AI Act in Italia: guida pratica 2026
Prima di tutto: l’AI Act non vieta l’intelligenza artificiale
È probabilmente il concetto più importante da capire.
L’AI Act non parte dalla domanda:
“Stai usando l’intelligenza artificiale?”
La domanda vera è:
“Come la stai usando e quali conseguenze può avere?”
Generare una bozza di una mail con ChatGPT non comporta lo stesso rischio di usare un algoritmo per decidere quali candidati invitare a un colloquio.
Per questo l’Unione europea utilizza un approccio basato sul rischio. Più un sistema può incidere sulla sicurezza, sui diritti o sulle opportunità di una persona, maggiori diventano gli obblighi.
La Commissione europea distingue diversi livelli di rischio, che vanno dagli utilizzi comuni fino alle applicazioni vietate o considerate ad alto rischio.
Uso ChatGPT come privato: cosa devo fare?
Se utilizzi ChatGPT, Gemini, Claude o un altro sistema AI esclusivamente nella tua vita privata, nella maggior parte dei casi non devi preoccuparti degli obblighi previsti per le aziende.
L’articolo 2 dell’AI Act esclude infatti dagli obblighi dei cosiddetti deployer le persone fisiche che utilizzano sistemi AI nell’ambito di un’attività puramente personale e non professionale.
Per esempio, puoi normalmente usare l’AI per:
- organizzare un viaggio;
- scrivere una mail privata;
- studiare una lingua;
- riassumere un documento;
- creare ricette o programmi di allenamento;
- generare immagini per uso personale;
- chiedere spiegazioni su un argomento;
- fare brainstorming;
- correggere o tradurre un testo.
Non serve registrarsi presso qualche autorità e non esiste una “licenza per usare ChatGPT”.
Questo, però, non significa che qualsiasi utilizzo sia automaticamente consentito.
Continuano ad applicarsi altre norme: privacy, diritto d’autore, diffamazione, diritto all’immagine, norme penali e così via.
Per esempio, pubblicare un deepfake realistico di una persona senza il suo consenso può avere conseguenze molto diverse dal creare un’immagine divertente per uso personale.
Uso l’AI per lavoro: cambia qualcosa?
Sì.
Quando l’AI viene utilizzata nell’ambito di un’attività professionale, non si tratta più dell’uso privato escluso dagli obblighi dei deployer.
Questo non significa comunque che ogni professionista debba creare decine di documenti di conformità.
Un commercialista che usa l’AI per migliorare una mail, un giornalista che la usa per trovare possibili titoli o una piccola impresa che genera descrizioni di prodotti sono molto lontani dagli utilizzi più delicati previsti dall’AI Act.
Il primo passo è quindi chiedersi:
L’AI mi sta semplicemente aiutando oppure sta prendendo o influenzando decisioni importanti su altre persone?
La regola pratica: più l’AI decide sulle persone, più attenzione serve
Consideriamo due esempi.
Esempio 1: AI per scrivere una newsletter
Un’azienda utilizza ChatGPT per preparare una prima bozza della newsletter settimanale. Un dipendente verifica fatti, tono e informazioni e successivamente pubblica il testo.
È un utilizzo relativamente semplice.
L’azienda deve comunque prestare attenzione a dati personali, informazioni riservate, copyright e affidabilità del contenuto, ma non siamo automaticamente davanti a un sistema AI ad alto rischio.
Esempio 2: AI per scegliere chi assumere
L’azienda utilizza invece un sistema che analizza 2.000 curriculum, assegna un punteggio ai candidati e decide chi passa alla fase successiva.
Qui la situazione cambia.
L’Allegato III dell’AI Act include tra gli impieghi potenzialmente ad alto rischio i sistemi utilizzati per analizzare o filtrare candidature e valutare candidati.
La ragione è semplice: un errore o una distorsione dell’algoritmo può influire direttamente sulla possibilità di una persona di ottenere un lavoro.
Quando un’azienda dovrebbe fermarsi e fare una verifica seria
Una valutazione più approfondita è particolarmente importante quando l’AI viene utilizzata per:
- selezionare candidati o analizzare curriculum;
- valutare prestazioni o comportamento dei dipendenti;
- decidere promozioni o licenziamenti;
- valutare studenti o determinare l’accesso a percorsi di istruzione;
- determinare l’affidabilità creditizia;
- calcolare determinati rischi nelle assicurazioni vita o sanitarie;
- gestire determinate infrastrutture critiche;
- effettuare determinate analisi biometriche;
- supportare determinate decisioni giudiziarie, di polizia o amministrative.
Non significa che tutti questi sistemi siano vietati.
Significa che possono rientrare nella categoria dei sistemi ad alto rischio e quindi essere soggetti a requisiti più rigorosi.
Usare ChatGPT in azienda: 7 cose da fare
Per una normale PMI italiana non serve partire da un progetto burocratico enorme. Conviene partire dall’uso reale dell’AI.
- Fai un elenco degli strumenti AI utilizzati.
ChatGPT, Microsoft Copilot, Gemini, Claude, software HR con AI, chatbot del sito, strumenti per immagini, sistemi interni e automazioni. - Scrivi per cosa vengono utilizzati.
“Usiamo ChatGPT” non basta. Specifica: scrittura di email, analisi di documenti, assistenza clienti, marketing, programmazione, selezione del personale e così via. - Controlla quali dati vengono inseriti.
È molto diverso chiedere di migliorare una descrizione pubblicitaria rispetto a caricare un database contenente nomi, indirizzi, informazioni finanziarie o dati sanitari. - Individua gli utilizzi che possono incidere sulle persone.
HR, credito, assicurazioni, salute, istruzione e valutazioni automatizzate meritano un controllo particolare. - Stabilisci chi verifica i risultati.
L’AI può inventare informazioni, interpretare male un documento o produrre risultati discriminatori. Per le attività importanti deve essere chiaro chi controlla l’output. - Dai regole semplici ai dipendenti.
Per esempio: quali strumenti possono utilizzare, quali dati non devono inserire, quando devono verificare una risposta e quando è necessario coinvolgere un responsabile. - Documenta almeno le decisioni importanti.
Non serve documentare ogni singolo prompt. Ma se l’AI viene utilizzata in un processo importante, è utile sapere quale strumento viene utilizzato, per quale funzione e con quali controlli.
I dipendenti devono fare un corso obbligatorio sull’AI?
L’AI Act contiene un requisito di alfabetizzazione sull’intelligenza artificiale.
L’articolo 4 dell’AI Act richiede a fornitori e utilizzatori professionali di adottare misure che aiutino il personale a sviluppare competenze adeguate sull’AI, tenendo conto del tipo di sistema utilizzato e del contesto.
Non significa che ogni dipendente debba diventare un esperto di machine learning.
La stessa Commissione europea chiarisce che non è necessario ottenere uno specifico certificato.
Per una piccola azienda può essere sufficiente una formazione interna concreta:
- come verificare le risposte dell’AI;
- quali informazioni non inserire;
- come trattare dati personali e documenti riservati;
- quando l’AI può essere utilizzata autonomamente;
- quando serve l’intervento di una persona competente.
È comunque consigliabile conservare una semplice registrazione delle linee guida e della formazione fornita.
Posso inserire dati di clienti o dipendenti in ChatGPT?
Questo è uno dei punti più importanti per le aziende.
L’AI Act non sostituisce il GDPR.
Se inserisci dati personali in un sistema AI, devi considerare anche le regole sulla protezione dei dati.
L’AI Act specifica espressamente che le norme europee sulla protezione dei dati continuano ad applicarsi.
Immaginiamo che un dipendente copi in un chatbot:
“Analizza questi 200 clienti e dimmi quali probabilmente non rinnoveranno il contratto.”
Se il file contiene nomi, email, acquisti o altre informazioni riconducibili a persone, non siamo più davanti a un semplice problema di AI: esiste anche un trattamento di dati personali.
L’azienda dovrebbe quindi sapere almeno:
- quali dati vengono inviati al servizio AI;
- per quale finalità vengono utilizzati;
- quale base giuridica consente il trattamento;
- dove e per quanto tempo vengono conservati;
- se vengono utilizzati per addestrare modelli;
- quali impostazioni aziendali e contrattuali offre il fornitore.
Il principio pratico è semplice: non copiare automaticamente dati sensibili, documenti riservati o interi database in un chatbot solo perché è comodo farlo.
Devo dichiarare che un contenuto è stato creato con l’AI?
Non sempre.
È uno degli aspetti più fraintesi dell’AI Act.
Non esiste una regola generale secondo cui qualsiasi testo, immagine o email creata con ChatGPT debba contenere la scritta “generato con AI”.
L’articolo 50 dell’AI Act distingue diversi casi.
Chatbot
Quando una persona conversa direttamente con un sistema AI, deve normalmente sapere di stare interagendo con un’intelligenza artificiale, a meno che la cosa sia già evidente dal contesto.
Un chatbot di assistenza clienti potrebbe quindi mostrare un messaggio come:
“Stai conversando con il nostro assistente virtuale basato sull’intelligenza artificiale.”
Deepfake
Se un’azienda o un professionista pubblica immagini, audio o video che costituiscono un deepfake realistico, deve normalmente rendere noto che il contenuto è stato generato o manipolato artificialmente.
Il principio è particolarmente importante quando una persona reale sembra dire o fare qualcosa che in realtà non è mai avvenuto.
Testi e articoli
La situazione dei testi è più sfumata.
L’AI Act prevede un obbligo di trasparenza per testi generati o manipolati artificialmente e pubblicati con lo scopo di informare il pubblico su questioni di interesse pubblico.
Ma esiste un’eccezione molto importante.
Se il contenuto viene sottoposto a revisione umana o controllo editoriale e una persona o un’organizzazione si assume la responsabilità editoriale della pubblicazione, l’obbligo specifico di dichiarazione previsto dall’articolo 50 non si applica.
Questo è particolarmente rilevante per giornali, blog e redazioni che utilizzano l’AI come strumento di supporto ma controllano realmente il contenuto prima della pubblicazione.
Non basta però premere automaticamente “pubblica”. Deve esistere un vero controllo umano del contenuto.
Quindi un blog deve scrivere “articolo generato con AI”?
Non necessariamente.
Se l’AI produce una bozza e una persona verifica informazioni, fonti, significato e contenuto assumendosi la responsabilità editoriale, l’AI Act prevede l’eccezione appena descritta.
La situazione cambia se un sito genera automaticamente migliaia di articoli di interesse pubblico senza un reale controllo editoriale.
In ogni caso rimangono separati gli eventuali problemi relativi a copyright, informazioni false, pubblicità, privacy o responsabilità editoriale.
E le immagini generate con AI?
Anche qui bisogna distinguere.
Non significa che qualsiasi illustrazione creata con DALL-E, Midjourney, Gemini o un altro generatore debba necessariamente avere una grande etichetta visibile.
L’AI Act impone ai fornitori dei sistemi generativi determinati requisiti di marcatura tecnica dei contenuti sintetici.
Per chi pubblica il contenuto, l’obbligo di informazione diventa particolarmente importante quando si tratta di deepfake o contenuti realistici che potrebbero essere interpretati come autentici.
Un’illustrazione chiaramente fantastica di un robot sulla Luna e un video realistico del Presidente della Repubblica che pronuncia una frase mai pronunciata sono due situazioni completamente diverse.
Cosa è vietato dall’AI Act?
Alcuni utilizzi sono considerati talmente problematici da essere vietati.
L’elenco completo e le condizioni precise sono contenuti nell’articolo 5 dell’AI Act.
Tra gli esempi più importanti troviamo determinate forme di:
- manipolazione dannosa delle persone;
- sfruttamento delle vulnerabilità legate, per esempio, all’età o alla disabilità;
- social scoring;
- previsione individuale della criminalità basata esclusivamente su profilazione o caratteristiche personali;
- raccolta indiscriminata di immagini facciali da internet o videosorveglianza per creare database di riconoscimento facciale;
- riconoscimento delle emozioni sul lavoro o nelle scuole, salvo determinate eccezioni;
- determinate categorizzazioni biometriche basate su caratteristiche sensibili.
Dal 2 dicembre 2026 si applicano inoltre nuovi divieti introdotti nel 2026 relativi a determinati sistemi utilizzati per creare materiale intimo realistico senza consenso e materiale relativo agli abusi sessuali sui minori.
Attenzione particolare all’AI nelle risorse umane
Per molte aziende italiane l’area più delicata non sarà il marketing ma il personale.
Utilizzare ChatGPT per migliorare il testo di un annuncio di lavoro è una cosa.
Utilizzare un sistema che analizza automaticamente curriculum, personalità, colloqui video o prestazioni dei dipendenti può essere molto diverso.
L’AI Act considera potenzialmente ad alto rischio diversi sistemi utilizzati per:
- filtrare candidature;
- valutare candidati;
- prendere decisioni su promozioni;
- supportare decisioni sulla cessazione del rapporto di lavoro;
- assegnare compiti sulla base di caratteristiche personali;
- monitorare o valutare le prestazioni dei lavoratori.
In questi casi è consigliabile non acquistare semplicemente un software perché il venditore lo presenta come “AI compliant”.
L’azienda che utilizza il sistema può avere propri obblighi come deployer.
Provider e deployer: due parole importanti
Nel regolamento compaiono spesso due ruoli.
Provider: chi sviluppa un sistema AI o lo fa sviluppare e lo mette sul mercato con il proprio nome o marchio.
Deployer: chi utilizza il sistema sotto la propria autorità.
Per esempio, l’azienda che sviluppa un software di selezione automatica dei candidati può essere il provider.
L’azienda italiana che acquista quel software e lo utilizza nel proprio reparto HR può essere il deployer.
Comprare il sistema da un’altra società non significa quindi automaticamente trasferire tutte le responsabilità al fornitore.
Quando l’azienda diventa essa stessa provider?
Il confine può diventare importante quando un’impresa modifica in modo sostanziale un sistema oppure cambia la sua destinazione d’uso.
In determinate circostanze, chi modifica un sistema può assumere responsabilità normalmente attribuite al provider.
Questo punto è particolarmente importante per le aziende che costruiscono applicazioni proprie utilizzando API o modelli di terzi.
Integrare GPT, Gemini o un modello open source in un prodotto non significa necessariamente diventare fornitori del modello di base, ma può rendere l’azienda responsabile del nuovo sistema AI che mette sul mercato o utilizza.
La situazione in Italia
L’AI Act è un regolamento europeo e si applica direttamente anche in Italia.
A questo quadro si aggiunge la legge italiana 23 settembre 2025, n. 132 sull’intelligenza artificiale, entrata in vigore il 10 ottobre 2025.
La normativa italiana non sostituisce l’AI Act ma lo completa sul piano nazionale.
Tra le autorità con un ruolo centrale troviamo:
- AgID – Agenzia per l’Italia Digitale, con funzioni legate tra l’altro alla notifica e alla promozione dell’innovazione;
- ACN – Agenzia per la Cybersicurezza Nazionale, con compiti di vigilanza del mercato e funzioni ispettive e sanzionatorie.
Continuano naturalmente a esistere anche le competenze del Garante per la protezione dei dati personali e delle autorità specializzate nei rispettivi settori.
Le scadenze da conoscere nel 2026
Molte guide online riportano ancora il vecchio calendario dell’AI Act.
Nel luglio 2026 il regolamento è stato modificato dal Regolamento UE 2026/1744, Digital Omnibus on AI.
Il calendario aggiornato è quindi importante.
- 2 febbraio 2025: entrano in applicazione i divieti originari e le prime disposizioni, comprese quelle sull’alfabetizzazione AI.
- 2 agosto 2025: entrano in applicazione diverse regole sui modelli AI per finalità generali.
- 2 agosto 2026: applicazione generale dell’AI Act, con diverse eccezioni; diventano applicabili anche gli obblighi di trasparenza dell’articolo 50.
- 2 dicembre 2026: entrano in applicazione alcuni nuovi divieti introdotti nel 2026 e determinate disposizioni transitorie sulla marcatura dei contenuti.
- 2 dicembre 2027: diventano applicabili molti dei principali obblighi relativi ai sistemi ad alto rischio elencati nell’Allegato III.
- 2 agosto 2028: scadenza principale per determinate categorie di sistemi AI ad alto rischio integrate in prodotti regolamentati.
Il calendario completo può essere consultato nell’articolo 113 dell’AI Act aggiornato.
Quanto sono alte le sanzioni?
Le cifre massime previste dal regolamento sono elevate, ma non devono essere interpretate come una multa automatica per una piccola azienda che commette un errore.
L’articolo 99 dell’AI Act prevede, tra le soglie massime principali:
- fino a 35 milioni di euro o al 7% del fatturato mondiale per determinate pratiche vietate;
- fino a 15 milioni di euro o al 3% del fatturato mondiale per diverse violazioni degli obblighi previsti dal regolamento, compresi determinati obblighi di trasparenza;
- fino a 7,5 milioni di euro o all’1% del fatturato mondiale per determinate informazioni inesatte, incomplete o fuorvianti fornite alle autorità.
Per le PMI il regolamento prevede regole specifiche che limitano la sanzione al valore inferiore tra determinate soglie percentuali e importi fissi.
Inoltre, la sanzione concreta deve tenere conto di elementi come gravità, durata, conseguenze, intenzionalità, dimensione dell’azienda e misure adottate per correggere il problema.
Checklist pratica: posso usare questo strumento AI?
Prima di introdurre un nuovo strumento AI in azienda, prova a rispondere a queste domande:
- Cosa deve fare esattamente l’AI?
- Sta semplicemente aiutando una persona oppure influenza decisioni su altre persone?
- Inseriremo dati personali, sensibili o riservati?
- Il risultato verrà controllato da una persona?
- Il sistema viene utilizzato in HR, credito, salute, istruzione o altri settori sensibili?
- Le persone devono sapere di stare interagendo con un’AI?
- Stiamo generando deepfake o contenuti che potrebbero sembrare reali?
- Il fornitore mette a disposizione informazioni su privacy, sicurezza e utilizzo dei dati?
- I dipendenti sanno quali sono i limiti dello strumento?
- Se l’AI sbaglia, qualcuno se ne accorge prima che l’errore produca conseguenze?
L’ultima domanda è probabilmente la più importante.
Tre esempi concreti
1. Freelance che usa ChatGPT per scrivere email
Normalmente nessun problema particolare.
Controlla il risultato, evita di inserire informazioni riservate senza aver valutato il servizio utilizzato e non considerare automaticamente corretta qualsiasi risposta dell’AI.
2. Negozio online che genera descrizioni dei prodotti
Utilizzo generalmente a basso rischio.
Il problema principale non è l’AI Act ma la correttezza delle informazioni, il copyright, eventuali affermazioni pubblicitarie ingannevoli e i dati inseriti nel sistema.
3. Azienda che usa l’AI per scartare automaticamente candidati
Qui serve molta più attenzione.
La selezione e valutazione dei candidati è espressamente indicata tra le aree che possono rientrare nei sistemi AI ad alto rischio.
L’azienda dovrebbe quindi analizzare attentamente il sistema, il proprio ruolo, la supervisione umana, la documentazione e gli obblighi applicabili.
L’errore da evitare: vietare tutto oppure ignorare tutto
Ci sono due approcci sbagliati all’AI Act.
Il primo è pensare:
“Adesso l’AI è troppo rischiosa, quindi vietiamo ChatGPT in azienda.”
Il secondo è l’opposto:
“Usiamo semplicemente gli strumenti e non preoccupiamoci delle regole.”
Per la maggior parte delle imprese la soluzione migliore sta nel mezzo.
Utilizzare l’AI dove può aumentare la produttività, ma sapere quali dati vengono utilizzati, chi controlla i risultati e quali applicazioni possono avere conseguenze importanti sulle persone.
In breve: come comportarsi con l’AI in Italia
Se sei un privato: puoi continuare a utilizzare normalmente strumenti come ChatGPT per attività personali. Gli obblighi dell’AI Act rivolti ai deployer non si applicano all’utilizzo puramente personale e non professionale. Restano però valide le altre leggi.
Se sei un professionista: utilizza l’AI come strumento di supporto, controlla gli output e presta particolare attenzione ai dati dei clienti e alle informazioni riservate.
Se gestisci una piccola azienda: crea almeno un inventario degli strumenti AI, stabilisci semplici regole interne, forma il personale e identifica gli utilizzi che possono incidere sulle persone.
Se utilizzi AI per HR, credito, assicurazioni, salute, istruzione o decisioni importanti: non trattarla come un normale software di produttività. Verifica attentamente se il sistema rientra nelle categorie ad alto rischio.
Se utilizzi chatbot o pubblichi deepfake e determinati contenuti sintetici: controlla gli obblighi di trasparenza dell’articolo 50.
Se tratti dati personali: ricorda che rispettare l’AI Act non significa automaticamente rispettare il GDPR.
L’AI Act non richiede di avere paura dell’intelligenza artificiale. Richiede soprattutto di capire come viene utilizzata, quali persone può influenzare e chi interviene quando qualcosa va storto.
Fonti ufficiali per approfondire
Per verificare casi specifici è consigliabile partire sempre dalle fonti ufficiali. Il AI Act Explorer della Commissione europea permette di consultare facilmente articoli, allegati e disposizioni aggiornate. Il testo giuridico consolidato è disponibile su EUR-Lex, mentre la normativa nazionale italiana può essere consultata nella Gazzetta Ufficiale – Legge 132/2025.
Share this content:
