme esterne. Il primo passo è quindi molto semplice: fare un inventario di dove l’intelligenza artificiale è già presente in azienda. Senza questo schema iniziale, è impossibile capire se ci sono impatti regolatori o se l’utilizzo rientra in casistiche specifiche previste dall’AI Act. 
2. Capire che ruolo ha l’azienda rispetto a questi sistemi: una volta individuati gli strumenti AI, bisogna capire come l’azienda si colloca rispetto a quei sistemi. Li usa soltanto? Li integra in un proprio servizio? Li sviluppa? Li mette a disposizione dei clienti?
   Infatti, il regolamento distingue tra provider, deployer e altri soggetti, e da questa classificazione possono derivare obblighi diversi.
3. Valutare se esistono casi che richiedono trasparenza o maggiore attenzione: non tutti i sistemi AI generano obblighi complessi. Ma in alcuni casi bisogna chiedersi:
   • il sistema interagisce direttamente con utenti?
   • genera contenuti sintetici?
   • prende parte a processi decisionali rilevanti?
   • può incidere su persone, diritti o opportunità?
4. Lavorare sulla AI literacy interna: questo è uno dei punti che molte aziende stanno sottovalutando. L’AI Act prevede infatti che provider e deployer adottino misure affinché le persone che utilizzano sistemi AI abbiano un livello adeguato di competenze, conoscenza e consapevolezza rispetto a opportunità, limiti e rischi di questi strumenti.
5. Definire regole interne di utilizzo: ad oggi, diventa utile iniziare a costruire linee guida interne, criteri di utilizzo, regole minime su dati, contenuti, sulla supervisione umana e sulle responsabilità di chi usa cosa.
   L’AI Act non definisce una “AI policy” uguale per tutte le aziende, ma stabilisce che tutte devono definire una governance interna minima per ridurre rischi e confusione. 

 

Cosa fare con immagini e i testi generati con IA?

Generare un’immagine per una campagna, preparare una prima bozza di un articolo, creare una descrizione prodotto o ambientare fotograficamente un oggetto sono ormai utilizzi molto comuni dell’intelligenza artificiale nelle aziende.

Ma dal punto di vista dell’AI Act, quando bisogna dichiarare che un contenuto è stato generato con IA? La risposta cambia a seconda del tipo di contenuto, di come è stato creato e soprattutto di quanto possa essere percepito come autentico da chi lo guarda o lo legge.

Immagini generate o modificate con IA

L’AI Act introduce specifici obblighi di trasparenza per immagini, audio e video artificialmente generati o manipolati quando costituiscono un deep fake. In altre parole, l’attenzione è rivolta soprattutto ai contenuti che rappresentano in maniera realistica persone, oggetti, luoghi, eventi o situazioni mai realmente esistiti e che potrebbero quindi essere interpretati come autentici.

Pensiamo, ad esempio, a un’azienda che parte dalla fotografia reale di un proprio prodotto e utilizza l’AI per inserirlo:

• nelle mani di una persona generata artificialmente
• all’interno di una cucina o di un ufficio mai fotografati
• in un video dove viene mostrato l'uso

In questi casi può diventare necessario rendere riconoscibile l’origine artificiale o la manipolazione del contenuto, magari tramite un’etichetta che esplicita che il contenuto è AI generated. 

Un esempio pratico

Immaginiamo di avere la fotografia reale di una confezione di biscotti. Se utilizziamo l’AI esclusivamente per creare uno sfondo neutro, astratto o puramente decorativo, senza simulare una situazione reale specifica, il contenuto è molto diverso da un’immagine in cui la stessa confezione viene collocata su un tavolo apparecchiato, accanto a persone generate artificialmente, come se fosse stata realmente fotografata in quel contesto.

È soprattutto nel secondo caso che entra in gioco il principio di trasparenza: l’utente non dovrebbe essere portato a credere che una scena artificiale sia realmente esistita. Il punto è permettere a chi vede le immagini generate dall’AI di comprendere quando ciò che sembra reale è stato invece creato o modificato artificialmente.

Quando è richiesta una disclosure, l’informazione deve essere fornita in modo chiaro e distinguibile, al più tardi nel momento in cui l’utente viene esposto al contenuto.

E per i testi generati con IA?

Anche sui testi è importante evitare una semplificazione: non ogni testo scritto con l’aiuto dell’intelligenza artificiale deve automaticamente riportare un’etichetta.

L’AI Act introduce un obbligo specifico per chi utilizza un sistema AI per generare o manipolare testi pubblicati con lo scopo di informare il pubblico su questioni di interesse pubblico (politica, l'economia, la salute, l'ambiente o la sicurezza ). In questi casi deve essere dichiarata l’origine artificiale del contenuto.

Esiste però un’eccezione molto importante: l’obbligo non si applica quando il testo generato con AI è stato sottoposto a revisione umana o controllo editoriale e una persona fisica o giuridica si assume la responsabilità editoriale della pubblicazione.

Per gli utilizzi quotidiani dell’AI, anche quando l’etichettatura non è richiesta, è buona pratica prevedere sempre:

• una verifica umana dei contenuti
• un controllo delle informazioni e delle fonti
• una revisione coerente con tono e identità aziendale
• maggiore attenzione quando si trattano temi delicati
• una responsabilità editoriale chiaramente definita

L’intelligenza artificiale può velocizzare enormemente la produzione di contenuti. Il controllo finale, però, resta una responsabilità dell’azienda.

 

E quindi: bisogna preoccuparsi?

Dopo aver letto tutto questo, è probabile che molti si stiano facendo una domanda molto semplice:

“L’AI Act mette in difficoltà la mia impresa?”

La risposta, come spesso accade quando si parla di normativa, non è un sì o un no assoluto. Dipende. Dipende da che tipo di intelligenza artificiale utilizzi, da come la utilizzi, dal ruolo che la tua azienda ricopre rispetto a quel sistema e, soprattutto, dall’impatto che quel sistema può avere sulle persone o sui processi in cui viene inserito. 

Per molte imprese che utilizzano strumenti AI come supporto ad attività interne — ad esempio per analisi, produttività, marketing o generazione di contenuti — l’impatto dell’AI Act potrebbe essere relativamente contenuto, soprattutto se questi strumenti non rientrano in casistiche particolari disciplinate dal regolamento.

Questo significa che in molti casi il lavoro richiesto potrebbe essere soprattutto interno, puntando su:

• consapevolezza
• governance interna
• regole minime di utilizzo
• formazione

Per altre imprese, invece, il discorso può essere più delicato. Parliamo ad esempio di aziende che sviluppano soluzioni AI, integrano AI nei propri prodotti o servizi, utilizzano AI in processi decisionali sensibili, impiegano sistemi che interagiscono con utenti in contesti regolati, o lavorano in ambiti in cui il rischio può essere più elevato. 

In questi casi il regolamento può richiedere una valutazione molto più approfondita, perché l’impatto normativo può essere significativamente diverso.