dal 2 febbraio 2025 chi utilizza sistemi di AI deve garantire un livello sufficiente di alfabetizzazione AI del personale che li usa (art. 4 AI Act). Riguarda anche l’impiegato che usa un chatbot generativo per lavoro.
L’AI Act (Regolamento UE 2024/1689)
È il primo regolamento al mondo che disciplina in modo organico l’intelligenza artificiale. È entrato in vigore il 1° agosto 2024 e si applica in modo graduale. Essendo un regolamento, vale direttamente in tutti gli Stati membri, senza bisogno di recepimento. L’approccio è basato sul rischio: più alto è il rischio per salute, sicurezza e diritti fondamentali, più stringenti sono gli obblighi.
Nel 2026 il pacchetto europeo Digital Omnibus ha modificato il calendario, rinviando soprattutto gli obblighi per i sistemi ad alto rischio. Divieti, alfabetizzazione e regole sui modelli per finalità generali restano invece pienamente applicabili.
I livelli di rischio
Rischio inaccettabile: vietato
Manipolazione subliminale, sfruttamento di vulnerabilità, social scoring, riconoscimento delle emozioni sul lavoro e a scuola, categorizzazione biometrica su dati sensibili, scraping non mirato di volti, alcuni usi di identificazione biometrica in tempo reale.
Alto rischio: obblighi stringenti
Ad esempio AI per selezione e gestione del personale, valutazione del merito creditizio, istruzione, infrastrutture critiche, accesso a servizi essenziali, componenti di sicurezza di prodotti regolamentati.
Rischio limitato: trasparenza
Chatbot, contenuti generati o manipolati (testi, immagini, audio, video, deepfake): l’utente deve sapere che interagisce con un’AI e i contenuti vanno resi riconoscibili.
Rischio minimo
Filtri antispam, videogiochi, suggerimenti di scrittura: nessun obbligo specifico oltre all’alfabetizzazione, codici di condotta volontari.
Fornitori e utilizzatori (deployer)
Gli obblighi dipendono dal ruolo. Il fornitore sviluppa il sistema o lo immette sul mercato con il proprio nome; il deployer (utilizzatore) lo usa nella propria attività professionale. La maggior parte delle imprese italiane è deployer, e ha comunque obblighi:
- formare il personale (alfabetizzazione AI);
- non utilizzare pratiche vietate;
- rispettare gli obblighi di trasparenza verso clienti e utenti;
- per i sistemi ad alto rischio: usarli secondo le istruzioni, garantire sorveglianza umana, conservare i log, informare i lavoratori e, in alcuni casi, svolgere una valutazione d’impatto sui diritti fondamentali (FRIA);
- coordinare tutto con il GDPR (base giuridica, informative, DPIA).
Attenzione: chi modifica in modo sostanziale un sistema o lo commercializza con il proprio marchio può diventare a sua volta fornitore.
Le scadenze dell’AI Act
- 1° agosto 2024 Entrata in vigore del Regolamento
- 2 febbraio 2025 Divieti delle pratiche inaccettabili e obbligo di alfabetizzazione AI
- 2 agosto 2025 Regole sui modelli di AI per finalità generali (GPAI), governance e sanzioni
- 2 agosto 2026 Applicazione generale: obblighi di trasparenza, vigilanza e sanzioni per i fornitori di GPAI
- Fine 2026 Ulteriori misure introdotte dal Digital Omnibus (tra cui marcatura dei contenuti generati e nuovi divieti)
- 2 dicembre 2027 Obblighi per i sistemi ad alto rischio dell’Allegato III (lavoro, credito, istruzione, servizi essenziali…)
- 2 agosto 2028 Obblighi per i sistemi ad alto rischio integrati in prodotti regolamentati
Sanzioni: fino a 35 milioni di euro o al 7% del fatturato mondiale per le pratiche vietate; fino a 15 milioni o al 3% per le altre violazioni; fino a 7,5 milioni o all’1% per informazioni inesatte alle autorità. Per PMI e startup si applica l’importo inferiore.
La Legge italiana sull’AI (L. 23 settembre 2025, n. 132)
L’Italia è stato il primo Paese UE a dotarsi di una legge nazionale sull’intelligenza artificiale, in vigore dal 10 ottobre 2025. Non duplica l’AI Act ma lo integra su alcuni ambiti:
- Autorità nazionali: AgID (notifica e promozione) e ACN (vigilanza, ispezioni e sanzioni), la stessa autorità della NIS2.
- Lavoro: il datore di lavoro deve informare i lavoratori dell’uso di sistemi di AI; l’AI deve migliorare le condizioni di lavoro e non può discriminare.
- Professioni intellettuali: l’AI può avere solo funzione strumentale e di supporto; il professionista deve informare il cliente in modo chiaro.
- Sanità e ricerca: l’AI supporta ma non sostituisce la decisione del medico; regole sul trattamento dei dati per la ricerca.
- Minori: sotto i 14 anni l’accesso a tecnologie AI richiede il consenso di chi esercita la responsabilità genitoriale.
- Deepfake: nuovo reato di illecita diffusione di contenuti generati o alterati con AI (art. 612-quater c.p.) e aggravanti per i reati commessi con l’AI.
- Diritto d’autore: tutela solo per le opere frutto dell’ingegno umano, anche se create con l’ausilio di AI; regole sull’estrazione di testi e dati.
- Pubblica amministrazione: uso dell’AI a supporto dell’attività, con decisione finale sempre in capo alla persona.
AI e cybersicurezza: perché vanno gestite insieme
L’AI Act richiede che i sistemi ad alto rischio siano accurati, robusti e sicuri (art. 15), e gli strumenti di AI generativa introducono nuovi rischi: fuga di dati verso servizi esterni, prompt injection, “shadow AI” usata dai dipendenti senza controllo, dipendenza da fornitori extra-UE. Per i soggetti NIS2 questi sono rischi da includere nell’analisi dei rischi e nella gestione dei fornitori.
Avere la stessa autorità di vigilanza (ACN) per NIS2 e AI rende naturale un unico sistema di gestione: un inventario, una valutazione dei rischi, un set di policy e una formazione integrata.