AI Act: cosa cambia per le aziende che usano l'intelligenza artificiale?

L'articolo in breve:

• Cos'è l'AI Act. È il primo regolamento europeo sull'intelligenza artificiale. È entrato in vigore in fasi progressive e oggi si applicano già gli obblighi più rilevanti per le aziende.
• Classificazione per rischio. I sistemi AI vengono classificati per livello di rischio: inaccettabile, alto, limitato e minimo. La categoria determina gli obblighi. Non tutti i tool AI che usi in azienda sono uguali davanti alla legge.
• Si somma al GDPR, non lo sostituisce. Ogni sistema AI che elabora dati personali è soggetto a entrambe le normative simultaneamente.
• Il dato che dovrebbe preoccupare ogni azienda. Solo il 19% degli utilizzatori dichiara di fare uso esclusivo di strumenti aziendali approvati per l'AI generativa (Osservatorio Digital Innovation, Polimi). Il resto opera in zona grigia con rischi normativi concreti.
• La policy AI aziendale. Non è ancora un obbligo formale, ma è la misura con il miglior rapporto tra effort e riduzione del rischio disponibile oggi.

Per anni il dibattito sull'AI in azienda si è concentrato sulle opportunità: efficienza, automazione, riduzione dei costi operativi. Negli ultimi mesi si è aggiunta una variabile che molte aziende non avevano ancora messo a budget: la responsabilità.

L'AI Act, il primo regolamento europeo sull'intelligenza artificiale, è entrato in vigore in fasi progressive: oggi è una legge applicabile, con obblighi che scattano per chi usa certi sistemi AI nelle proprie attività e sanzioni che seguono la stessa logica del GDPR: fino al 4% del fatturato mondiale annuo per le violazioni più gravi.

Il problema è che la maggior parte delle aziende italiane non sa ancora con precisione quali strumenti AI usa, chi nel team li usa e con quali dati. E questo è esattamente il tipo di ignoranza che la normativa non accetta.

Cos'è l'AI Act?

L'AI Act è il Regolamento UE 2024/1689, pubblicato in Gazzetta Ufficiale il 12 luglio 2024 e applicato in modo progressivo. Nasce con un obiettivo dichiarato: garantire che i sistemi di intelligenza artificiale immessi sul mercato europeo siano sicuri, trasparenti e rispettosi dei diritti fondamentali.

Il principio organizzativo centrale è la proporzionalità: non tutti i sistemi AI sono trattati allo stesso modo. La normativa li classifica in base al livello di rischio che presentano per le persone, e calibra gli obblighi di conseguenza.

È una logica diversa da quella del GDPR, che si applica in modo uniforme a qualsiasi trattamento di dati personali. Qui il punto di partenza è cosa fa il sistema AI, non solo con quali dati opera.

La classificazione per livello di rischio

Il cuore operativo dell'AI Act è la mappa del rischio. Capire dove si collocano i propri sistemi AI è il primo passo obbligatorio per qualsiasi azienda che voglia affrontare la compliance in modo serio.

Rischio inaccettabile: vietati.

Sono i sistemi AI che la normativa considera incompatibili con i valori europei e che vengono semplicemente proibiti. Rientrano in questa categoria i sistemi di social scoring da parte di soggetti pubblici, i sistemi di manipolazione subliminale, i sistemi di identificazione biometrica in tempo reale in spazi pubblici (con eccezioni limitate per le forze dell'ordine), i sistemi che sfruttano le vulnerabilità di gruppi specifici.

Per la maggior parte delle aziende private questa categoria non è rilevante operativamente, ma vale conoscerla per escludere a priori certi casi d'uso.

Rischio alto: obblighi stringenti.

Qui iniziano i temi concreti per molte organizzazioni. I sistemi ad alto rischio includono quelli usati in ambito di selezione del personale, valutazione del credito e della solvibilità finanziaria, sistemi di accesso a servizi essenziali, infrastrutture critiche, istruzione e formazione professionale, applicazione della legge.

Nel perimetro del marketing e delle attività commerciali, rientrano in questa categoria i sistemi di profilazione avanzata per targeting quando influenzano decisioni significative, lo scoring automatico dei lead con impatto su accesso a prodotti o servizi, i sistemi di analisi comportamentale che influenzano la valutazione di affidabilità commerciale o creditizia.

Per questi sistemi gli obblighi sono precisi e non negoziabili: documentazione tecnica dettagliata del sistema, registro delle attività di monitoraggio, misure di governance con supervisione umana obbligatoria sulle decisioni, valutazione di conformità prima del deployment, e registrazione in una banca dati europea dedicata ai sistemi ad alto rischio.

Rischio limitato: obblighi di trasparenza.

È la categoria più popolata per chi fa marketing digitale. Chatbot per il customer service, strumenti di generazione di contenuti testuali, sistemi di personalizzazione dell'esperienza utente, ottimizzazione automatica delle campagne advertising: nella maggior parte dei casi rientrano qui.

L'obbligo principale è la trasparenza: l'utente deve sapere quando sta interagendo con un sistema AI, quando questo non è evidente dal contesto. Non è richiesta una certificazione, è richiesta chiarezza.

Rischio minimo: nessun obbligo specifico.

Filtri antispam, sistemi di raccomandazione editoriale, tool di traduzione automatica, assistenti di scrittura usati internamente senza interazione con utenti finali. La normativa non impone obblighi specifici, ma le buone pratiche (documentazione interna, supervisione umana, aggiornamento periodico) rimangono raccomandate.

AI Act e GDPR: due normative che si sommano

Il punto che genera più confusione nelle aziende è la relazione tra AI Act e GDPR. La risposta è diretta: ogni sistema AI che elabora dati personali è soggetto a entrambe le normative simultaneamente. Non si sceglie quale applicare, ma si applicano entrambe con i rispettivi obblighi che si sommano.

Il GDPR governa il trattamento dei dati personali: liceità, minimizzazione, consenso, diritti degli interessati, sicurezza. L'AI Act governa il sistema AI in quanto tale: rischio, trasparenza, supervisione umana, documentazione tecnica.

Facciamo un paio di esempi: un chatbot aziendale che raccoglie dati dagli utenti deve rispettare il GDPR (consenso, informativa, minimizzazione dei dati raccolti) e l'AI Act (trasparenza sull'interazione con un sistema AI, supervisione umana se categorizzato ad alto rischio); un sistema di scoring dei lead deve avere una base giuridica per il trattamento dei dati (GDPR) e, se influenza decisioni significative, supervisione umana e documentazione tecnica (AI Act).

La sovrapposizione è una coerenza logica. Entrambe le normative puntano allo stesso obiettivo: garantire che le persone mantengano il controllo su ciò che li riguarda, anche quando le decisioni vengono mediate da sistemi automatizzati.

Shadow AI: il rischio che nessuno sta misurando correttamente

L'Osservatorio Digital Innovation del Polimi rileva che solo il 19% degli utilizzatori dichiara di fare uso esclusivo di strumenti aziendali di AI generativa per svolgere le proprie mansioni. L'81% restante usa, in parte o completamente, strumenti personali o non approvati dall'organizzazione.

È questo il fenomeno che viene definito Shadow AI: l'adozione di strumenti AI da parte dei dipendenti senza governance aziendale, senza che l'organizzazione ne sia consapevole, senza che i contratti con i fornitori siano stati valutati, senza che la base giuridica per il trattamento dei dati sia stata verificata.

Le implicazioni pratiche sono concrete e immediate. Quando un dipendente carica dati di clienti (nomi, email, dettagli commerciali, informazioni contrattuali) in uno strumento AI esterno non approvato, accadono simultaneamente due cose problematiche: l'azienda non ha stipulato un DPA (Data Processing Agreement) con quel fornitore, come richiede il GDPR per i responsabili del trattamento esterni; e non ha valutato il rischio del sistema AI come richiede l'AI Act per i sistemi che elaborano dati personali.

Siamo di fronte a una situazione che rappresenta la normalità operativa del 2026: i dipendenti usano gli strumenti più efficienti disponibili, e gli strumenti AI generativa sono diventati efficienti in modo evidente. Il problema è che la buona fede non è un'esimente né per il GDPR né per l'AI Act. La responsabilità resta in capo all'organizzazione.

Quali sono gli adempimenti obbligatori per adeguare un'azienda all'AI Act?

La compliance all'AI Act non richiede di smettere di usare l'intelligenza artificiale, ma di usarla con consapevolezza documentata. Il percorso si articola in passaggi precisi.

Mappatura dei sistemi AI in uso.

Il punto di partenza è capire cosa c'è già. Quali strumenti AI usa l'azienda? Quali usano i dipendenti, anche informalmente? Questi sistemi elaborano dati personali? Dove vengono elaborati e conservati i dati?

Questa mappatura non deve essere un'operazione di mesi: un audit interno strutturato, anche semplice, produce in poco tempo una fotografia della situazione reale che è il prerequisito di qualsiasi altra azione.

Classificazione del rischio.

Per ogni sistema AI identificato, la domanda successiva è: in quale categoria di rischio rientra? La classificazione determina gli obblighi specifici. Nella maggior parte dei casi, per le attività di marketing e gestione commerciale, si tratta di rischio limitato o minimo.

Policy AI aziendale.

La policy AI aziendale scritta non è ancora un obbligo formale esplicito dell'AI Act per tutte le organizzazioni. È però la misura con il miglior rapporto tra sforzo e riduzione del rischio disponibile oggi.

Una policy efficace deve rispondere a domande precise: quali strumenti AI sono approvati per uso aziendale? Per quali attività? Con quali categorie di dati si possono usare e con quali no? Chi è responsabile della valutazione di nuovi strumenti? Come vengono gestiti i dati inseriti nei sistemi AI?

Due effetti immediati: riduce il rischio di violazioni involontarie da Shadow AI; dimostra accountability in caso di controllo, ossia il principio di "responsabilità dimostrabile" secondo cui non basta rispettare le norme, ma occorre provare proattivamente di aver adottato tutte le misure adeguate per farlo: esattamente l'impostazione che sia il GDPR che l'AI Act richiedono di documentare.

Contratti DPA con i fornitori AI.

Per ogni strumento AI esterno che elabora dati personali, deve esistere un DPA con il fornitore. Molti provider SaaS lo mettono a disposizione automaticamente nelle condizioni di servizio o su richiesta. Deve essere verificato, firmato e conservato. Questo vale per i tool approvati dall'azienda, non per quelli usati informalmente dai dipendenti: da qui l'urgenza della policy.

Supervisione umana sui sistemi ad alto rischio.

Per i sistemi che la valutazione interna classifica ad alto rischio, la supervisione umana è un obbligo esplicito dell'AI Act. Significa che le decisioni generate o influenzate da questi sistemi devono essere revisionate e approvate da una persona prima di produrre effetti significativi. La decisione finale deve restare umana.

Formazione del personale.

Il GDPR richiede che chi tratta dati personali abbia una formazione adeguata. L'AI Act aggiunge un livello: chi usa sistemi AI in contesti rilevanti deve capire i limiti e il funzionamento di questi sistemi, non solo le procedure operative. Una formazione base sull'AI literacy (cosa sono gli LLM, cosa non si dovrebbe inserire in un tool AI esterno) è un investimento con un ritorno diretto in termini di riduzione del rischio.

Un cenno al quadro più ampio

L'AI Act non opera in isolamento. Il perimetro della compliance digitale nel 2026 include il GDPR come fondamenta, l'AI Act come strato specifico per i sistemi AI, e un pacchetto di normative correlate (Data Act, NIS2, e il Digital Omnibus proposto dalla Commissione Europea a fine 2025) che allargano ulteriormente il perimetro degli obblighi e, in alcuni casi, introducono semplificazioni per le PMI.

Il Digital Omnibus in particolare potrebbe alleggerire alcuni adempimenti documentali per le organizzazioni più piccole, ma non è ancora legge e le regole attuali restano vincolanti. Ne abbiamo parlato in dettaglio nell'articolo dedicato: Digital Omnibus e GDPR nel 2026.

La compliance è anche un vantaggio competitivo?

Certamente sì. Le aziende strutturate e le PA valutano la governance AI dei fornitori prima di stipulare contratti. Un'organizzazione che può dimostrare di avere una policy AI, una mappatura dei sistemi in uso e contratti DPA aggiornati ha un vantaggio concreto nelle trattative B2B rispetto a chi non ha ancora affrontato il tema.

La trasparenza sull'uso dell'AI è anche un fattore di fiducia con i clienti finali: comunicare come vengono usati i sistemi AI nelle interazioni, nelle comunicazioni e nella gestione dei dati, costruisce credibilità rispetto ai competitor che trattano il tema come una nota a piè di pagina.

Per la maggior parte delle PMI italiane, gli obblighi concreti e immediati sono gestibili: mappare i sistemi AI in uso, classificarli per rischio, scrivere una policy interna, verificare i contratti con i fornitori. È un lavoro da qualche settimana, con un impatto permanente sulla riduzione del rischio. Il momento migliore per farlo era ieri. Il secondo migliore è adesso.

Vuoi capire a che punto è la tua azienda con la governance AI e la compliance normativa? Analizziamo i sistemi che usi e ti aiutiamo a mettere in ordine policy, contratti e documentazione. Richiedi una consulenza strategica con zerouno.digital

Per approfondire: le domande più frequenti

L'AI Act si applica anche alle PMI o solo alle grandi aziende?

L'AI Act si applica a qualsiasi organizzazione che sviluppa, distribuisce o utilizza sistemi AI nell'Unione Europea, indipendentemente dalle dimensioni. Esistono alcune misure di semplificazione per le PMI, ma il perimetro degli obblighi di base si applica anche alle realtà più piccole. La distinzione rilevante non è la dimensione dell'azienda, ma la categoria di rischio del sistema AI in uso. Una PMI che usa un sistema di scoring del credito automatizzato ha obblighi da alto rischio. Una PMI che usa un chatbot informativo ha obblighi di trasparenza limitati. Il punto di partenza è sempre la classificazione.

Un'azienda che usa solo tool AI di terze parti è comunque soggetta all'AI Act?

Sì. L'AI Act distingue tra provider (chi sviluppa il sistema AI), deployer (chi lo usa in un contesto aziendale) e importatori/distributori. Le aziende che usano tool AI di terze parti rientrano nella categoria deployer e hanno obblighi specifici (in particolare per i sistemi ad alto rischio: supervisione umana, monitoraggio, documentazione dell'uso, formazione del personale). Gli obblighi del deployer sono meno gravosi di quelli del provider, ma esistono e si applicano. Non basta scegliere un fornitore conforme: l'uso che se ne fa deve essere conforme a sua volta.

Come si gestisce l'AI Act quando i fornitori di tool AI sono extraeuropei?

L'AI Act ha portata extraterritoriale: si applica a qualsiasi sistema AI il cui output viene utilizzato nell'UE, indipendentemente da dove il sistema è stato sviluppato o dove opera il fornitore. Per le aziende europee che usano strumenti di fornitori americani o di altri paesi, l'obbligo pratico si traduce in due azioni: verificare che il fornitore abbia dichiarato conformità all'AI Act per i sistemi offerti in Europa (i grandi player come OpenAI, Google, Microsoft hanno avviato i percorsi di conformità), e documentare internamente la valutazione di rischio e le misure adottate come deployer. La responsabilità della scelta del sistema ricade sull'organizzazione che lo usa, non solo sul fornitore.