In breve
Dal 2 agosto 2026 gran parte dell’AI Act è applicabile. Per molte aziende il primo lavoro consiste nel sapere quali strumenti AI vengono usati, da chi, per quali attività e con quali dati. Da questa mappa derivano formazione, regole interne, trasparenza e gli eventuali approfondimenti sugli usi più sensibili.
Vuoi impostare formazione e regole per il tuo team? ↓Indice
- «Usiamo ChatGPT in ufficio. Dobbiamo preoccuparci?»
- Una parola poco elegante ma importante: deployer
- Prima di leggere cinquanta pagine di normativa, guardiamo cosa succede in ufficio
- L’AI literacy riguarda già le aziende
- Alcuni usi sono già vietati
- Dal 2 agosto 2026 la trasparenza diventa molto più concreta
- Quando un uso dell’AI diventa più delicato
- AI Act e GDPR continueranno a incontrarsi alla macchinetta del caffè
- Una piccola governance dell’AI può partire da sei cose
- Le date da tenere sulla scrivania
- Da dove partire davvero
Stefano Massari
«Usiamo ChatGPT in ufficio. Dobbiamo preoccuparci?»
Negli ultimi due anni molte aziende hanno introdotto l’intelligenza artificiale con una procedura di adozione tecnologica non molto ragionata...
Qualcuno ha aperto un account su ChatGPT. Qualcun altro su Gemini. Un collega ha scoperto che dentro Microsoft 365 c’è Copilot. Il marketing ha cominciato a generare immagini. Il commerciale si fa aiutare a scrivere le mail.
Poi, a un certo punto, qualcuno ha pronunciato due parole capaci di riportare immediatamente tutti alla realtà: AI Act.
Da lì cominciano le domande.
Dobbiamo registrare qualcosa? Possiamo ancora usare ChatGPT? Serve una policy? Bisogna dichiarare quando un testo è stato scritto con l’AI? La formazione è obbligatoria? Rischiamo multe? Devo aggiornare le nostre policy sulla privacy?
Domande comprensibili, anche perché il regolamento europeo sull’intelligenza artificiale è entrato in applicazione per fasi e il calendario è stato ulteriormente modificato nel 2026 con l’AI Omnibus. Oggi alcune norme sono già pienamente operative, mentre altre arriveranno nel 2027 e nel 2028.
Per orientarsi conviene partire da un punto molto meno giuridico: come viene realmente usata l’intelligenza artificiale dentro l’azienda?
Una parola poco elegante ma importante: deployer
L’AI Act distingue diversi soggetti.
Ci sono i provider, cioè chi sviluppa un sistema di intelligenza artificiale e lo immette sul mercato. Ci sono importatori e distributori. E poi ci sono i deployer.
Il regolamento definisce deployer una persona fisica o giuridica che utilizza un sistema di AI sotto la propria autorità nell’ambito di un’attività professionale. L’uso puramente personale resta fuori da questa definizione.
Per una normale impresa questa parola è importante perché gli obblighi dell’AI Act possono riguardare anche chi utilizza sistemi sviluppati da altri.
Se l’azienda usa un chatbot per attività professionali, un sistema di selezione del personale basato sull’AI, un software che analizza clienti o una piattaforma dotata di funzioni di intelligenza artificiale, può trovarsi nel ruolo di deployer.
Naturalmente gli obblighi cambiano moltissimo a seconda di cosa fa quel sistema e come viene utilizzato.
Far riscrivere una mail a ChatGPT e utilizzare un algoritmo per selezionare automaticamente candidati a un posto di lavoro appartengono a categorie di rischio decisamente differenti.
Prima di leggere cinquanta pagine di normativa, guardiamo cosa succede in ufficio
Il primo esercizio utile è sorprendentemente semplice.
Facciamo un elenco degli strumenti AI già utilizzati: ChatGPT, Gemini, Copilot, Claude, Perplexity, generatori di immagini, servizi per riunioni e trascrizioni, automazioni, funzioni AI integrate nel CRM, plugin e software verticali.
Poi aggiungiamo una domanda: chi li utilizza e per fare cosa?
Questa seconda parte è spesso più difficile della prima.
Molte aziende hanno già una piccola popolazione di strumenti AI entrati senza una decisione centralizzata. Un dipendente apre un account personale, un altro utilizza una funzione gratuita, un reparto sperimenta un servizio che nessun altro conosce.
È la cosiddetta Shadow AI, versione aggiornata della vecchia Shadow IT.
Una mappa minima dovrebbe permetterci di sapere almeno quale strumento viene utilizzato, da quali persone o reparti, per quali attività, con quali tipi di dati, se produce contenuti destinati all’esterno e se interviene in decisioni che riguardano persone.
Con queste informazioni l’AI Act comincia improvvisamente a diventare meno astratto.
La mappa minima dell’AI in azienda
Prima delle procedure serve una fotografia di ciò che sta già accadendo.
Quali AI e quali funzioni integrate vengono utilizzate?
Chi le usa e con quale livello di autonomia?
Scrittura, ricerca, HR, analisi, customer care, automazioni?
Quali informazioni vengono caricate o elaborate?
L’output informa, pubblica o incide su decisioni che riguardano persone?
Se queste cinque risposte non sono disponibili, abbiamo già individuato il primo lavoro da fare.
L’AI literacy riguarda già le aziende
Una delle disposizioni più rilevanti per moltissime imprese è l’articolo 4, dedicato all’AI literacy, cioè all’alfabetizzazione in materia di intelligenza artificiale.
Si applica dal 2 febbraio 2025 e riguarda provider e deployer. Dopo le modifiche del 2026 resta l’obbligo di adottare misure che favoriscano lo sviluppo dell’AI literacy delle persone che utilizzano sistemi AI per conto dell’organizzazione. Dal 3 agosto 2026 sono applicabili anche le relative norme di vigilanza ed enforcement.
Qui conviene evitare un equivoco piuttosto diffuso.
L’AI Act non stabilisce un corso obbligatorio di otto ore e non richiede uno specifico attestato. Dopo la modifica del 2026 non impone neppure il raggiungimento di un livello standardizzato di alfabetizzazione.
L’organizzazione deve adottare misure adeguate tenendo conto delle conoscenze delle persone, della loro esperienza e del contesto nel quale utilizzano l’AI.
Tradotto in "ufficese": la persona che utilizza occasionalmente un chatbot per riformulare una mail avrà esigenze diverse da chi usa sistemi AI per analizzare dati dei clienti o prendere decisioni che possono incidere sulle persone. Ma entrambe le persone andrebbero formate.
La formazione acquista senso soprattutto quando viene collegata agli strumenti e alle attività reali del team.
Alcuni usi sono già vietati
Il 2 febbraio 2025 sono entrate in applicazione anche le norme sulle pratiche AI vietate.
Per molte aziende resteranno casi lontani dalla normale attività quotidiana. Alcuni, però, meritano attenzione.
L’AI Act vieta per esempio determinati sistemi manipolativi o ingannevoli capaci di alterare significativamente il comportamento delle persone causando un danno significativo. Sono previste restrizioni molto severe anche per alcune forme di categorizzazione biometrica.
C’è poi un caso particolarmente vicino al mondo del lavoro: l’utilizzo di sistemi di riconoscimento delle emozioni sul luogo di lavoro è vietato, salvo limitate finalità mediche o di sicurezza.
Se quindi qualcuno ci propone il favoloso software capace di osservare la faccia dei dipendenti durante una videocall e capire chi è motivato, annoiato o pronto a licenziarsi, prima della demo potrebbe essere prudente fare qualche domanda.
Una governance minima serve anche a impedire che uno strumento problematico venga adottato semplicemente perché “sembrava interessante”.
Dal 2 agosto 2026 la trasparenza diventa molto più concreta
Dal 2 agosto 2026 sono applicabili gli obblighi di trasparenza previsti dall’articolo 50 dell’AI Act.
Qui è importante distinguere ciò che deve fare chi fornisce il sistema da ciò che deve fare chi lo utilizza.
Per esempio, il provider di un sistema AI progettato per interagire direttamente con una persona deve fare in modo che l’utente sappia di stare interagendo con un’intelligenza artificiale, salvo che la circostanza sia già evidente. I provider di sistemi generativi devono inoltre rendere gli output sintetici rilevabili e marcati nei casi previsti.
Per i deployer diventano particolarmente rilevanti altri casi.
Chi pubblica deepfake, cioè immagini, audio o video generati o manipolati artificialmente in modo da apparire autentici, deve rendere nota la natura artificiale del contenuto.
Un obbligo di disclosure riguarda anche il testo generato o manipolato dall’AI quando viene pubblicato allo scopo di informare il pubblico su questioni di interesse pubblico. Il regolamento prevede un’eccezione quando il contenuto è stato sottoposto a revisione umana o controllo editoriale e una persona fisica o giuridica ne assume la responsabilità editoriale.
L’AI Act non richiede quindi di mettere un gigantesco bollino “SCRITTO CON CHATGPT” sotto qualsiasi post LinkedIn. Conta il tipo di contenuto, lo scopo della pubblicazione e il ruolo dell’organizzazione.
Per i sistemi immessi sul mercato prima del 2 agosto 2026 esiste inoltre una fase transitoria limitata fino al 2 dicembre 2026 per alcuni obblighi tecnici di marcatura e rilevabilità.
Quando un uso dell’AI diventa più delicato
L’AI Act segue una logica basata sul rischio. La stessa tecnologia può quindi richiedere attenzioni molto diverse a seconda di come viene utilizzata.
L’esempio dell’ufficio HR è particolarmente chiaro.
Usare un chatbot per migliorare linguisticamente un annuncio di lavoro è un’attività. Utilizzare un sistema AI per analizzare, filtrare o valutare le candidature è un’altra cosa: questi utilizzi nell’ambito dell’occupazione rientrano tra i casi indicati dall’Allegato III come potenzialmente ad alto rischio.
Tra gli altri ambiti elencati troviamo determinati impieghi nell’istruzione, nell’accesso a servizi essenziali, nella valutazione del merito creditizio, nelle assicurazioni vita e salute, nella biometria e in alcuni contesti di giustizia, migrazione e infrastrutture critiche.
Per questi sistemi sono previsti obblighi molto più articolati: monitoraggio, supervisione umana, registrazione delle attività, gestione dei rischi e altri requisiti specifici.
Il calendario è stato modificato nel 2026. Le norme per i sistemi ad alto rischio dell’Allegato III entreranno in applicazione dal 2 dicembre 2027, mentre quelle per i sistemi AI integrati in prodotti regolamentati sono previste dal 2 agosto 2028.
Se un’azienda utilizza già AI nei processi HR, nel credito o in altri ambiti sensibili, sapere esattamente cosa sta facendo è utile molto prima di quelle date.
Quattro domande che fanno salire il livello di attenzione
Servono come filtro operativo prima di capire se un uso richiede un approfondimento specifico.
Selezione, valutazione, accesso a servizi, credito, istruzione o altre decisioni con effetti concreti.
L’AI Act convive con GDPR e altre norme: il tipo di dato continua a contare.
Deepfake e alcuni contenuti di interesse pubblico possono attivare obblighi di trasparenza.
Più cresce l’impatto dell’output, più diventano centrali supervisione, tracciabilità e verifica.
Questo schema non sostituisce una classificazione legale. Serve a capire quando è prudente fermarsi e verificare il caso con maggiore attenzione.
AI Act e GDPR continueranno a incontrarsi alla macchinetta del caffè
Un altro errore frequente consiste nel pensare all’AI Act come al grande contenitore dentro il quale finirà ogni problema legato all’intelligenza artificiale.
In realtà un utilizzo aziendale dell’AI può coinvolgere contemporaneamente diverse norme.
Se dentro un sistema inseriamo dati personali, il GDPR continua ad applicarsi.
Se il sistema incide sui diritti delle persone, possono entrare in gioco altre disposizioni.
Se generiamo o utilizziamo contenuti, possono sorgere questioni di copyright.
Se l’AI interviene in rapporti di lavoro, esistono naturalmente anche le norme che regolano quei rapporti.
Una buona policy AI aziendale dovrebbe quindi occuparsi soprattutto di come l’organizzazione utilizza l’intelligenza artificiale, senza ridursi al regolamento interno di ChatGPT.
Una piccola governance dell’AI può partire da sei cose
Per molte PMI la parola “governance” evoca immediatamente un documento di centododici pagine destinato a essere conservato in una cartella che nessuno aprirà mai.
Possiamo partire in modo molto più semplice.
Serve anzitutto una mappa degli strumenti utilizzati.
Poi vanno individuate le attività per cui vengono impiegati.
Conviene stabilire quali dati possono essere caricati e quali richiedono particolare cautela.
Bisogna chiarire quali utilizzi richiedono verifica e supervisione umana.
Le persone devono ricevere una formazione coerente con il loro ruolo e con gli strumenti che utilizzano.
Infine serve qualcuno che abbia la responsabilità di aggiornare periodicamente queste regole.
Una struttura così permette già di rispondere a parecchie domande: possiamo usare questo strumento? Possiamo caricare questo documento? Chi controlla il risultato? Questa attività incide su una persona? Dobbiamo dichiarare che abbiamo utilizzato l’AI? Cosa facciamo se il sistema produce un errore?
Quando nessuno conosce le risposte, il problema precede qualsiasi regolamento europeo.
Le date da tenere sulla scrivania
Il calendario dell’AI Act è diventato meno lineare dopo le modifiche del 2026, quindi vale la pena fissare alcune date.
2 febbraio 2025: definizioni, AI literacy e pratiche vietate.
2 agosto 2025: governance europea e principali obblighi per i modelli AI per finalità generali.
2 agosto 2026: applicazione della maggior parte del regolamento e degli obblighi di trasparenza dell’articolo 50.
3 agosto 2026: applicazione delle norme di vigilanza ed enforcement relative all’AI literacy secondo il calendario aggiornato.
2 dicembre 2026: termine della specifica fase transitoria prevista per determinati sistemi precedenti relativamente alla marcatura tecnica dei contenuti sintetici; dalla stessa data si applicano anche ulteriori divieti introdotti dall’AI Omnibus.
2 dicembre 2027: norme per i sistemi ad alto rischio dell’Allegato III.
2 agosto 2028: norme relative ai sistemi AI ad alto rischio incorporati in determinati prodotti regolamentati.
È un calendario accompagnato da linee guida, standard e indicazioni applicative. L’articolo andrà quindi aggiornato nel tempo.
AI Act: la timeline aggiornata
Le scadenze principali dopo l’AI Omnibus entrato in vigore nel luglio 2026.
Fonti ufficiali: Commissione europea · AI Act · AI literacy Q&A · Trasparenza, articolo 50
Da dove partire davvero
Per una piccola o media impresa che utilizza ChatGPT, Gemini, Copilot o altri strumenti generativi nelle normali attività d’ufficio, il punto di partenza può essere molto concreto.
Scoprire quali AI sono già entrate in azienda.
Capire chi le usa. Capire per quali attività. Verificare quali informazioni ricevono. Individuare gli utilizzi più sensibili. Stabilire poche regole comprensibili. Formare le persone in modo proporzionato a ciò che fanno. Documentare le scelte principali.
Da qui diventa molto più facile capire quali parti dell’AI Act riguardano realmente l’organizzazione e dove serve eventualmente un approfondimento legale o specialistico.
La legislazione europea ha introdotto obblighi, categorie di rischio, responsabilità e sanzioni importanti. Le violazioni più gravi possono arrivare alle soglie previste dal regolamento di 35 milioni di euro o del 7% del fatturato mondiale annuo, mentre per altre violazioni sono previste soglie inferiori e criteri di proporzionalità.
Le multe, comprensibilmente, fanno ottimi titoli. Nella vita quotidiana di un’azienda il lavoro utile comincia molto prima.
Comincia quando possiamo rispondere con una certa sicurezza a una domanda apparentemente banale: “Come stiamo usando l’intelligenza artificiale qui dentro?”
Se la risposta è “più o meno ognuno come vuole”, abbiamo già trovato il primo punto su cui lavorare.
Questo articolo ha finalità divulgative e non sostituisce una valutazione legale della situazione specifica dell’organizzazione.
WebdoAcademy per le aziende
Dalle regole a un uso consapevole dell’AI in azienda
Una governance credibile comprende strumenti, regole e persone capaci di usare l’intelligenza artificiale con criterio. La formazione è uno dei pezzi di questo lavoro, soprattutto quando viene costruita sugli strumenti e sulle attività reali del team.
WebdoAcademy è il progetto di formazione sull’intelligenza artificiale di Webdo. Per gli aspetti strettamente legali e di compliance è opportuno coinvolgere i professionisti competenti.
Domande frequenti sull’AI Act per le aziende
Alcune domande molto concrete che sorgono quando l’intelligenza artificiale è già entrata nel lavoro quotidiano dell’azienda.
Se usiamo ChatGPT, Gemini o Copilot in ufficio, l’AI Act riguarda anche la nostra azienda?
Potenzialmente sì. Un’azienda che utilizza professionalmente un sistema di intelligenza artificiale sviluppato da altri può assumere il ruolo di deployer previsto dall’AI Act. Questo però non significa che ogni utilizzo di ChatGPT o Gemini comporti automaticamente una lunga lista di adempimenti. Gli obblighi dipendono dal sistema, dal tipo di utilizzo e dal rischio. Usare l’AI per riformulare una mail è molto diverso dall’utilizzarla per valutare candidati, clienti o dipendenti.
È obbligatorio fare un corso sull’intelligenza artificiale ai dipendenti?
L’articolo 4 dell’AI Act richiede a provider e deployer di adottare misure per sviluppare l’AI literacy delle persone che utilizzano sistemi AI per loro conto. Non esiste però un corso obbligatorio con durata prestabilita, né è richiesta una certificazione esterna. La formazione deve essere proporzionata alle competenze delle persone, agli strumenti utilizzati e ai rischi delle attività svolte. L’obbligo si applica dal febbraio 2025 e le norme di vigilanza ed enforcement sono operative dal 3 agosto 2026.
L’azienda deve nominare un AI Officer?
No. L’AI Act non impone alle aziende di nominare un AI Officer né prescrive una specifica struttura interna di governance. Può comunque essere molto utile attribuire a qualcuno la responsabilità di censire gli strumenti utilizzati, aggiornare le regole interne e coordinare formazione e controlli. Per alcuni sistemi ad alto rischio sono invece previsti obblighi organizzativi e di attribuzione delle responsabilità molto più specifici.
Dobbiamo dichiarare ogni volta che un testo o un’immagine sono stati creati con l’AI?
No. Dal 2 agosto 2026 l’articolo 50 introduce obblighi di trasparenza per casi specifici, ma non richiede di apporre la scritta “creato con l’AI” su qualsiasi contenuto aziendale. Per i deployer sono particolarmente rilevanti i deepfake e determinati testi generati o manipolati dall’AI pubblicati per informare il pubblico su questioni di interesse pubblico. Per questi ultimi è prevista anche un’eccezione quando esistono revisione umana, controllo editoriale e responsabilità sul contenuto.
Dobbiamo tenere un registro di tutti gli strumenti AI utilizzati dai dipendenti?
Per una normale impresa privata non esiste un obbligo generale dell’AI Act di registrare ogni chatbot o strumento AI utilizzato. Esistono obblighi specifici di registrazione per determinate categorie di sistemi ad alto rischio e per particolari soggetti. Avere però un censimento interno degli strumenti è estremamente utile: consente di sapere chi usa cosa, per quali attività, con quali dati e con quali rischi. È anche una base concreta per organizzare AI literacy, policy e controlli.
Se rispettiamo l’AI Act siamo automaticamente in regola anche con il GDPR?
No. AI Act e GDPR sono normative diverse e possono applicarsi contemporaneamente. Se un sistema AI tratta dati personali continuano a valere gli obblighi previsti dalla normativa sulla protezione dei dati. A seconda del caso possono inoltre entrare in gioco norme sul lavoro, copyright, tutela dei consumatori o altre discipline. Una policy aziendale sull’AI dovrebbe quindi essere collegata alla governance complessiva dei dati e dei processi, non vivere come un documento isolato.
