Il Regolamento europeo
Il Regolamento (UE) 2024/1689, in vigore dal 1° agosto 2024, classifica i sistemi di intelligenza artificiale secondo il rischio: vieta alcune pratiche, sottopone a requisiti stringenti i sistemi ad alto rischio, impone obblighi di trasparenza per i sistemi che interagiscono con le persone o generano contenuti, e detta regole per i modelli per finalità generali. Gli obblighi dipendono dal ruolo: il fornitore sviluppa il sistema o lo immette sul mercato; il deployer lo utilizza sotto la propria autorità nell'ambito di un'attività professionale. La gran parte delle imprese è deployer.
Le scadenze
- dal 2 febbraio 2025 si applicano i divieti dell'art. 5 e le disposizioni sull'alfabetizzazione in materia di IA dell'art. 4;
- dal 2 agosto 2025 le regole sui modelli di IA per finalità generali;
- dal 2 agosto 2026 la generalità delle disposizioni, compresi gli obblighi di trasparenza dell'art. 50;
- dal 2 dicembre 2027 gli obblighi per i sistemi ad alto rischio elencati nell'allegato III, dal 2 agosto 2028 quelli per i sistemi ad alto rischio dell'allegato I.
Le ultime due date sono state fissate dal Regolamento (UE) 2026/1744, l'Omnibus digitale sull'IA, che ha anche riscritto l'art. 4: fornitori e deployer adottano misure volte a sostenere l'alfabetizzazione in materia di IA del proprio personale e delle altre persone che si occupano dei sistemi per loro conto.
Cosa deve fare chi utilizza l'IA
Per l'impresa che utilizza sistemi di IA i primi obblighi sono già operativi:
- sapere quali sistemi sono in uso, per quali finalità e con quali dati, e verificare che nessuno ricada fra le pratiche vietate;
- sostenere la formazione del personale che li utilizza, in modo proporzionato al ruolo e al rischio;
- rispettare gli obblighi di trasparenza verso le persone che interagiscono con un sistema di IA o sono esposte a contenuti generati o manipolati;
- per i sistemi ad alto rischio, dalle date indicate: uso conforme alle istruzioni, sorveglianza umana affidata a persone competenti, controllo dei dati di input, monitoraggio, conservazione dei log, informazione dei lavoratori interessati e, nei casi previsti, valutazione d'impatto sui diritti fondamentali (artt. 26 e 27).
La legge italiana
La L. 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025, affianca il Regolamento con norme nazionali. Tra quelle che interessano le imprese: il datore di lavoro informa il lavoratore dell'utilizzo dell'intelligenza artificiale nei casi e con le modalità dell'art. 1-bis del D.Lgs. 152/1997 (art. 11); nelle professioni intellettuali l'IA può svolgere soltanto attività strumentali e di supporto, e il professionista ne informa il cliente con linguaggio chiaro (art. 13). La legge ha introdotto inoltre il reato di illecita diffusione di contenuti generati o alterati con sistemi di intelligenza artificiale (art. 612-quater c.p.).
Il nuovo reato presupposto 231
Il D.Lgs. 9 settembre 2026, n. 160 ha introdotto nel D.Lgs. 231/2001 l'art. 25-vicies, in vigore dal 30 settembre 2026, rubricato «Reati commessi con l'uso di sistemi di intelligenza artificiale». L'ente risponde:
- per il delitto dell'art. 437-bis c.p., che punisce chi omette le misure tecniche di sicurezza o di sorveglianza umana previste per i sistemi ad alto rischio, o li altera, quando ne deriva pericolo per la vita o l'incolumità pubblica o individuale, con la sanzione pecuniaria da seicento a mille quote;
- per il delitto dell'art. 612-quater c.p., con la sanzione pecuniaria da duecento a settecento quote.
In entrambi i casi si applicano anche sanzioni interdittive. L'uso dell'IA entra così nella mappatura dei rischi del Modello 231.
IA e protezione dei dati
Quasi ogni uso dell'IA in azienda comporta un trattamento di dati personali: nei testi inseriti, nei documenti caricati, nei risultati. La procedura sull'uso dell'IA che redigiamo entra perciò nel sistema privacy dell'ente, con regole su dati ammessi e vietati, strumenti autorizzati, verifica umana dei risultati e valutazione d'impatto quando il trattamento presenta un rischio elevato.
Cosa facciamo
- Censimento dei sistemi e degli strumenti di IA in uso, anche quelli adottati spontaneamente dai singoli, con finalità, dati trattati, fornitore e ruolo dell'ente.
- Classificazione di ciascun sistema secondo il Regolamento: pratiche vietate, alto rischio, obblighi di trasparenza, rischio minimo.
- Procedura sull'uso dell'intelligenza artificiale, con il Registro dei sistemi di IA come allegato: strumenti autorizzati, dati che non possono esservi inseriti, responsabilità, verifica umana, gestione degli incidenti.
- Alfabetizzazione: formazione del personale per livelli, con registro e attestati.
- Per i sistemi ad alto rischio, gli adempimenti del deployer: istruzioni operative, sorveglianza umana, conservazione dei log, valutazione d'impatto quando prevista.
- Aggiornamento del Modello 231 per il nuovo art. 25-vicies.
Cosa consegneremo
- Procedura sull'uso degli strumenti di intelligenza artificiale
- Registro dei sistemi di intelligenza artificiale
- Classificazione dei sistemi e matrice dei ruoli
- Piano di alfabetizzazione e formazione, con attestati
- Per i sistemi ad alto rischio: istruzioni per la sorveglianza umana e valutazione d'impatto sui diritti fondamentali, quando prevista
- Aggiornamento della mappatura dei rischi del Modello 231
Come lavoriamo
Ogni materia ha la sua disciplina, ciò che si ripete è il modo di arrivarci: parliamo con chi lavora, guardiamo come funziona l'impresa, scriviamo la compliance su misura per voi. Dove due sistemi si toccano, creiamo sinergia e forza comune.
Domande frequenti
Se usiamo solo strumenti di IA generativa di mercato, l'AI Act ci riguarda?
Sì. Anche chi usa strumenti di mercato è deployer: deve sostenere l'alfabetizzazione del personale, rispettare gli obblighi di trasparenza quando pertinenti e verificare che l'uso non rientri fra le pratiche vietate. La procedura interna è lo strumento per governare questi usi.
Quando si applicano gli obblighi per i sistemi ad alto rischio?
Dal 2 dicembre 2027 per i sistemi elencati nell'allegato III, dal 2 agosto 2028 per quelli dell'allegato I, secondo le date fissate dal Regolamento (UE) 2026/1744.
L'uso dell'IA può generare responsabilità 231?
Sì. Dal 30 settembre 2026 l'art. 25-vicies del D.Lgs. 231/2001 prevede la responsabilità dell'ente per i delitti degli artt. 437-bis e 612-quater c.p. commessi nel suo interesse o a suo vantaggio.
Esiste una certificazione per la gestione dell'IA?
La norma ISO/IEC 42001:2023 definisce i requisiti di un sistema di gestione dell'intelligenza artificiale ed è certificabile. Il Regolamento non la richiede, ma offre una struttura per organizzarne gli adempimenti.