Che cosa chiede davvero l'AI Act
La cornice entro cui tutto quello che precede deve stare. Non teoria giuridica: che cosa devi avere in mano, e da quando.
Che cosa chiede l'AI Act
Quattro livelli di rischio, due ruoli, un calendario già partito. E il minimo indispensabile per dimostrare di essere in regola.
Tre norme che si sommano
AI Act — Reg. UE 2024/1689
- Regola l'uso dei sistemi di IA in base al rischio che generano sulle persone.
- In vigore dal 1° agosto 2024, si applica a tappe.
GDPR — Reg. UE 2016/679
- Protegge il dato personale, e resta pienamente valido.
- Se il sistema tratta dati personali, valgono entrambi.
Legge italiana 132/2025
- In vigore dal 10 ottobre 2025, affianca l'AI Act.
- Fra l'altro: informare i lavoratori sull'uso dell'IA; autorità nazionali AgID e ACN.
Due regolamenti, due domande diverse
Quali dati stai trattando?
Protegge il dato personale: come lo raccogli, dove lo conservi, chi può accedervi, per quanto tempo. Il soggetto è l'informazione.
Che cosa fa il sistema con quei dati?
Regola l'uso: che decisione prende il modello, su chi ricade, chi la può ribaltare. Il soggetto è la conseguenza sulla persona.
Non si sostituiscono: si sommano. Un software che seleziona i CV tratta dati personali e prende decisioni sulle persone, quindi risponde a entrambi.
Dove finiscono i dati che dai in pasto
I tuoi dati addestrano il modello
Alimentano l'addestramento globale. E pagare una licenza individuale non cambia nulla: non garantisce privacy.
Dati isolati, nessun addestramento
Con Gemini for Workspace, ChatGPT Enterprise o Copilot 365 il DPA che sottoscrivi fa da scudo legale: zero-training sui tuoi dati, conformità GDPR, localizzazione dei dati. È lo standard aziendale minimo.
Quattro livelli, quattro regimi
Quasi tutto è rischio minimo, ma non tutto
| Uso | Livello | Che cosa ti chiede |
|---|---|---|
| ChatGPT, Gemini o Copilot per email, testi, riassunti | Minimo | Formare chi li usa, darsi regole d'uso |
| Chatbot sul sito che risponde ai clienti | Limitato | Dire chiaramente che è una macchina |
| Immagini, video o audio generati che sembrano reali | Limitato | Dichiarare che sono generati |
| Software che filtra i CV o valuta i dipendenti | Alto | Supervisione umana, log, informare i lavoratori |
| Valutazione del merito di credito di persone fisiche | Alto | Gli stessi obblighi del rischio alto |
| Analisi delle emozioni dei dipendenti, dal volto o dalla voce | Vietato | Non si può usare |
Il calendario è già partito
La tappa che le PMI conoscono meno è la seconda: dal febbraio 2025 l'articolo 4 chiede a chi usa l'IA di garantire una formazione adeguata alle persone che la usano.
Quasi sempre l'impresa è chi usa
Chi sviluppa il sistema
O lo mette in commercio o in servizio con il proprio nome. Ha gli obblighi più pesanti: documentazione tecnica, valutazione di conformità, marcatura CE e registrazione per il rischio alto.
Chi lo impiega nella propria attività
È il caso di quasi tutte le PMI. Deve usarlo secondo le istruzioni, affidarne la supervisione a persone competenti, conservare i log, informare le persone coinvolte.
Attenzione al confine: chi costruisce un tool su misura (la fase 2 del modulo 3) e lo mette in servizio con il proprio nome, anche solo per uso interno, diventa fornitore.
Sei obblighi per chi lo impiega
Sanzioni in tre fasce
Per le PMI e le start-up vale l'importo più basso fra i due, non il più alto. Per un'impresa piccola il rischio più concreto è spesso un altro: clienti e partner che cominciano a chiedere garanzie.
Il minimo per dimostrare la conformità
Il software che preseleziona i CV
Dimostrare il controllo, non eliminare ogni rischio.
Il regolamento non chiede sistemi perfetti: chiede di sapere quali sistemi si usano, chi li controlla e che cosa si fa quando sbagliano.
Tre cose da fare lunedì mattina
Fai l'inventario
- Ogni strumento di IA in uso, compresi quelli dentro i software che già paghi.
- Per ciascuno: a che cosa serve e su chi ricadono le sue decisioni.
Forma le persone
- Chi usa l'IA deve sapere come funziona e dove sbaglia.
- È quello che il regolamento chiede dal febbraio 2025.
Scrivi le regole d'uso
- Strumenti autorizzati, dati ammessi, chi controlla.
- Una pagina basta, purché la conoscano tutti.
Conformarsi è anticipare