Regolamento UE 2024/1689
AI Act: cosa deve fare un’azienda che usa l’intelligenza artificiale
Quasi tutte le aziende italiane sono deployer ai sensi dell’AI Act, cioè utilizzano sistemi di intelligenza artificiale senza svilupparli. In quel ruolo gli obblighi sono pochi e proporzionati: garantire l’alfabetizzazione AI del personale (articolo 4), non impiegare le pratiche vietate (articolo 5), rendere riconoscibile l’interazione con un sistema di AI o un contenuto generato (articolo 50). Gli adempimenti pesanti riguardano i fornitori e chi usa sistemi ad alto rischio.
Come è costruito
Il regolamento non tratta l’intelligenza artificiale come un blocco unico. Classifica i sistemi per rischio e attribuisce obblighi diversi a ciascuna classe, quindi la prima domanda utile non è “l’AI Act mi riguarda”, ma “in quale classe ricadono gli strumenti che uso”.
| Classe | Esempi | Cosa comporta |
|---|---|---|
| Rischio inaccettabile | Punteggio sociale, inferenza delle emozioni sul posto di lavoro, alcune forme di riconoscimento biometrico | Vietati |
| Alto rischio | Selezione del personale, valutazione dei lavoratori, accesso al credito, istruzione | Obblighi estesi per il fornitore, obblighi specifici per il deployer |
| Rischio di trasparenza | Chatbot, contenuti generati o manipolati artificialmente | Va reso riconoscibile a chi legge o interagisce |
| Rischio minimo | Assistenti di scrittura, traduttori, strumenti di produttività | Nessun adempimento oltre all’articolo 4 |
Nella pratica la maggior parte degli strumenti che un’azienda usa ogni giorno ricade nel rischio minimo. È la ragione per cui l’allarmismo che si legge sull’argomento è sproporzionato: per un’impresa che usa l’AI generativa per scrivere e sintetizzare documenti, l’unico obbligo strutturale è quello di formazione.
L’eccezione da conoscere riguarda le risorse umane. I sistemi usati per la selezione del personale e per la valutazione dei lavoratori ricadono nell’Allegato III, quindi in alto rischio, e portano con sé obblighi che le altre funzioni aziendali non hanno.
Fornitore o deployer
È la distinzione che determina quanti obblighi vi riguardano, e quella su cui si sbaglia più spesso. Il regolamento assegna a ciascun ruolo un capitolo diverso.
Fornitore
Chi sviluppa un sistema di AI, o lo fa sviluppare, e lo immette sul mercato dell’Unione con il proprio nome o marchio. È il ruolo con gli obblighi più pesanti. Un’azienda che compra software non è fornitore, ma può diventarlo se mette il proprio marchio su un sistema di terzi o se ne modifica in modo sostanziale la finalità.
Deployer
Chi utilizza un sistema di AI sotto la propria autorità nell’esercizio di un’attività professionale. È il ruolo in cui si trova la quasi totalità delle aziende e degli studi: chi usa ChatGPT, Copilot, Gemini o un gestionale con funzioni di AI integrate è deployer, e l’articolo 4 lo riguarda.
Importatore e distributore
Chi porta sul mercato dell’Unione un sistema di AI prodotto fuori, o lo rende disponibile lungo la catena di fornitura. Obblighi intermedi, soprattutto di verifica documentale.
Persona interessata
Chi subisce gli effetti di un sistema di AI. Non ha obblighi ma ha diritti, fra cui quello di ricevere una spiegazione quando una decisione basata su un sistema ad alto rischio la riguarda.
Gli obblighi del deployer
Questi sono gli adempimenti che riguardano un’azienda normale, quella che usa software di altri. In ordine di quante organizzazioni toccano.
Alfabetizzazione AI del personale
Articolo 4. Vale per qualsiasi sistema di AI, a prescindere dalla classe di rischio, e senza soglie dimensionali. È l’unico obbligo che riguarda praticamente ogni azienda italiana.
Non usare le pratiche vietate
Articolo 5. Riguarda casi come il punteggio sociale, l’inferenza delle emozioni sul posto di lavoro e alcune forme di riconoscimento biometrico. Sono divieti, non adempimenti, e si applicano dal 2 febbraio 2025.
Trasparenza verso le persone
Articolo 50. Quando una persona interagisce con un sistema di AI, o quando un contenuto è generato o manipolato artificialmente, va reso riconoscibile. Tocca chi usa chatbot e chi pubblica contenuti sintetici.
Obblighi aggiuntivi sui sistemi ad alto rischio
Articolo 26. Se l’azienda usa un sistema che ricade nell’Allegato III, per esempio nella selezione del personale o nella valutazione dei lavoratori, si aggiungono sorveglianza umana, uso conforme alle istruzioni, conservazione dei log e informazione ai lavoratori.
Le scadenze
- 1 ago 2024Il regolamento entra in vigore
- 2 feb 2025Si applicano il divieto delle pratiche vietate (art. 5) e l’obbligo di alfabetizzazione AI (art. 4)
- 2 ago 2025Obblighi per i modelli di uso generale, governance europea, designazione delle autorità nazionali e regime delle sanzioni
- 2 ago 2026Si applica la maggior parte delle restanti disposizioni, compresi gli obblighi sui sistemi ad alto rischio dell’Allegato III e quelli di trasparenzain vigore
- 2 ago 2027Completamento del regime per i sistemi ad alto rischio incorporati in prodotti già soggetti a normativa di settore
Cosa il regolamento non dice
Su questo argomento circolano tre affermazioni che non hanno base nel testo, e vale la pena conoscerle prima di firmare un preventivo.
Non esiste una certificazione obbligatoria
Il regolamento non prevede certificazioni né enti accreditati per l’alfabetizzazione AI. Un attestato di partecipazione documenta che la formazione è avvenuta, e ha senso averlo, ma non è un requisito di legge.
Non esiste un monte ore
Il criterio dell’articolo 4 è la sufficienza rispetto al ruolo delle persone e al rischio dei sistemi impiegati. Chiunque indichi un numero di ore come obbligo normativo lo sta aggiungendo di suo.
L’articolo 4 non ha una sanzione autonoma
Le cifre elevate che si leggono, fino a percentuali del fatturato mondiale, appartengono all’articolo 99 e riguardano soprattutto le pratiche vietate e gli obblighi sui sistemi ad alto rischio. L’alfabetizzazione rileva nella valutazione complessiva della diligenza dell’organizzazione, e come elemento che pesa quando emerge un problema diverso.
Cosa fare, in pratica
Per un’azienda che non è fornitore e non usa sistemi ad alto rischio, il percorso è più breve di quanto sembri.
- Censire. Quali sistemi di AI sono realmente in uso, da chi, su quali dati e con quale tipo di account. Questa fase fa emergere quasi sempre strumenti che nessuno aveva autorizzato.
- Classificare. Per ciascuno, stabilire in quale classe di rischio ricade e se qualcuno rientra nell’Allegato III. Di solito la risposta è no, e questo semplifica tutto il resto.
- Formare. In modo proporzionato al ruolo delle persone e al rischio dei sistemi, e su documenti veri di quell’azienda.
- Scrivere una policy. Chi può usare cosa, su quali dati, con quale supervisione, e cosa non deve mai entrare in un prompt.
- Documentare e aggiornare. Un registro che tenga traccia di quanto sopra, e una revisione periodica, perché gli strumenti cambiano più in fretta della norma.
Questa pagina descrive un quadro normativo in evoluzione e non costituisce un parere legale. Per stabilire se una specifica attività o un sistema ricadono in una determinata classe conviene rivolgersi a un legale.
Gli approfondimenti
Questa pagina copre il perimetro. Dove un obbligo o un settore hanno bisogno di più spazio, c’è una guida dedicata.
Domande frequenti
L’AI Act si applica alla mia azienda?
Se utilizzate un qualsiasi sistema di intelligenza artificiale nel lavoro, siete deployer e il regolamento vi riguarda. L’obbligo che tocca praticamente ogni azienda è quello di alfabetizzazione AI dell’articolo 4. Gli altri obblighi dipendono dalla classe di rischio dei sistemi che usate: la maggior parte degli strumenti di uso comune ricade nel rischio minimo, dove non ci sono adempimenti oltre all’articolo 4 e alla trasparenza.
Che differenza c’è fra fornitore e deployer?
Il fornitore sviluppa il sistema e lo immette sul mercato con il proprio nome; il deployer lo utilizza nell’esercizio della propria attività. Un’azienda che compra o sottoscrive software è deployer, e questo la colloca nella parte del regolamento con gli obblighi più leggeri. Può però diventare fornitore se appone il proprio marchio su un sistema di terzi o se ne modifica in modo sostanziale la finalità.
Quali sono le sanzioni?
L’articolo 99 prevede importi diversi a seconda della violazione, fino a percentuali del fatturato mondiale annuo per le pratiche vietate, con soglie più basse per la maggior parte degli altri obblighi. L’articolo 4 sull’alfabetizzazione non ha una sanzione autonoma con importo predeterminato: rileva soprattutto nella valutazione complessiva della diligenza dell’organizzazione. Chi cita le cifre più alte a proposito della formazione sta mescolando disposizioni diverse.
Serve una certificazione o un corso accreditato?
No. Il regolamento non prevede certificazioni obbligatorie né enti accreditati per l’alfabetizzazione AI, e non indica un monte ore. Quello che chiede è poter dimostrare le misure adottate, proporzionate al ruolo delle persone e al rischio dei sistemi utilizzati.
Come si dimostra di aver adempiuto?
La norma non prescrive un formato. Nella prassi si conserva un registro con l’inventario dei sistemi di AI in uso, le persone formate con ruolo e data, i contenuti erogati, la policy interna adottata e il piano di aggiornamento. Sono documenti che il regolamento non richiede espressamente ma che rendono verificabile quello che è stato fatto.
Chi vigila in Italia?
Le autorità nazionali designate dagli Stati membri, che esercitano i poteri previsti dal regolamento a partire dal 2 agosto 2026. La legge italiana in materia di intelligenza artificiale ha individuato le autorità competenti a livello nazionale.
Primo passo
Vi serve capire dove siete rispetto a questi obblighi.
Trenta minuti di call sui sistemi che usate già, e cosa comportano nel vostro caso.