Dal 2 agosto 2026 l’AI Act non “nasce” da zero: è già entrato in vigore nel 2024 e alcune parti sono già applicabili. Il 2 agosto 2026 è però una data chiave perché diventano applicabili molte regole generali, soprattutto trasparenza verso le persone e vari obblighi per chi usa o fornisce sistemi di IA. Attenzione: sulle regole per i sistemi ad alto rischio è in corso/già intervenuto un percorso “Omnibus” UE che prevede lo slittamento al 2 dicembre 2027 per sistemi stand-alone e al 2 agosto 2028 per sistemi integrati in prodotti; al 15 giugno 2026 il Consiglio UE parla di accordo provvisorio, quindi va monitorata la formalizzazione definitiva.
1. Cosa “dice” l’AI Act in pratica
L’AI Act è un regolamento europeo basato sul rischio. Non vieta l’IA in generale, ma distingue tra:
Pratiche vietate: sono già applicabili dal 2 febbraio 2025. Riguardano usi considerati inaccettabili, per esempio manipolazione, sfruttamento di vulnerabilità, social scoring e alcune forme di identificazione/classificazione biometrica. La Commissione ha pubblicato linee guida specifiche sulle pratiche vietate.
Obbligo di alfabetizzazione IA: anch’esso applicabile dal 2 febbraio 2025. Fornitori e utilizzatori professionali devono garantire un livello sufficiente di “AI literacy” al personale e alle persone che usano sistemi IA per loro conto, tenendo conto di conoscenze tecniche, esperienza, formazione e contesto d’uso.
Obblighi di trasparenza dal 2 agosto 2026: le persone devono essere informate quando interagiscono con certi sistemi IA o quando sono esposte a determinati contenuti generati/manipolati da IA; questo include chatbot, sistemi interattivi, deepfake e contenuti generativi in specifici casi.
Sistemi ad alto rischio: sono i casi più rilevanti per aziende strutturate, perché possono includere ambiti come lavoro/HR, istruzione, infrastrutture critiche, sicurezza, accesso a servizi essenziali, credito, migrazione, giustizia. La Commissione sta lavorando a linee guida per aiutare fornitori e utilizzatori a capire se un sistema rientra nella categoria “high-risk”.
2. Obblighi delle aziende
Per le aziende bisogna prima capire il ruolo. L’impresa può essere provider/fornitore se sviluppa o mette sul mercato un sistema IA con il proprio nome; può essere deployer/utilizzatore se usa un sistema IA nella propria organizzazione; può essere anche importatore, distributore o integratore.
Per tutte le aziende che usano IA in modo professionale, gli obblighi minimi sono:
Mappare i sistemi IA in uso: elenco di strumenti, finalità, reparti coinvolti, dati trattati, fornitori, utenti esposti, output prodotti e grado di autonomia. Questo serve per classificare il rischio.
Formare il personale: l’obbligo di AI literacy non riguarda solo i tecnici. Chi usa strumenti IA per attività aziendali deve ricevere istruzioni adeguate sui limiti, sui rischi, sulla privacy, sulla verifica degli output e sull’uso corretto.
Evitare pratiche vietate: per esempio non utilizzare sistemi manipolativi, social scoring, sistemi biometrici o predittivi vietati nei termini previsti dall’AI Act. Le violazioni delle pratiche vietate possono arrivare fino a 35 milioni di euro o 7% del fatturato mondiale annuo, se superiore.
Gestire gli obblighi di trasparenza: se l’azienda usa chatbot verso clienti, strumenti che generano contenuti, immagini/audio/video sintetici, deepfake o sistemi interattivi, deve prevedere informative, etichette o avvisi chiari secondo l’art. 50. Dal 2 agosto 2026 questi obblighi diventano particolarmente rilevanti.
Valutare se ci sono sistemi ad alto rischio: esempi tipici per molte imprese sono software IA per selezione del personale, screening CV, valutazione performance, assegnazione turni con effetti significativi, sicurezza sul lavoro, controllo accessi biometrico, valutazioni automatizzate di affidabilità o scoring. Per i sistemi high-risk gli obblighi sono più pesanti: gestione del rischio, qualità dei dati, documentazione tecnica, logging, supervisione umana, accuratezza, robustezza, cybersecurity, monitoraggio e, in alcuni casi, registrazione e valutazione d’impatto sui diritti fondamentali.
Informare i lavoratori quando l’IA li riguarda: per i sistemi ad alto rischio usati sul lavoro, l’azienda deve prestare attenzione agli obblighi di informazione e supervisione. Le fonti riepilogative sull’art. 26 indicano che, prima dell’uso di un sistema high-risk, i lavoratori devono essere informati quando il sistema è usato nei loro confronti.
Coordinare AI Act, GDPR e sicurezza informatica: se il sistema IA tratta dati personali, resta applicabile anche il GDPR. Quindi servono basi giuridiche, informative privacy, DPIA quando necessaria, minimizzazione dei dati, gestione fornitori, misure tecniche e organizzative.
3. E i dipendenti?
L’AI Act, di regola, non pone obblighi diretti generalizzati sul singolo dipendente come persona fisica. Gli obblighi principali ricadono su provider, deployer, importatori, distributori e organizzazioni.
Però, nella pratica aziendale, i dipendenti hanno obblighi indiretti perché devono:
Seguire le procedure aziendali sull’uso dell’IA: per esempio quali strumenti si possono usare, con quali dati, per quali finalità e con quali controlli.
Non inserire dati riservati o personali in strumenti non autorizzati: questo è particolarmente importante per ChatGPT, Copilot, Gemini, traduttori automatici, strumenti di trascrizione, generatori di immagini, software HR o strumenti cloud.
Verificare gli output: l’IA può produrre errori, informazioni inventate, bias o contenuti non conformi. Il dipendente non dovrebbe usare l’output come decisione automatica non controllata, soprattutto in ambiti HR, sicurezza, qualità, ambiente, legale o consulenziale.
Dichiarare/etichettare contenuti generati da IA quando richiesto: se produce testi, immagini, audio, video o comunicazioni esterne con IA, deve rispettare le istruzioni aziendali di trasparenza.
Partecipare alla formazione: l’azienda deve assicurare AI literacy; il dipendente deve ragionevolmente attenersi alla formazione ricevuta e alle policy interne.
4. Cosa dovrebbe fare un’azienda adesso
La strada più concreta è predisporre una procedura di governance IA con questi elementi: inventario degli strumenti IA, classificazione del rischio, policy per i dipendenti, formazione, regole per dati personali e informazioni riservate, gestione fornitori, controllo degli output, criteri per l’uso di IA in HR, marketing, qualità, sicurezza e consulenza, registro degli usi ad alto impatto.
Per una PMI o società di consulenza, il primo documento utile è una AI Policy aziendale: semplice, operativa, con esempi di uso consentito/vietato, obbligo di verifica umana e regole su dati personali/clienti. Poi conviene affiancare un registro degli strumenti IA e una breve procedura di valutazione preventiva prima di introdurre nuovi tool.
Eurotecna supporta le aziende nell’applicazione dell’AI ACT, contattaci.
