AI Act: la legge è entrata al lavoro

Nel 2024 vi abbiamo raccontato l'approvazione del primo regolamento europeo sull'intelligenza artificiale. Dal 2 agosto 2026 quella legge non è più una promessa sulla carta: è operativa, e riguarda anche chi l'AI la usa soltanto.

Quando ne scrivemmo la prima volta, l'AI Act era appena stato approvato: un testo da tradurre in ventiquattro lingue e davanti due anni di attesa prima dell'applicazione piena. Quei due anni sono passati. Il 2 agosto 2026 il regolamento entra nella sua fase operativa: diventano applicabili nuovi obblighi di trasparenza e le autorità europee e nazionali cominciano a vigilare sul serio.

Per un'azienda il punto non è più capire se userà l'intelligenza artificiale. La usa già. Scrive testi, analizza documenti, filtra informazioni, suggerisce decisioni. La domanda è diventata come farlo in modo che regga a un controllo.

Non serve costruire un modello per rientrare nelle regole

Il primo malinteso da togliere di mezzo: l'AI Act non riguarda solo chi sviluppa modelli. Il regolamento distingue i ruoli lungo la catena del valore. Il provider costruisce il sistema o lo mette sul mercato con il proprio marchio. Il deployer lo usa sotto la propria responsabilità in un'attività professionale. In mezzo ci sono importatori e distributori, con obblighi propri.

Tradotto per chi ci legge: un'azienda entra nel perimetro anche quando si limita a integrare una soluzione di terzi nel CRM, nell'ERP o nel processo di selezione del personale. E qui arriva la parte che quasi nessuno mette a fuoco.

I gestionali che usate ogni giorno stanno diventando pieni di AI nativa. Odoo, per restare sul terreno che conosciamo bene, integra funzioni generative e agenti dentro CRM, vendite e HR. Nel momento in cui quelle funzioni entrano in un flusso reale, la vostra azienda è già deployer di un sistema di AI. Senza averlo deciso in una riunione, senza una delibera, spesso senza che nessuno lo abbia scritto da nessuna parte.

Il ruolo, oltretutto, può cambiare. Chi personalizza in modo sostanziale un sistema, ne modifica la finalità o lo distribuisce con il proprio marchio può assumere obblighi diversi da quelli di un semplice utilizzatore. Per questo la prima attività di governance è capire quali sistemi avete in casa e quale cappello indossate per ciascuno.

La piramide del rischio, con le date attaccate

La struttura a livelli di rischio la conoscete già: l'avevamo descritta quando il regolamento fu approvato. Quello che allora era uno schema oggi è un calendario. Vale la pena rivederlo da questa angolazione, perché è lì che si gioca la conformità.

Rischio inaccettabile. 

Alcune pratiche sono vietate perché incompatibili con i diritti tutelati dall'Unione Europea: social scoring, alcune forme di manipolazione o sfruttamento delle vulnerabilità, la raccolta indiscriminata di volti per il riconoscimento facciale, il riconoscimento delle emozioni sul lavoro e a scuola, con le condizioni ed eccezioni previste dal Regolamento. Questi divieti sono applicabili dal 2 febbraio 2025, con il perimetro e le limitate eccezioni stabilite dall’articolo 5.

Alto rischio. 

Sono gli usi che possono incidere in modo pesante su salute, sicurezza o diritti fondamentali: selezione e gestione del personale, accesso all'istruzione o a servizi essenziali, infrastrutture critiche, alcune applicazioni biometriche. Qui gli obblighi sono seri: gestione del rischio, qualità dei dati, documentazione tecnica, tracciabilità, supervisione umana, robustezza e cybersecurity. Con l’AI Omnibus, entrato in vigore il 27 luglio 2026, le regole per i sistemi ad alto rischio dell’Allegato III si applicheranno dal 2 dicembre 2027; per i sistemi integrati nei prodotti regolamentati dell’Allegato I, la data è il 2 agosto 2028.
Il rinvio, però, non è un permesso di aspettare: mettere in ordine documentazione, flussi e controlli richiede mesi, non giorni.

Rischio di trasparenza. 

È la novità che rende il 2 agosto 2026 una data e non un promemoria. In diversi casi l'utente deve sapere che sta interagendo con un'AI. I provider dei sistemi che generano o manipolano contenuti sintetici devono renderli rilevabili attraverso marcature leggibili dalle macchine, nei casi e con le eccezioni previste dall’articolo 50. I deepfake vanno dichiarati in modo chiaro e visibile, e un obbligo analogo può riguardare i testi generati e pubblicati per informare il pubblico su temi di interesse collettivo, salvo le eccezioni previste.

Rischio minimo. 

La maggior parte dei sistemi in uso oggi sta qui e non porta obblighi aggiuntivi ai sensi dell'AI Act. Il che non vi libera dal resto: GDPR, proprietà intellettuale, sicurezza informatica, tutela dei consumatori e diritto del lavoro continuano ad applicarsi come prima.

Una precisazione che vale un rimando. L'attuazione italiana dell'AI Act non si ferma al recepimento: aggiunge un livello nazionale che il resto d'Europa non ha, con profili di responsabilità civile e penale sui sistemi ad alto rischio. È un piano diverso da quello che trattiamo qui, e chi vuole approfondirlo lo trova ben spiegato in questo articolo di Formiche, che siamo arrivati a leggere grazie a un post di Matteo Flora. Consigliata la lettura: sposta il registro della conversazione, dalla compliance amministrativa alla procura.

La trasparenza è un problema di design, non solo di legge

Qui vale la pena fermarsi, perché è il punto in cui il nostro mestiere incontra la norma. "L'utente deve sapere che sta parlando con un'AI" e "il contenuto sintetico va marcato" non sono frasi da inserire in una policy e archiviare. Sono decisioni di progetto.

Chi disegna l'interfaccia deve decidere dove, quando e come compare la dichiarazione, senza che diventi un fastidio ignorato al primo utilizzo o, peggio, una scritta minuscola che nessuno legge. La marcatura machine-readable dei contenuti generati è una scelta di architettura, non un bollino da appiccicare alla fine. Un generico "contenuto creato con l'AI" in fondo alla pagina non basta e, in diversi casi, non è nemmeno ciò che la norma chiede.

Lo diciamo perché lo vediamo nei progetti: la trasparenza pensata a valle diventa un rappezzo. Pensata a monte, dentro l'esperienza utente, diventa un elemento di fiducia.

Il copyright, dall'altro lato

Quando raccontammo l'AI Act la prima volta, il copyright era la questione dei dati di addestramento: cosa un fornitore deve documentare su ciò che ha usato per addestrare il modello. Resta valida. Ma per un'azienda che usa l'AI il problema si sposta di lato. Il testo, l'immagine o il codice che il sistema vi restituisce da dove arrivano? Chi risponde se somigliano troppo a un'opera protetta? La trasparenza sull'origine dei contenuti, che prima era un dovere del fornitore, diventa una vostra abitudine di verifica.

AI literacy: la conformità parte dalle persone

Uno degli obblighi già in vigore riguarda l'AI literacy: le competenze di chi usa o gestisce sistemi di AI per conto dell'organizzazione. Non esiste il corso unico valido per tutti, e la norma non impone a ogni dipendente un livello preciso. Provider e deployer devono muoversi in coerenza con le persone coinvolte, il contesto d'uso e i rischi dei sistemi.

Per un team marketing vuol dire saper riconoscere allucinazioni, contenuti sintetici e rischi di copyright. Per chi sta al customer care significa conoscere i limiti dell'automazione, le regole di escalation e le informazioni che non vanno mai messe in un prompt. Per HR, sanità o finanza servono controlli ancora più specifici.

E qui si nasconde il rischio più concreto e più sottovalutato: la shadow AI. Il dipendente che, in buona fede, incolla un contratto o l'anagrafica di un cliente dentro uno strumento consumer per farsi aiutare. Nessuna delibera, nessun fornitore verificato, dati aziendali usciti dal perimetro senza che nessuno se ne accorga. La formazione mirata serve prima di tutto a evitare questo, non a trasformare tutti in tecnici.

Sette mosse per non farsi trovare impreparati

La governance non si improvvisa il giorno del controllo. Ecco da dove partire.

1. Fate l'inventario dei sistemi AI. Strumenti ufficiali e usi spontanei: chatbot, copiloti, funzioni integrate nei software, automazioni, generatori di contenuti, soluzioni su misura. Per ognuno annotate finalità, utenti, dati trattati, fornitore e processo coinvolto.
2. Definite il vostro ruolo. Siete deployer, provider o entrambi? Usate il sistema così com'è o lo avete personalizzato e proposto ai vostri clienti? Da questa distinzione discendono responsabilità e obblighi.
3. Classificate per caso d'uso, non per software. Lo stesso modello può alimentare una funzione a basso impatto o finire in un processo che tocca i diritti di una persona. Conta l'uso, non il nome del prodotto.
4. Scrivete una policy che si possa applicare. Quali strumenti sono ammessi, quali dati si possono usare, quando serve la revisione umana, come si verificano gli output, a chi si segnalano errori e incidenti. Comprensibile, non un documento da cassetto.
5. Formate per ruolo. Non un corso uguale per tutti, ma competenze tarate su cosa ciascuno fa davvero con l'AI.
6. Interrogate fornitori e contratti. Chiedete documentazione, misure di sicurezza, come vengono trattati i dati, che logging esiste, quali sono i limiti d'uso. Un processo conforme non può appoggiarsi su una tecnologia che non capite e non controllate.
7. Documentate e monitorate. Modelli, dati e rischi cambiano. Servono responsabilità definite, evidenze delle valutazioni fatte, controlli che si aggiornano. La governance non finisce al rilascio.

Conformità come scelta di architettura

C'è un modo di leggere l'AI Act come un elenco di divieti da subire. È il modo che fa perdere la parte utile. Una governance fatta bene rende i progetti migliori: obiettivi più chiari, meno shadow AI, dati più protetti, supervisione umana più semplice, tecnologie scelte in coerenza con il contesto aziendale.

Il punto, per come lo vediamo noi, è che la conformità non si aggiunge alla fine dello sviluppo. Entra nell'analisi dei requisiti, nell'architettura della soluzione, nel disegno dell'esperienza utente, nelle integrazioni, nei processi di monitoraggio. Chi costruisce e integra software sta esattamente nel punto in cui provider e deployer si toccano, ed è lì che le scelte pesano di più.

Nel 2024 la domanda era se l'Europa avrebbe regolamentato l'AI. Oggi la legge lavora, e la domanda è un'altra: i vostri sistemi sono progettati per crescere senza trasformare ogni evoluzione in un rischio nuovo?

Volete valutare come introdurre l'intelligenza artificiale in azienda in modo sicuro e conforme? Prenotate un appuntamento gratuito con Unitiva: mappiamo insieme i casi d'uso, ragioniamo sulla governance e vediamo dove l'AI può davvero aiutare i vostri processi.

Nota: Questo contenuto ha finalità informative e non costituisce consulenza legale. L'applicazione degli obblighi dipende dal ruolo dell'organizzazione, dal sistema e dal caso d'uso concreto. Le scadenze normative sono in evoluzione: verificate sempre sulle fonti ufficiali (Commissione europea ed EUR-Lex).