ChatGPT, chatbot, automazioni, software con funzioni AI: l’AI Act non riguarda soltanto chi sviluppa modelli di intelligenza artificiale. Per molte aziende il primo passo è comprendere dove l’AI sia già entrata nei processi, con quali finalità e con quali responsabilità.
Aggiornato a settembre 2026
Negli ultimi due anni l’intelligenza artificiale è entrata nelle aziende con una velocità superiore a quella con cui sono state definite regole, procedure e, in molti casi, una reale consapevolezza del suo utilizzo. Lo vedo nel mio lavoro, ma anche nel confronto con clienti, sviluppatori e studenti: si discute molto di come introdurre l’AI in un’organizzazione, mentre più raramente si parte dalla ricognizione di ciò che è già presente.
In realtà, l’adozione è spesso già avvenuta, senza che sia esistito un momento preciso in cui l’azienda abbia deciso formalmente di “adottare l’intelligenza artificiale”. ChatGPT viene utilizzato per lavorare su documenti e offerte, il marketing impiega strumenti generativi per testi e immagini, le riunioni vengono trascritte automaticamente, alcune piattaforme incorporano funzionalità AI che pochi mesi prima non avevano e, parallelamente, chatbot e modelli linguistici vengono integrati attraverso API all’interno di siti, applicazioni e software aziendali.
È in questo scenario che l’AI Act sta diventando concretamente applicabile. Leggerlo esclusivamente come una nuova normativa da tradurre in documentazione e adempimenti rischia però di far perdere il punto più interessante: prima ancora della conformità normativa, molte organizzazioni hanno la necessità di conoscere e governare meglio l’intelligenza artificiale che stanno già utilizzando.
L’AI Act è entrato nella sua fase operativa
Il Regolamento europeo sull’intelligenza artificiale è entrato in vigore nel 2024, ma il legislatore europeo ne ha previsto un’applicazione progressiva. Alcune disposizioni sono operative già dal 2 febbraio 2025, mentre dal 2 agosto 2026 è scattata la data generale di applicazione del Regolamento e sono diventate operative ulteriori parti rilevanti del quadro normativo, compresi gli obblighi di trasparenza previsti per determinati sistemi e i relativi meccanismi di vigilanza ed enforcement.
Il calendario, tuttavia, non coincide con un’unica data a partire dalla quale ogni disposizione dell’AI Act diventa indistintamente applicabile. Le modifiche intervenute nel 2026 hanno, tra le altre cose, posticipato l’applicazione di una parte significativa delle regole relative ai sistemi ad alto rischio: per quelli classificati ai sensi dell’articolo 6, paragrafo 2, e dell’Allegato III la data è il 2 dicembre 2027, mentre per i sistemi ad alto rischio incorporati nei prodotti regolamentati ai sensi dell’articolo 6, paragrafo 1, e dell’Allegato I si arriva al 2 agosto 2028.
Questa articolazione temporale è importante perché intorno all’AI Act si è prodotta molta comunicazione semplificata, spesso sintetizzata nell’idea che “dal 2 agosto 2026 entra in vigore l’AI Act”. La realtà è più complessa: gli obblighi dipendono dalla tipologia di sistema, dal suo utilizzo, dal ruolo ricoperto dall’organizzazione e dalle specifiche disposizioni applicabili.
Un modello basato sul rischio, non sulla tecnologia utilizzata
Uno dei principi centrali dell’AI Act è l’approccio basato sul rischio. Il Regolamento non tratta allo stesso modo un filtro antispam, un chatbot per il customer care, un sistema utilizzato per supportare la selezione del personale e una tecnologia biometrica impiegata in un contesto sensibile.
Il quadro distingue, con livelli di disciplina differenti, tra pratiche vietate, sistemi ad alto rischio, sistemi soggetti a specifici obblighi di trasparenza e applicazioni che presentano rischi limitati o minimi. La maggior parte dei sistemi AI oggi utilizzati nell’Unione europea non appartiene alla categoria high-risk e questo è un elemento importante per evitare letture allarmistiche della normativa.
Allo stesso tempo, sarebbe altrettanto sbagliato concludere che l’utilizzo di strumenti disponibili sul mercato escluda automaticamente qualsiasi responsabilità dell’organizzazione che li adotta. La classificazione non dipende semplicemente dal nome del prodotto o dal modello utilizzato, ma dal sistema nel suo complesso, dalla finalità per cui viene impiegato e dal contesto nel quale produce i propri effetti.
Provider e deployer: il ruolo dell’azienda conta
Tra le figure definite dall’AI Act assumono particolare importanza il provider e il deployer. Semplificando, il provider è il soggetto che sviluppa, o fa sviluppare, un sistema AI e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio; il deployer è invece il soggetto che utilizza un sistema AI sotto la propria autorità nell’ambito di un’attività professionale.
La distinzione è rilevante perché due aziende che utilizzano la stessa tecnologia possono assumere ruoli differenti. Un’organizzazione che adotta uno strumento AI fornito da un soggetto terzo può trovarsi nella posizione di deployer, mentre un’impresa che costruisce una propria soluzione basata sull’intelligenza artificiale e la mette a disposizione dei clienti può assumere responsabilità diverse a seconda di come il sistema viene progettato, commercializzato e utilizzato.
Da questo punto di vista, affermare che un’applicazione “usa semplicemente le API di OpenAI”, Anthropic, Google o di un altro provider descrive un elemento dell’architettura tecnica, ma non è sufficiente a determinare il ruolo dell’azienda ai sensi del Regolamento. È necessario considerare ciò che è stato costruito intorno al modello, la finalità del sistema, il livello di autonomia, i destinatari e gli effetti che gli output possono produrre.
L’utilizzo di strumenti come ChatGPT all’interno dell’azienda
Uno degli scenari più comuni è anche uno dei meno formalizzati: l’utilizzo quotidiano di strumenti di intelligenza artificiale generativa da parte dei dipendenti. In molti casi questa adozione non passa attraverso un progetto IT, un processo di procurement o una decisione centralizzata, ma nasce direttamente dalle persone che individuano un modo più rapido o efficace per svolgere una determinata attività.
L’utilizzo professionale di questi strumenti non dovrebbe però essere considerato esclusivamente una scelta individuale. Quando un dipendente opera sotto l’autorità di una persona giuridica, l’uso del sistema avviene all’interno del contesto organizzativo e questo rende necessario ragionare anche in termini di responsabilità, formazione e governance.
È importante, inoltre, non attribuire all’AI Act qualsiasi criticità legata all’utilizzo dell’intelligenza artificiale. Se all’interno di un modello vengono caricati contratti riservati, dati personali, informazioni economiche, documentazione interna o codice sorgente, il problema non è riconducibile esclusivamente al Regolamento europeo sull’AI. Entrano in gioco la protezione dei dati, la sicurezza delle informazioni, gli obblighi di riservatezza, la proprietà intellettuale, le condizioni contrattuali del servizio e le policy interne dell’organizzazione.
L’AI Act aggiunge quindi un nuovo livello di responsabilità a un tema che era già presente: un’azienda dovrebbe conoscere gli strumenti digitali utilizzati al proprio interno e comprendere quali informazioni e processi vengono affidati a soggetti e piattaforme esterne.
Dallo shadow IT alla shadow AI
Per anni, nel settore tecnologico, abbiamo utilizzato l’espressione shadow IT per descrivere software, servizi cloud e infrastrutture adottati all’interno di un’organizzazione senza un reale governo da parte delle funzioni responsabili. Con l’intelligenza artificiale sta avvenendo qualcosa di simile, con una velocità probabilmente maggiore.
Un dipendente apre un account su un servizio generativo, un altro installa un’estensione nel browser, un reparto acquista autonomamente una piattaforma SaaS con funzionalità AI, mentre un fornitore introduce componenti di intelligenza artificiale all’interno di un software che l’azienda utilizzava già. L’adozione si distribuisce progressivamente nell’organizzazione e diventa difficile stabilire con precisione quali sistemi siano effettivamente utilizzati e per quali attività.
La risposta più semplice sarebbe vietare indiscriminatamente questi strumenti, ma difficilmente sarebbe anche quella più efficace. Una governance sostenibile richiede piuttosto di identificare i servizi utilizzati, comprenderne le caratteristiche, definire quali informazioni possano essere trattate e fornire alle persone indicazioni coerenti con le attività che devono svolgere.
Questo tema si collega direttamente a uno degli aspetti meno discussi, ma probabilmente più rilevanti dell’AI Act: l’AI literacy.
AI literacy: la competenza diventa parte della governance
L’articolo 4 dell’AI Act introduce il tema dell’AI literacy, le cui disposizioni sono applicabili dal 2 febbraio 2025 e sono state successivamente aggiornate nel 2026. Provider e deployer sono chiamati ad adottare misure che supportino lo sviluppo delle competenze del personale e delle altre persone che utilizzano sistemi AI per loro conto, tenendo conto delle conoscenze tecniche, dell’esperienza, della formazione e del contesto nel quale questi sistemi vengono impiegati.
Il principio non richiede che ogni persona raggiunga uno stesso livello standardizzato di competenza né, evidentemente, che ogni dipendente acquisisca conoscenze specialistiche di machine learning. Richiede invece che la capacità di utilizzare consapevolmente l’AI sia proporzionata al ruolo ricoperto e agli effetti che quell’utilizzo può produrre.
Chi utilizza un modello per supportare la redazione di un testo ha necessità differenti rispetto a chi impiega un sistema per analizzare informazioni sensibili, classificare documenti o contribuire a una decisione che riguarda altre persone. In entrambi i casi, tuttavia, è necessario comprendere almeno le caratteristiche essenziali dello strumento, i suoi limiti, le possibili conseguenze di un output errato e le regole relative ai dati che possono essergli affidati.
È un cambiamento rilevante anche dal punto di vista della formazione. Per molto tempo l’alfabetizzazione digitale è stata considerata una fase successiva all’introduzione della tecnologia: si acquistava o sviluppava un sistema e, successivamente, si formavano le persone al suo utilizzo. Con l’AI questa separazione è più difficile da sostenere, perché l’utente non si limita a utilizzare un’interfaccia, ma può delegare al sistema una parte dell’interpretazione, della produzione di contenuti o del processo decisionale. La competenza dell’utilizzatore diventa quindi una componente del modo in cui il sistema viene governato.
Sistemi conversazionali e obblighi di trasparenza
Dal 2 agosto 2026 gli obblighi di trasparenza previsti dall’articolo 50 sono diventati particolarmente rilevanti per alcune applicazioni con cui gli utenti entrano direttamente in contatto. Un caso immediatamente comprensibile è quello dei sistemi conversazionali: quando una persona interagisce direttamente con un sistema AI, deve essere informata del fatto che sta interagendo con un sistema automatico e non con una persona, salvo i casi in cui ciò risulti evidente dalle circostanze.
La conseguenza pratica è che la progettazione di un chatbot non può essere valutata soltanto in termini di accuratezza delle risposte, integrazione tecnica o qualità dell’esperienza utente. La trasparenza sulla natura dell’interlocutore diventa essa stessa un requisito da considerare nella progettazione dell’interazione.
È un passaggio interessante perché mostra come l’AI Act intervenga non soltanto sulla tecnologia, ma anche sulla relazione tra il sistema e le persone che lo utilizzano. Nel momento in cui un’interfaccia è progettata per simulare modalità di interazione tipicamente umane, il legislatore europeo introduce il principio secondo cui l’utente deve poter comprendere la natura artificiale dell’interlocutore.
Contenuti generati e trasparenza
L’articolo 50 interviene anche sulla produzione di contenuti sintetici. Per determinate categorie di sistemi generativi sono previsti obblighi affinché gli output siano identificabili come generati o manipolati artificialmente attraverso marcature leggibili dalle macchine; per i deployer sono inoltre previsti specifici obblighi di disclosure in situazioni quali i deepfake e determinati testi generati o manipolati dall’AI destinati a informare il pubblico su questioni di interesse pubblico, secondo le condizioni e le eccezioni stabilite dal Regolamento.
Anche in questo caso è importante evitare una lettura eccessivamente semplificata. L’AI Act non introduce un obbligo generalizzato di apporre l’etichetta “generato con intelligenza artificiale” su qualsiasi testo prodotto con l’assistenza di un modello generativo. La disciplina distingue tra soggetti, tipologie di contenuto, finalità e modalità di utilizzo.
Per le aziende, quindi, il tema non dovrebbe essere affrontato attraverso una regola generica applicata a qualsiasi contenuto assistito dall’AI, ma attraverso la comprensione dei casi d’uso effettivi e degli obblighi pertinenti.
Quando l’intelligenza artificiale entra nel software
Una parte crescente dei sistemi che fino a pochi anni fa avremmo definito semplicemente “software” incorpora oggi componenti di intelligenza artificiale. Un gestionale può classificare automaticamente documenti, un CRM può suggerire azioni commerciali, un’applicazione può interrogare una base documentale attraverso un modello linguistico, una piattaforma HR può analizzare candidature e un sistema di customer care può generare o suggerire risposte agli operatori.
Dal punto di vista dell’implementazione, alcune di queste soluzioni possono condividere la stessa architettura di base: un’applicazione invia dati a un modello attraverso un’API e utilizza l’output all’interno di un processo. Dal punto di vista normativo e organizzativo, però, le implicazioni possono essere profondamente diverse.
La tecnologia sottostante non determina da sola il livello di rischio. Diventano centrali la finalità del sistema, i dati trattati, il grado di autonomia, la presenza di supervisione umana e soprattutto le conseguenze che un output può produrre sulle persone o sui processi nei quali viene utilizzato.
Questo è anche uno dei motivi per cui considero poco utile trattare l’AI come una funzionalità da aggiungere a un prodotto semplicemente perché il mercato la richiede. L’integrazione tecnica è spesso la parte meno complessa. La progettazione dovrebbe invece partire dalla funzione assegnata al sistema, dai dati necessari, dai limiti entro cui può operare e dai meccanismi con cui il risultato viene verificato.
I sistemi ad alto rischio e il nuovo calendario
Il concetto di sistema AI ad alto rischio è probabilmente uno degli elementi più conosciuti dell’AI Act e, allo stesso tempo, uno di quelli che richiedono maggiore attenzione nell’interpretazione. In questa categoria possono rientrare, alle condizioni previste dal Regolamento, sistemi utilizzati in ambiti quali occupazione e gestione dei lavoratori, istruzione, biometria, infrastrutture critiche, accesso a determinati servizi essenziali e altri contesti individuati dalla normativa.
Per questi sistemi il quadro prevede requisiti significativamente più stringenti in materia di gestione del rischio, dati, documentazione, registrazione degli eventi, supervisione umana, accuratezza, robustezza e cybersecurity.
Le modifiche del 2026 hanno però ridefinito il calendario originario: le disposizioni relative ai sistemi high-risk dell’Allegato III si applicheranno dal 2 dicembre 2027, mentre quelle riguardanti i sistemi ad alto rischio incorporati nei prodotti regolamentati dell’Allegato I si applicheranno dal 2 agosto 2028.
Il rinvio non rende questi requisiti irrilevanti per i progetti avviati oggi. Un sistema progettato nel 2026 può essere ancora pienamente operativo quando le nuove disposizioni diventeranno applicabili; ignorare completamente requisiti futuri già definiti può quindi tradursi nella necessità di intervenire successivamente sull’architettura, sui processi di controllo, sulla documentazione o sulla gestione dei dati, con una complessità maggiore rispetto a quella richiesta da una progettazione che ne tenga conto fin dall’inizio.
Prima della compliance viene la mappatura
Per una PMI, il primo passaggio utile non consiste necessariamente nel produrre nuova documentazione, ma nel ricostruire in modo sistematico l’utilizzo dell’intelligenza artificiale all’interno dell’organizzazione. Una mappatura efficace dovrebbe identificare almeno i sistemi e i servizi AI utilizzati, le persone e le funzioni aziendali che vi accedono, le finalità d’uso, le tipologie di dati trattati e i fornitori coinvolti.
A questa ricognizione dovrebbe affiancarsi una valutazione del ruolo assunto dall’AI nei singoli processi. Un sistema utilizzato come supporto alla redazione di un testo presenta implicazioni diverse rispetto a uno che classifica informazioni, formula raccomandazioni, interagisce autonomamente con gli utenti o contribuisce a decisioni che producono effetti su clienti, lavoratori e altre persone.
È altrettanto importante individuare i meccanismi di supervisione, stabilendo chi verifica gli output, con quali criteri vengono controllati e quali procedure intervengono quando il risultato prodotto dal sistema è errato, incompleto o inaffidabile.
Non si tratta ancora di una valutazione di conformità all’AI Act, ma di un inventario ragionato dell’AI effettivamente presente nell’organizzazione. Senza questa base informativa diventa difficile stabilire quali obblighi siano pertinenti, quali rischi debbano essere gestiti e quali interventi abbiano realmente priorità.
AI Act, privacy e sicurezza sono piani diversi che devono dialogare
Un altro rischio nella discussione attuale è quello di ricondurre qualsiasi questione relativa all’intelligenza artificiale all’AI Act. La governance dell’AI è invece necessariamente più ampia e coinvolge discipline che si sovrappongono senza coincidere.
Un sistema può avere implicazioni rispetto all’AI Act e contemporaneamente trattare dati personali soggetti alla disciplina privacy; può rispettare un obbligo di trasparenza e, nello stesso tempo, essere configurato in modo inadeguato dal punto di vista della sicurezza; può utilizzare un modello legittimamente disponibile sul mercato ma trasferire a un fornitore informazioni che l’organizzazione non dovrebbe condividere; può infine produrre output tecnicamente plausibili ed essere comunque inserito in un processo privo di adeguati meccanismi di controllo.
Normativa, cybersecurity, protezione dei dati, architettura dei sistemi, organizzazione e formazione convergono quindi sullo stesso problema. Questo rende l’introduzione dell’intelligenza artificiale più complessa rispetto alla semplice adozione di un nuovo strumento software, ma rende anche meno efficace qualsiasi approccio che affronti il tema esclusivamente da una prospettiva legale o esclusivamente tecnologica.
L’AI Act come occasione per conoscere meglio i propri sistemi
Una parte degli obblighi introdotti dal Regolamento formalizza esigenze che esistevano già prima dell’AI Act. Conoscere i sistemi utilizzati, i dati messi a loro disposizione, i fornitori coinvolti, il livello di autonomia concesso e le modalità di supervisione dovrebbe già appartenere a una corretta governance dei sistemi digitali.
L’intelligenza artificiale rende però questo esercizio più complesso. Uno stesso modello può essere utilizzato direttamente dai dipendenti attraverso un servizio online, incorporato in una piattaforma SaaS acquistata dall’azienda oppure integrato tramite API all’interno di un’applicazione proprietaria. In ciascuno di questi casi cambiano il livello di controllo dell’organizzazione, il rapporto con il fornitore, la gestione dei dati e le possibili conseguenze dell’output.
Da questo punto di vista, l’AI Act può produrre un effetto positivo anche al di là della conformità normativa, spingendo le organizzazioni a rendere esplicita e governabile un’adozione tecnologica che in molti casi è avvenuta progressivamente e senza una strategia formalizzata.
Oltre la conformità
L’intelligenza artificiale sta entrando nei processi aziendali più rapidamente della capacità di molte organizzazioni di governarla. L’AI Act interviene in questo scenario introducendo classificazioni, responsabilità e obblighi che diventeranno progressivamente parte del modo in cui progettiamo e utilizziamo questi sistemi, ma ridurre tutto a un esercizio di compliance sarebbe probabilmente limitante.
Per molte aziende il lavoro più urgente consiste nel costruire una conoscenza sufficientemente precisa dell’AI già presente nell’organizzazione: sistemi utilizzati, finalità, dati coinvolti, fornitori, livello di autonomia, modalità di supervisione e competenze delle persone che li utilizzano. Solo su questa base diventa possibile stabilire quali obblighi normativi siano applicabili e, più in generale, quale livello di governo sia appropriato.
L’AI Act rende quindi più esplicita una responsabilità che appartiene già alla progettazione e alla gestione dei sistemi digitali. Integrare l’intelligenza artificiale non significa soltanto scegliere un modello o collegare un’API, ma decidere quale parte di un processo affidarle, entro quali limiti e mantenendo quale capacità di controllo.
È probabilmente questo il passaggio più importante: prima di governare l’AI attraverso le regole, dobbiamo sapere dove l’abbiamo già messa. È il tipo di lavoro di cui ci occupiamo: aiutare le aziende a capire dove l’AI è già entrata nei loro processi, quali rischi comporta e come governarla, unendo la parte tecnica, quella organizzativa e quella normativa. Non partiamo dalla tecnologia né dagli adempimenti, ma dal contesto reale dell’organizzazione.
Se in azienda l’intelligenza artificiale è già presente ma nessuno ne ha davvero il quadro, è da lì che conviene cominciare.
Francesco G. Morabito
Fonti e riferimenti
- Parlamento europeo e Consiglio dell’Unione europea, Regolamento (UE) 2024/1689 del 13 giugno 2024 che stabilisce regole armonizzate sull’intelligenza artificiale (Artificial Intelligence Act), Gazzetta ufficiale dell’Unione europea. Fonte ufficiale
- European Commission, AI Act – Regulatory framework for artificial intelligence. Quadro generale, classificazione dei rischi e calendario di applicazione. Fonte ufficiale
- European Commission, Enforcement of the AI Act. Informazioni sull’applicazione e sull’enforcement del Regolamento. Fonte ufficiale
- European Commission, AI literacy – Questions & Answers. Orientamenti sull’articolo 4 e sulle misure relative alle competenze del personale che utilizza sistemi AI. Fonte ufficiale
- European Commission, Transparency obligations under Article 50 of the AI Act – Questions & Answers. Chiarimenti sugli obblighi di trasparenza relativi a sistemi interattivi, contenuti sintetici e deepfake. Fonte ufficiale
- Unione europea, Regolamento (UE) 2026/1744. Modifiche 2026, comprese le disposizioni relative al calendario dei sistemi di AI ad alto rischio. Fonte ufficiale
Nota: l’articolo ha finalità informative e divulgative e non sostituisce una valutazione legale del singolo caso.
