AI Act: obblighi per le aziende che usano l'intelligenza artificiale
Consulenza legale sull'AI Act per chi sviluppa, compra o semplicemente usa strumenti di intelligenza artificiale in azienda.
L'AI Act (Regolamento UE 2024/1689) non riguarda solo chi sviluppa intelligenza artificiale: anche le aziende che la usano, chiamate "deployer", hanno degli obblighi. Dal 2 febbraio 2025 alcune pratiche sono vietate (art. 5). Chi fornisce o usa sistemi di IA deve anche adottare misure per sostenere l'alfabetizzazione del proprio personale (art. 4, come sostituito dal Reg. UE 2026/1744), senza che la legge fissi un livello specifico da raggiungere. Gli obblighi per i sistemi ad alto rischio arrivano dopo: dal 2 dicembre 2027 per quelli dell'allegato III, dal 2 agosto 2028 per quelli dell'allegato I. Il primo passo è sapere quali strumenti di IA usa davvero la tua azienda, e per cosa.
Il problema
Quasi ogni azienda usa già l’intelligenza artificiale, spesso senza averlo deciso: un dipendente che incolla un contratto in un chatbot, un software per le risorse umane che ordina i curriculum, un gestionale che ha aggiunto “funzioni smart” con l’ultimo aggiornamento. L’AI Act guarda proprio a questo, non solo a chi sviluppa modelli. Il problema è che nessuno ha una lista di cosa si usa, chi l’ha comprato e con quali dati. Senza quella lista non si capisce quali obblighi si applicano, e intanto i dati dei clienti e dei dipendenti finiscono in strumenti di cui nessuno ha letto le condizioni.
Il taglio giuridico
L’AI Act distingue chi fornisce un sistema e chi lo usa, e assegna obblighi diversi a seconda del rischio. Le sanzioni arrivano fino a 35 milioni di euro o al 7% del fatturato mondiale per le pratiche vietate (art. 99). La governance qui è una scelta dell’organizzazione: chi decide quali strumenti adottare, chi li controlla, quali regole valgono per i dipendenti. Sono decisioni che spettano a chi amministra e che vanno documentate. Poi ci sono i fornitori: quando compri un software con funzioni di IA, il contratto deve dirti come è stato addestrato, che fine fanno i tuoi dati e chi risponde se il sistema sbaglia. Sulla vigilanza, le autorità nazionali competenti sono indicate dalla legge italiana [DA VERIFICARE] (R7); molti controlli passeranno comunque anche dal GDPR, che per i dati personali si applica già oggi.
Come lavoro
Comincio con una mappatura: quali strumenti di IA usa la tua azienda, per fare cosa, con quali dati e con quale contratto. Per farla parlo con chi li usa e con chi li ha comprati, perché spesso sono persone diverse. Poi classifico i sistemi secondo l’AI Act, individuo gli obblighi che si applicano davvero e scrivo una policy interna sull’uso dell’IA che le persone riescano a seguire. Rivedo i contratti con i fornitori e organizzo la formazione per l’alfabetizzazione, tarata su quello che il tuo personale fa ogni giorno e non su un corso generico.
Riferimenti normativi
- Regolamento (UE) 2024/1689 (AI Act), come modificato dal Regolamento (UE) 2026/1744
- Art. 4 AI Act (testo sostituito dal Reg. (UE) 2026/1744): alfabetizzazione in materia di IA
- Art. 5 AI Act: pratiche di IA vietate (le nuove lett. b bis e b ter del par. 1, aggiunte dal Reg. (UE) 2026/1744, si applicano dal 2 dicembre 2026)
- Art. 26 AI Act: obblighi dei deployer di sistemi ad alto rischio
- Art. 50 AI Act: obblighi di trasparenza
- Art. 99 AI Act: sanzioni
- Art. 113, c. 3, lett. c) AI Act (come sostituito dal Reg. (UE) 2026/1744): obblighi per l'alto rischio dal 2 dicembre 2027 (allegato III) e dal 2 agosto 2028 (allegato I)
Domande frequenti
AI Act: quali obblighi per le aziende?
Dipende dal ruolo (fornitore che sviluppa o mette sul mercato, oppure deployer che usa) e dal livello di rischio del sistema. Per tutti valgono già il divieto delle pratiche vietate (art. 5) e il dovere di sostenere l'alfabetizzazione del personale (art. 4). Chi usa sistemi ad alto rischio, per esempio nella selezione del personale, avrà obblighi in più (art. 26): sorveglianza umana, conservazione dei log, informazione dei lavoratori. Si applicano dal 2 dicembre 2027 ai sistemi dell'allegato III, dove sta anche la selezione del personale, e dal 2 agosto 2028 a quelli dell'allegato I. Meglio arrivarci preparati.
AI Act: la formazione è obbligatoria?
Non nel senso di un corso fisso. L'art. 4, nel testo sostituito dal Reg. (UE) 2026/1744, chiede a fornitori e deployer di adottare misure per sostenere lo sviluppo dell'alfabetizzazione sull'IA di chi la usa per loro conto, e precisa che non bisogna garantire un livello specifico. La Commissione pubblicherà esempi pratici (art. 4, par. 2). Una formazione mirata e documentata resta il modo più semplice per dimostrare che quelle misure le hai prese.
AI Act: quali sanzioni?
Fino a 35 milioni di euro o al 7% del fatturato mondiale annuo per le pratiche vietate, fino a 15 milioni o al 3% per la violazione degli altri obblighi, e fino a 7,5 milioni o all'1% per informazioni inesatte fornite alle autorità (art. 99). Per le PMI si applica l'importo più basso tra i due.
Se uso ChatGPT in azienda devo fare qualcosa?
Sì, anche se non sviluppi niente. Servono regole interne su cosa si può inserire nello strumento (dati personali e segreti aziendali soprattutto), alfabetizzazione di chi lo usa e un controllo dei termini contrattuali del fornitore. Spesso il tema più urgente non è l'AI Act ma il GDPR.