L’intelligenza artificiale è ormai utilizzata quotidianamente da aziende, professionisti e pubbliche amministrazioni.

Strumenti come ChatGPT, Microsoft Copilot, Gemini, chatbot per l’assistenza clienti, software di selezione del personale, generatori di immagini e sistemi di analisi automatizzata permettono di risparmiare tempo e aumentare la produttività.

L’utilizzo dell’intelligenza artificiale, tuttavia, deve essere organizzato e controllato.

Il Regolamento europeo sull’intelligenza artificiale, conosciuto come AI Act – Regolamento UE 2024/1689, stabilisce obblighi differenti in base al tipo di sistema utilizzato, al livello di rischio e al ruolo svolto dall’organizzazione.

Il 2 agosto 2026 rappresenta una delle principali date di applicazione del Regolamento. Da questa data diventano operative, tra le altre, importanti disposizioni sulla trasparenza dei sistemi di intelligenza artificiale e si rafforza l’attività di vigilanza sul rispetto degli obblighi di alfabetizzazione e formazione del personale.

È però importante fare una precisazione:

Dal 2 agosto 2026 non entra in vigore un unico adempimento identico per tutte le aziende.

Gli obblighi dipendono da quali strumenti di intelligenza artificiale vengono utilizzati e da come vengono impiegati.

AI Act: quali obblighi sono già in vigore?

L’AI Act è entrato in vigore il 1° agosto 2024, ma la sua applicazione è stata programmata in più fasi.

Dal 2 febbraio 2025 sono già applicabili:

• il divieto di utilizzare determinate pratiche di intelligenza artificiale considerate inaccettabili;
• l’obbligo di adottare misure per sviluppare un adeguato livello di conoscenza dell’intelligenza artificiale da parte del personale;
• le disposizioni generali che definiscono cosa si intende per sistema di intelligenza artificiale.

Dal 2 agosto 2025 sono invece diventate applicabili le regole di governance e gli obblighi riguardanti i modelli di intelligenza artificiale per finalità generali, i cosiddetti modelli GPAI.

L’obbligo di sviluppare l’alfabetizzazione sull’intelligenza artificiale, previsto dall’articolo 4 dell’AI Act, riguarda anche le aziende nelle quali i dipendenti utilizzano strumenti come ChatGPT per scrivere testi pubblicitari, preparare documenti o effettuare traduzioni.

Cosa cambia dal 2 agosto 2026?

Il 2 agosto 2026 diventa applicabile gran parte del Regolamento europeo e, in particolare, entrano in vigore gli obblighi di trasparenza previsti dall’articolo 50 dell’AI Act.

Questi obblighi servono a permettere alle persone di riconoscere quando:

• stanno interagendo direttamente con un sistema di intelligenza artificiale;
• sono esposte a contenuti generati o modificati dall’intelligenza artificiale;
• vengono utilizzati sistemi di riconoscimento delle emozioni;
• vengono utilizzati sistemi di categorizzazione biometrica;
• vengono mostrati contenuti “deepfake”;
• vengono pubblicati testi generati dall’AI su temi di interesse pubblico senza una reale revisione umana.

Le persone devono quindi poter comprendere chiaramente quando stanno parlando con un sistema automatico oppure quando un’immagine, un video, un audio o un contenuto informativo è stato creato o modificato utilizzando l’intelligenza artificiale.

Non tutti i contenuti generati dall’AI devono essere segnalati

L’AI Act non impone di scrivere “contenuto generato dall’intelligenza artificiale” su qualsiasi testo prodotto con ChatGPT o con strumenti simili.

Per i testi, l’obbligo di etichettatura riguarda principalmente i contenuti:

• pubblicati;
• destinati a informare il pubblico;
• relativi a questioni di interesse pubblico;
• non sottoposti a un’effettiva revisione umana o a un controllo editoriale.

Una revisione solamente grammaticale o formale non è sufficiente. La verifica deve riguardare il contenuto, le fonti, la correttezza delle informazioni e la decisione finale di pubblicazione.

Quando una persona competente controlla realmente il testo e assume la responsabilità editoriale della pubblicazione, l’etichettatura prevista per i testi di interesse pubblico può non essere necessaria.

Gli obblighi per i sistemi ad alto rischio sono stati rinviati

Una parte importante degli obblighi relativi ai sistemi di intelligenza artificiale classificati come “ad alto rischio” non entrerà più in applicazione il 2 agosto 2026.

A seguito delle modifiche introdotte con il cosiddetto AI Omnibus, le principali disposizioni riguardanti i sistemi ad alto rischio si applicheranno:

• dal 2 dicembre 2027 per i sistemi appartenenti alle categorie sensibili indicate nell’Allegato III;
• dal 2 agosto 2028 per i sistemi di intelligenza artificiale integrati in determinati prodotti regolamentati.

Rientrano potenzialmente tra gli ambiti più delicati l’occupazione, la selezione del personale, l’accesso a servizi essenziali, alcuni sistemi biometrici, l’istruzione, la giustizia e la sicurezza.

Questo rinvio non significa che le aziende possano ignorare l’AI Act.

Gli obblighi già applicabili, come la formazione del personale, il divieto di determinate pratiche e le regole di trasparenza, devono comunque essere rispettati.

La tua azienda è in regola con l’AI Act?

Rispondi alle seguenti domande per effettuare una prima verifica.

1. Hai censito tutti i sistemi di intelligenza artificiale utilizzati?

L’azienda dovrebbe conoscere quali strumenti vengono utilizzati ufficialmente e quali vengono utilizzati autonomamente dai dipendenti.

Nell’elenco possono rientrare:

• ChatGPT, Copilot, Gemini e altri assistenti generativi;
• chatbot installati sul sito web;
• strumenti per generare immagini, audio o video;
• software di selezione e valutazione del personale;
• sistemi di analisi dei clienti;
• strumenti di traduzione automatica;
• programmi che effettuano classificazioni, previsioni o raccomandazioni;
• funzioni AI integrate nei gestionali e nei software aziendali.

L’utilizzo non autorizzato di applicazioni AI da parte dei dipendenti viene spesso definito Shadow AI e può comportare rischi legati alla riservatezza, alla protezione dei dati e alla sicurezza delle informazioni.

2. Hai stabilito chi è responsabile della gestione dell’intelligenza artificiale?

Non è sempre obbligatorio nominare formalmente un “AI Officer”.

È però opportuno individuare almeno una persona o un gruppo di lavoro incaricato di:

• autorizzare gli strumenti AI;
• verificare i fornitori;
• approvare le modalità di utilizzo;
• organizzare la formazione;
• controllare eventuali incidenti;
• aggiornare procedure e valutazioni.

La responsabilità può essere assegnata, in base alla struttura aziendale, alla direzione, al responsabile IT, al responsabile qualità, al DPO, al responsabile della sicurezza o a un gruppo multidisciplinare.

3. Il personale ha ricevuto una formazione adeguata?

L’obbligo di adottare misure per sviluppare la conoscenza dell’intelligenza artificiale è già applicabile dal 2 febbraio 2025.

La formazione dovrebbe essere proporzionata agli strumenti utilizzati e ai rischi connessi.

Un dipendente che utilizza l’AI per scrivere semplici email avrà esigenze formative differenti rispetto a chi usa sistemi automatici per selezionare candidati, analizzare dati sanitari o assumere decisioni che incidono sulle persone.

La Commissione europea chiarisce che non è obbligatorio possedere uno specifico certificato. L’organizzazione dovrebbe però conservare evidenza delle attività formative e delle istruzioni fornite.

4. Esiste una procedura o una policy aziendale sull’uso dell’AI?

La procedura dovrebbe spiegare almeno:

• quali strumenti sono autorizzati;
• quali strumenti non possono essere utilizzati;
• quali dati possono essere inseriti;
• quali informazioni non devono essere comunicate ai sistemi AI;
• quando è necessaria una verifica umana;
• come controllare le risposte generate;
• come segnalare errori, incidenti o utilizzi impropri;
• come gestire immagini, testi, video e altri contenuti generati.

Una semplice regola pratica dovrebbe essere sempre ricordata:

Non inserire dati personali, informazioni riservate, segreti aziendali o documenti dei clienti all’interno di strumenti AI non preventivamente valutati e autorizzati.

5. Utilizzi chatbot o assistenti AI che interagiscono con clienti e utenti?

Quando una persona interagisce direttamente con un sistema di intelligenza artificiale, deve essere informata in modo chiaro fin dall’inizio dell’interazione, salvo che sia già evidente che sta parlando con un sistema automatico.

L’azienda deve quindi verificare:

• chi è il fornitore del sistema;
• quale soggetto è responsabile dell’obbligo di trasparenza;
• se l’informazione è chiaramente visibile;
• quali dati vengono raccolti;
• dove vengono conservati;
• se le conversazioni vengono utilizzate per addestrare il sistema;
• se privacy policy e informative devono essere aggiornate.

6. Produci immagini, video, audio o contenuti informativi con l’AI?

Occorre verificare se vengono prodotti:

• deepfake;
• immagini realistiche di persone o avvenimenti;
• voci artificiali;
• video modificati;
• contenuti informativi su temi di interesse pubblico;
• articoli pubblicati senza una reale revisione umana.

I deepfake devono essere segnalati in modo chiaro e percepibile al momento della prima esposizione.

Per i testi di interesse pubblico, invece, l’obbligo di etichettatura può non applicarsi quando esiste un’effettiva revisione umana, un controllo editoriale e una persona che assume la responsabilità della pubblicazione.

7. Utilizzi l’AI per valutare persone o assumere decisioni importanti?

È necessario prestare particolare attenzione quando l’intelligenza artificiale viene utilizzata per:

• selezionare o valutare candidati;
• controllare lavoratori e collaboratori;
• assegnare compiti o valutazioni;
• analizzare emozioni o comportamenti;
• effettuare categorizzazioni biometriche;
• determinare l’accesso a servizi;
• attribuire punteggi o livelli di affidabilità;
• prendere decisioni che producono effetti significativi sulle persone.

Questi utilizzi possono coinvolgere contemporaneamente AI Act, GDPR, normativa sul lavoro e altre disposizioni settoriali.

Anche quando le regole specifiche sui sistemi ad alto rischio non sono ancora pienamente applicabili, è opportuno effettuare fin da subito una valutazione specialistica.

8. Puoi dimostrare le verifiche effettuate?

La conformità non consiste soltanto nel dichiarare di utilizzare correttamente l’intelligenza artificiale.

L’azienda dovrebbe poter mostrare:

• elenco dei sistemi AI utilizzati;
• fornitori e contratti;
• finalità di utilizzo;
• valutazione dei rischi;
• procedure interne;
• autorizzazioni;
• registri della formazione;
• controlli periodici;
• evidenze della revisione umana;
• segnalazioni di errori o incidenti;
• azioni correttive adottate.

Se hai risposto “NO” a una o più domande, la tua organizzazione dovrebbe avviare un percorso di adeguamento.

Cosa deve fare concretamente un’azienda?

1. Creare un registro degli strumenti di intelligenza artificiale

Il primo passo consiste nel censire software, piattaforme, chatbot, servizi online e funzionalità AI integrate nei programmi già utilizzati.

Per ogni strumento è utile registrare:

• nome del sistema;
• fornitore;
• reparto che lo utilizza;
• utenti autorizzati;
• finalità;
• tipologia di dati inseriti;
• risultati prodotti;
• eventuali decisioni influenzate;
• rischi;
• misure di controllo;
• data dell’ultima verifica.

2. Individuare il proprio ruolo

L’AI Act distingue principalmente tra:

• provider, cioè il soggetto che sviluppa o fa sviluppare un sistema e lo immette sul mercato con il proprio nome;
• deployer, cioè l’organizzazione che utilizza un sistema AI sotto la propria autorità per finalità professionali.

La maggior parte delle aziende che utilizza strumenti già disponibili sul mercato opera come deployer.

Un’organizzazione che sviluppa, personalizza profondamente o distribuisce un sistema con il proprio marchio potrebbe invece assumere anche il ruolo di provider.

3. Classificare i sistemi in base al rischio

Per ogni sistema occorre capire se si tratta di:

• pratica vietata;
• sistema soggetto a obblighi di trasparenza;
• sistema potenzialmente ad alto rischio;
• sistema a rischio limitato;
• strumento con rischi minimi.

La classificazione non dovrebbe basarsi soltanto sul nome del software, ma sulla finalità concreta e sulle modalità con cui viene utilizzato.

4. Predisporre una policy aziendale sull’AI

La policy deve stabilire regole semplici, comprensibili e applicabili.

È opportuno evitare documenti generici che nessuno legge.

Le istruzioni dovrebbero essere adattate ai reparti aziendali e contenere esempi pratici di comportamenti consentiti e vietati.

5. Formare il personale e conservare le evidenze

La formazione deve aiutare i lavoratori a comprendere:

• come funziona l’intelligenza artificiale;
• quali strumenti vengono utilizzati in azienda;
• quali opportunità offre;
• quali sono i rischi;
• cosa sono le cosiddette “allucinazioni” dell’AI;
• come verificare le risposte;
• come proteggere dati personali e informazioni riservate;
• quando deve intervenire una persona;
• come segnalare problemi o incidenti.

Occorre conservare programmi, registri delle presenze, attestati, materiali formativi e aggiornamenti periodici.

6. Applicare gli obblighi di trasparenza

L’azienda deve verificare se è necessario:

• informare l’utente che sta interagendo con un sistema AI;
• rendere riconoscibile un contenuto generato o modificato;
• segnalare un deepfake;
• informare le persone sull’utilizzo di sistemi biometrici o di riconoscimento delle emozioni;
• indicare che un testo di interesse pubblico è stato generato dall’AI senza revisione umana.

Dal 2 agosto 2026 le violazioni degli obblighi di trasparenza possono essere soggette a sanzioni che, nei casi previsti dal Regolamento, possono arrivare fino a 15 milioni di euro oppure al 3% del fatturato mondiale annuo. Nell’applicazione delle sanzioni devono essere considerate proporzionalità, gravità della violazione e dimensioni dell’organizzazione.

7. Integrare AI Act, GDPR e sicurezza informatica

Quando un sistema AI tratta dati personali, gli obblighi dell’AI Act non sostituiscono quelli del GDPR.

Occorre verificare contemporaneamente:

• base giuridica del trattamento;
• informativa privacy;
• minimizzazione dei dati;
• tempi di conservazione;
• rapporti con i fornitori;
• trasferimenti fuori dall’Unione europea;
• misure di sicurezza;
• eventuale valutazione d’impatto;
• gestione degli incidenti e dei data breach.

La gestione dell’intelligenza artificiale deve quindi essere inserita nel sistema complessivo di protezione dei dati e sicurezza aziendale.

8. Programmare audit e aggiornamenti periodici

Gli strumenti AI cambiano rapidamente.

Un sistema inizialmente utilizzato per una funzione limitata può essere successivamente integrato in altri processi o impiegato per prendere decisioni più importanti.

Per questo motivo è opportuno prevedere:

• verifiche periodiche;
• aggiornamento dell’inventario;
• controllo dei fornitori;
• revisione delle procedure;
• nuova formazione;
• verifica degli incidenti;
• valutazione delle azioni correttive.

Come DATI360 aiuta a gestire gli adempimenti dell’AI Act

La conformità all’AI Act non dovrebbe tradursi in una raccolta disordinata di documenti, file Excel, email e attestati difficili da ritrovare.

Con DATI360 è possibile organizzare in un unico sistema le informazioni e le evidenze necessarie per gestire il percorso di adeguamento.

Censimento degli strumenti AI

I software e i servizi di intelligenza artificiale possono essere registrati tra gli asset aziendali, indicando fornitore, utilizzatori, finalità, documentazione, rischi, responsabili e scadenze.

Gestione di fornitori e ruoli

DATI360 consente di censire fornitori, dipendenti, collaboratori e ruoli aziendali, collegando responsabilità, incarichi, documenti e verifiche.

In questo modo è possibile sapere chi utilizza un determinato sistema e chi deve controllarne l’impiego.

Formazione e attestati

La piattaforma permette di:

• pianificare la formazione;
• registrare i corsi effettuati;
• associare i partecipanti;
• archiviare attestati e materiali;
• controllare le scadenze;
• dimostrare le attività svolte.

Procedure e istruzioni operative

Le policy e le procedure aziendali sull’uso dell’intelligenza artificiale possono essere organizzate e rese disponibili all’interno del sistema, evitando versioni differenti o documenti non aggiornati.

Analisi dei rischi

DATI360 aiuta a censire i rischi associati agli strumenti utilizzati e a collegare le misure organizzative e tecniche adottate per ridurli.

Audit e verifiche periodiche

Attraverso la gestione degli audit è possibile programmare controlli, registrare i risultati, individuare criticità e monitorare le azioni di miglioramento.

Non conformità e incidenti

Errori, utilizzi impropri, divulgazioni di dati, contenuti non corretti o altri eventi possono essere registrati, analizzati e gestiti attraverso azioni correttive.

Scadenzario ed esportazione delle evidenze

Scadenze, verifiche e aggiornamenti possono essere monitorati attraverso un unico scadenzario.

La documentazione e le registrazioni possono inoltre essere esportate e rese disponibili in caso di controllo, audit o richiesta di un cliente.

DATI360 dispone già di sezioni dedicate ad asset, fornitori, ruoli, formazione, piano formativo, audit, analisi dei rischi, procedure, eventi, non conformità, scadenzario ed esportazione dei documenti.

L’obiettivo è applicare lo stesso principio già utilizzato per la Privacy e il GDPR: analizzare l’organizzazione, individuare rischi e responsabilità, formare le persone, programmare i controlli e conservare evidenze verificabili.

AI Act: non aspettare un controllo

L’intelligenza artificiale può rappresentare una grande opportunità per le aziende, ma deve essere utilizzata in modo responsabile.

Vietare indiscriminatamente tutti gli strumenti AI non è una soluzione efficace. Ignorare come vengono utilizzati dai dipendenti è però ancora più rischioso.

La strada corretta consiste nel:

• conoscere gli strumenti utilizzati;
• definire regole chiare;
• formare il personale;
• proteggere dati e informazioni;
• mantenere un controllo umano;
• documentare le attività;
• verificare periodicamente il sistema.

Con DATI360 puoi organizzare gli adempimenti dell’AI Act insieme a Privacy, GDPR, sicurezza informatica e altri sistemi di compliance, riducendo il tempo dedicato alla gestione documentale e mantenendo sotto controllo attività, rischi e scadenze.

Metti in regola la tua attività e trasforma la conformità in un vantaggio competitivo.

Scopri DATI360, richiedi una demo e verifica come gestire in modo semplice gli adempimenti dell’AI Act.

Nota: il presente articolo ha finalità informative e non sostituisce una valutazione legale o tecnica riferita alle caratteristiche specifiche dell’organizzazione e dei sistemi di intelligenza artificiale utilizzati.