L’intelligenza artificiale (Ai) è ormai entrata nella vita quotidiana delle aziende. La si usa per scrivere testi, analizzare documenti, gestire dati, creare immagini, rispondere ai clienti, selezionare informazioni e supportare decisioni.

Il problema è che non tutti gli utilizzi dell’IA sono uguali.

Ed è proprio da qui che parte l’AI Act, il Regolamento europeo che introduce un quadro comune di regole per l’utilizzo dell’intelligenza artificiale.

Per le aziende non significa semplicemente “dover stare attente a usare ChatGPT”. La normativa riguarda chi sviluppa sistemi di IA, chi li mette sul mercato e anche chi li utilizza nell’attività lavorativa.

Il quadro è diventato particolarmente rilevante dal 2 agosto 2026, data dalla quale sono entrate in applicazione numerose disposizioni dell’AI Act e sono diventati operativi anche i poteri di controllo delle autorità competenti.

Vale allora la pena capire cosa cambia davvero e cosa dovrebbe fare un’azienda.

Cos’è l’AI Act

L’AI Act è il Regolamento UE 2024/1689, cioè la normativa europea che stabilisce regole armonizzate sull’intelligenza artificiale.

È entrato in vigore il 1° agosto 2024, ma le sue disposizioni non sono diventate tutte applicabili nello stesso momento. Il legislatore europeo ha scelto un’applicazione progressiva, con date diverse in base al tipo di obbligo e di sistema di IA.

Il principio alla base della normativa è abbastanza semplice: più un sistema di IA può creare rischi per le persone, più stringenti devono essere le regole da rispettare.

Detto in altri termini: un filtro antispam e un sistema utilizzato per valutare candidati durante una selezione del personale non vengono trattati allo stesso modo.

Per questo l’AI Act divide i sistemi di IA in diverse categorie di rischio.

Come funziona la classificazione dei sistemi di IA

Il primo errore da evitare è pensare che l’AI Act vieti o limiti l’intelligenza artificiale in generale. Non è questo l’obiettivo della normativa.

Il Regolamento AI Act utilizza un approccio basato sul rischio e distingue, in sostanza, tra:

– sistemi a rischio minimo o nullo;
– sistemi soggetti a obblighi di trasparenza;
– sistemi ad alto rischio;
– pratiche di IA vietate.

La maggior parte degli strumenti di IA utilizzati normalmente dalle aziende rientra nelle categorie a rischio minimo o limitato.

Un’azienda che usa un sistema di IA per aiutare un dipendente a scrivere una bozza di e-mail si trova in una situazione molto diversa rispetto a un’azienda che usa un sistema di IA per valutare automaticamente i candidati a un posto di lavoro.

La domanda giusta, allora, è una sola:

“Per quale scopo stiamo utilizzando l’IA e quale rischio può creare questo utilizzo?”

Quali pratiche di IA sono vietate

L’AI Act individua alcune pratiche considerate incompatibili con i principi dell’Unione europea e ne vieta l’utilizzo.

Tra queste rientrano sistemi che possono manipolare il comportamento delle persone, sfruttare determinate vulnerabilità o attribuire un punteggio sociale alle persone con modalità vietate dalla normativa. Sono previste anche limitazioni specifiche per alcuni utilizzi dell’identificazione biometrica.

Prima di introdurre in azienda un software, bisogna sapere cosa fa davvero quel sistema, con quali dati lavora, su chi viene applicato e a cosa serve. Questo diventa ancora più importante quando l’IA finisce dentro processi che toccano in modo diretto le persone.

Sistemi ad alto rischio: dove gli obblighi dell’AI Act diventano stringenti

La categoria che richiede maggiore attenzione è quella dei sistemi di IA ad alto rischio.

Sono sistemi che possono incidere in modo significativo sulla salute, sulla sicurezza o sui diritti fondamentali delle persone.

Tra gli ambiti considerati dalla normativa ci sono, per esempio, occupazione e gestione dei lavoratori, istruzione, infrastrutture critiche, biometria e alcuni servizi essenziali.

Qui i requisiti diventano molto più rigorosi e riguardano:

– valutazione e gestione dei rischi;
– qualità e gestione dei dati;
– registrazione delle attività del sistema;
– documentazione tecnica;
– informazioni per chi utilizza il sistema;
– supervisione umana;
– requisiti di accuratezza, sicurezza e cybersicurezza.

C’è però una novità importante rispetto al calendario che molti articoli sull’AI Act continuano a riportare.

Il Digital Omnibus sull’IA, entrato in vigore il 27 luglio 2026, ha modificato alcune scadenze.

Per i sistemi ad alto rischio utilizzati in determinati settori, tra cui occupazione e istruzione, le relative regole si applicheranno dal 2 dicembre 2027.

Per i sistemi di IA ad alto rischio incorporati in determinati prodotti regolamentati, la scadenza è invece il 2 agosto 2028.

Questo non significa che le aziende possano aspettare il 2027 o il 2028 senza fare nulla.

Il tempo che rimane serve proprio a capire quali sistemi vengono utilizzati e a prepararsi agli obblighi.

Trasparenza: quando bisogna dire che c’è un’IA

Uno degli aspetti dell’AI Act che tocca già da vicino molte aziende riguarda la trasparenza.

Dal 2 agosto 2026 sono applicabili le disposizioni che impongono specifici obblighi per determinati sistemi di IA.

L’esempio più immediato sono i chatbot: quando una persona interagisce con un sistema di IA, in determinati casi deve essere informata del fatto che non sta interagendo con un essere umano.

Lo stesso principio riguarda i contenuti generati o modificati dall’IA: per alcune categorie sono previste informazioni o etichette che permettano di riconoscerne l’origine artificiale.

Le conseguenze pratiche, per un’azienda, si vedono sul sito web, sui sistemi di assistenza clienti, sulla produzione di contenuti e sulle attività di comunicazione.

Non tutte le immagini realizzate con l’IA devono essere trattate nello stesso modo, ed è per questo che è fondamentale conoscere le regole applicabili allo specifico utilizzo.

L’alfabetizzazione sull’intelligenza artificiale

C’è poi un obbligo che interessa molto più direttamente il mondo del lavoro: la cosiddetta AI literacy, cioè l’alfabetizzazione in materia di intelligenza artificiale.

L’AI Act prevede che fornitori e utilizzatori di sistemi di IA adottino misure per garantire un livello sufficiente di competenza in materia di IA delle persone che lavorano con questi strumenti. Questa disposizione è applicabile dal 2 febbraio 2025.

La formazione dovrebbe permettere alle persone di capire almeno:

– che cosa fa il sistema utilizzato;
– quali sono i suoi limiti;
– quali rischi può comportare;
– come interpretare correttamente i risultati;
– quando è necessario il controllo umano;
– quali informazioni non devono essere inserite nello strumento.

Il tema pesa ancora di più quando l’IA viene utilizzata per attività che riguardano clienti, lavoratori, dati personali o decisioni aziendali.

La formazione diventa così parte della corretta gestione dell’uso dell’IA all’interno dell’organizzazione.

AI Act e mondo del lavoro

Il rapporto tra intelligenza artificiale e lavoro merita un’attenzione specifica.

Un’azienda può utilizzare l’IA per molte attività: dalla selezione dei CV alla gestione dei turni, dalla valutazione delle prestazioni alla formazione.

Ma quando un sistema entra in un processo che riguarda direttamente i lavoratori, il livello di attenzione deve aumentare.

L’AI Act considera infatti alcuni sistemi utilizzati nell’ambito dell’occupazione e della gestione dei lavoratori come potenzialmente ad alto rischio.

E il tema non riguarda solo l’algoritmo: entrano in gioco anche trasparenza, supervisione umana, protezione dei dati, non discriminazione e responsabilità delle decisioni.

Delegare un’attività a un sistema di IA non sposta la responsabilità sulla macchina: la decisione aziendale deve continuare ad avere un responsabile umano.

Anche il quadro italiano si sta muovendo in questa direzione. Gli schemi di decreto legislativo approvati dal Governo il 10 giugno 2026 prevedono specifiche disposizioni sulla formazione e sulla tutela dei lavoratori nell’utilizzo dell’intelligenza artificiale.

Il nuovo quadro italiano

L’AI Act è un regolamento europeo e, proprio per questo, non va confuso con una legge italiana che lo sostituisce.

L’Italia ha però adottato una propria normativa nazionale.

Il riferimento è la Legge 23 settembre 2025, n. 132, che contiene disposizioni e deleghe al Governo in materia di intelligenza artificiale. La legge è entrata in vigore il 10 ottobre 2025 e stabilisce che le proprie disposizioni devono essere interpretate e applicate in conformità con il Regolamento europeo sull’IA.

Il passaggio successivo è arrivato con i due schemi di decreto legislativo approvati in esame preliminare dal Consiglio dei Ministri, destinati ad adeguare ulteriormente l’ordinamento italiano all’AI Act.

I provvedimenti riguardano, tra gli altri aspetti, i poteri delle autorità nazionali, la formazione, il lavoro, l’utilizzo dell’IA nelle attività di polizia e alcuni profili di responsabilità civile e penale.

Per le aziende italiane il punto da tenere presente è questo: il quadro normativo non si esaurisce nel regolamento europeo.

Vanno considerate anche le norme nazionali che ne accompagnano l’applicazione.

Le nuove scadenze dell’AI Act

Il calendario dell’AI Act è stato modificato nel 2026 e merita di essere letto con attenzione.

Il nuovo calendario deriva dal Regolamento UE 2026/1744, il Digital Omnibus sull’IA, pubblicato nella Gazzetta ufficiale dell’Unione europea il 24 luglio 2026.

Cosa deve fare oggi un’azienda?

Arriviamo alla parte più pratica.

Un’azienda che utilizza già strumenti di intelligenza artificiale non dovrebbe aspettare l’entrata in vigore di ogni singolo obbligo per iniziare a organizzarsi.

Il primo passo è fare un censimento degli strumenti di IA utilizzati.

Non solo i software acquistati dall’azienda.

Anche gli strumenti gratuiti utilizzati dai dipendenti per lavorare.

Per esempio:

– chatbot;
– strumenti per scrivere o tradurre testi;
– software per generare immagini;
– sistemi di analisi dei dati;
– strumenti di automazione;
– software utilizzati nelle risorse umane;
– sistemi di assistenza ai clienti;
– strumenti integrati nei software aziendali.

Una volta individuati, occorre capire per quale finalità vengono utilizzati e quali dati vengono trattati.

Solo a quel punto è possibile stabilire quali regole dell’AI Act si applicano.

Dopodiché un’azienda dovrebbe verificare almeno questi aspetti:

– Quali sistemi di IA utilizziamo?
– Chi li utilizza e per quali attività?
– Quali dati vengono inseriti nei sistemi?
– Il sistema prende decisioni che riguardano persone?
– Il sistema rientra tra quelli ad alto rischio?
– Sono previsti obblighi di trasparenza?
– Le persone che utilizzano l’IA hanno ricevuto una formazione adeguata?
– Chi controlla i risultati prodotti dall’IA?
– Abbiamo definito regole interne per l’utilizzo degli strumenti?
– I contratti con i fornitori prevedono informazioni sufficienti sul sistema utilizzato?

Non tutte le aziende dovranno creare una struttura burocratica complessa.
Ma tutte dovrebbero sapere quale IA stanno utilizzando e come viene utilizzata.

AI Act: il punto che riguarda tutte le aziende

L’AI Act non è una questione che tocca solo le grandi aziende tecnologiche. Riguarda anche l’impresa che usa un gestionale con qualche funzione di IA senza essersi mai considerata un “utilizzatore di intelligenza artificiale”.

Ed è qui che conviene fare chiarezza.

Non ha senso aspettare un controllo per scoprire quali strumenti usano i dipendenti. E non ha senso nemmeno vietare l’intelligenza artificiale per timore della normativa. Quello che serve è sapere dove viene utilizzata, con quali finalità, quali rischi comporta e quali regole vanno rispettate.

Con l’AI Act l’intelligenza artificiale entra in un terreno che le aziende conoscono bene: procedure, responsabilità, formazione, trasparenza, controllo.

Per chi questi strumenti li sta già usando, il momento giusto per fare ordine non è il 2027. È adesso.