Adeguarsi all’AI Act significa mappare, classificare e governare i sistemi di intelligenza artificiale usati dall’organizzazione, dimostrando che restano sicuri, trasparenti, documentati e sottoposti a controllo umano. In Italia significa applicare il Regolamento UE 2024/1689, coordinarlo con la Legge 132/2025 e prepararsi al 2 agosto 2026, quando diventeranno operative le regole di trasparenza previste dall’articolo 50.
Non è un adempimento “solo legale”. È un lavoro di governance tecnologica: sapere quali strumenti di IA sono in uso, a quali rischi espongono l’azienda, quali obblighi generano e chi ne risponde. L’AI Act nasce proprio con questo obiettivo: favorire un’IA antropocentrica e affidabile, proteggendo salute, sicurezza e diritti fondamentali (Regolamento UE 2024/1689, EUR-Lex).
Quali sono le scadenze AI Act da rispettare?
Il calendario dell’AI Act è progressivo. Alcuni obblighi sono già operativi, altri entreranno in applicazione tra il 2026 e il 2028. La logica è semplice: più il sistema di IA può incidere su persone, diritti o sicurezza, più servono controlli, documentazione e verifiche prima dell’uso.
Secondo la timeline della Commissione europea, dopo le prime applicazioni del 2025, il 2 agosto 2026 diventano operative le regole di trasparenza dell’articolo 50, mentre gli obblighi per i sistemi ad alto rischio dell’Allegato III sono previsti dal 2 dicembre 2027 e quelli integrati in prodotti regolamentati dal 2 agosto 2028 (Commissione europea, AI Act Service Desk).
| Data | Obbligo principale | Cosa deve fare l’azienda |
| 2 febbraio 2025 | Divieti e alfabetizzazione IA | Eliminare pratiche vietate e avviare formazione interna sull’uso consapevole dell’IA. |
| 2 agosto 2025 | Regole sui modelli GPAI e governance | Verificare fornitori, documentazione tecnica e responsabilità nella catena di utilizzo. |
| 2 agosto 2026 | Trasparenza, articolo 50 | Dichiarare chatbot, deepfake e contenuti generati o manipolati artificialmente. |
| 2 dicembre 2026 | Obblighi transitori sui contenuti sintetici | Pianificare marcature machine-readable per sistemi già presenti sul mercato. |
| 2 dicembre 2027 | Sistemi ad alto rischio Allegato III | Completare classificazione, gestione del rischio, log, sorveglianza umana e documentazione. |
| 2 agosto 2028 | Sistemi ad alto rischio integrati in prodotti regolamentati | Allineare conformità AI Act e normative di prodotto. |
Chi controlla la compliance AI Act in Italia?
In Italia la cornice nazionale è definita dalla Legge 23 settembre 2025, n. 132, entrata in vigore il 10 ottobre 2025. La norma stabilisce che le disposizioni italiane devono essere interpretate e applicate in coerenza con il Regolamento UE 2024/1689 (Normattiva; Gazzetta Ufficiale).
| Autorità | Ruolo operativo |
| AgID | Autorità di notifica: valuta e monitora gli organismi di conformità. |
| ACN | Autorità di vigilanza del mercato e punto di contatto unico con l’Unione europea. |
| Autorità settoriali | Intervengono nei rispettivi ambiti, ad esempio finanza, assicurazioni e protezione dei dati personali. |
Per un’impresa, questo significa che la compliance non può restare chiusa in un documento legale. Deve coinvolgere IT, cybersecurity, legal, HR, procurement, data protection e direzione aziendale. Un sistema di IA può infatti toccare sicurezza informatica, protezione dei dati, responsabilità contrattuale, diritti dei lavoratori e continuità operativa.
Come cambia l’uso dell’IA nei rapporti di lavoro?
Il lavoro è uno degli ambiti più delicati. Un algoritmo può aiutare a ordinare candidature, individuare anomalie nei turni, supportare attività HR o suggerire decisioni organizzative. Ma non può diventare il decisore invisibile. Le scelte che incidono in modo sostanziale sul rapporto di lavoro devono restare attribuite a una persona fisica con reali poteri di controllo e revisione.
Se un software segnala un dipendente come “a rischio bassa performance”, quell’indicazione non può essere usata come automatismo per sanzioni, demansionamenti o licenziamenti. Serve una valutazione umana, motivata e documentabile. Il lavoratore deve inoltre poter ricevere informazioni comprensibili sulla logica del sistema quando questa influenza una decisione che lo riguarda.
Che obblighi hanno professionisti e consulenti?
Per professionisti come avvocati, commercialisti, consulenti, ingegneri o medici, l’IA può essere usata come supporto, non come sostituto della responsabilità professionale. Il punto non è vietare l’uso degli strumenti, ma renderlo trasparente, controllato e coerente con il mandato ricevuto dal cliente.
In pratica, se un professionista usa un sistema di IA per preparare una bozza, analizzare documenti o generare ipotesi operative, deve mantenere il controllo dell’output finale e informare il cliente con un linguaggio chiaro. Dire “ho usato un tool” non basta: bisogna spiegare in che modo l’IA è entrata nel processo e quali parti restano frutto della valutazione professionale.
Perché l’alfabetizzazione IA è un obbligo concreto?
L’articolo 4 dell’AI Act impone a fornitori e utilizzatori professionali di sostenere l’alfabetizzazione in materia di IA del personale e delle persone che operano per loro conto. Non significa fare un corso generico una volta l’anno. Significa dare alle persone competenze proporzionate al ruolo, al contesto e ai rischi degli strumenti che usano (Regolamento UE 2024/1689, art. 4).
In Italia, il piano formativo è esteso a tutti i livelli:
- Marketing e comunicazione: riconoscere contenuti sintetici, verificare fonti e gestire correttamente immagini, testi e claim generati da IA
- HR: usare strumenti di screening o valutazione senza trasformarli in decisioni automatizzate non verificabili
- IT e cybersecurity: valutare rischi di data leakage, prompt injection, accessi non autorizzati e uso improprio di modelli generativi
- Procurement: inserire nei contratti clausole su dati, log, responsabilità, sicurezza, no-training e auditabilità.
Quali rischi legali e cyber deve considerare l’azienda?
La compliance AI Act non vive separata dalla cybersecurity. Un sistema di IA può diventare un punto di esposizione se tratta dati particolar, produce output non verificati, integra API esterne o viene usato dai dipendenti senza controllo. La cosiddetta Shadow AI è spesso il primo rischio reale: strumenti usati in modo informale, senza valutazione preventiva, senza policy e senza tracciabilità.
| Rischio | Esempio | Controllo consigliato |
| Data leakage | Un dipendente incolla dati cliente in un tool generativo pubblico. | Policy di utilizzo, DLP, formazione e strumenti approvati. |
| Output non verificato | Un modello produce una risposta errata usata in un documento tecnico. | Human oversight, revisione esperta e tracciamento delle fonti. |
| Bias o discriminazione | Un sistema HR penalizza profili sulla base di dati storici distorti. | Valutazione del rischio, test, audit e documentazione dei criteri. |
| Fornitore opaco | Il contratto non chiarisce log, training dei dati o responsabilità. | Due diligence, clausole contrattuali e verifiche periodiche. |
Come costruire un piano di compliance AI Act?
Il modo più solido per adeguarsi è partire da un inventario reale dei sistemi di IA, non da una checklist astratta. In molte aziende gli strumenti sono già presenti: chatbot, generatori di contenuti, software HR, sistemi di scoring, strumenti di automazione, funzioni AI integrate in piattaforme SaaS. Prima di “fare compliance”, bisogna sapere cosa si sta usando.
- Censire i sistemi IA: includere strumenti ufficiali, integrazioni SaaS e uso informale da parte dei dipendenti
- Classificare il rischio: distinguere rischio minimo, limitato, alto e pratiche vietate
- Individuare ruoli e responsabilità: provider, deployer, importatore, distributore o utilizzatore interno
- Valutare dati e finalità: capire quali dati entrano nel sistema, con quale base giuridica e per quali scopi
- Verificare la trasparenza: dichiarare quando l’utente interagisce con IA o riceve contenuti sintetici
- Documentare controlli e decisioni: conservare evidenze, log, policy, valutazioni e revisioni.
- Integrare AI Act e GDPR: coordinare DPIA, informative privacy e valutazioni sui diritti fondamentali
- Gestire i fornitori: contratti, audit, sicurezza, no-training, subfornitori e responsabilità
- Formare le persone: creare percorsi diversi per funzioni operative, tecniche e decisionali
- Monitorare nel tempo: aggiornare il registro IA quando cambiano strumenti, dati, finalità o rischi.
La compliance può diventare un vantaggio operativo?
Sì, se viene trattata come governance e non come burocrazia. Un’azienda che sa dove usa l’IA, quali dati espone, quali fornitori coinvolge e quali controlli applica riduce il rischio legale, cyber e reputazionale. La conformità diventa così parte della sicurezza aziendale: non frena l’innovazione, la rende utilizzabile senza perdere controllo.
Per questo un percorso efficace dovrebbe collegare competenze legali, cybersecurity, gestione del rischio e formazione. In questo punto può inserirsi in modo naturale un servizio di consulenza o assessment: non per “comprare la conformità”, ma per mappare i sistemi, individuare le priorità, ridurre la Shadow AI e costruire controlli proporzionati al rischio reale.
Il vero obiettivo non è arrivare preparati a una scadenza normativa. È costruire un modo più maturo di usare l’intelligenza artificiale: consapevole, verificabile e capace di generare valore senza perdere il controllo. Perché l’innovazione più solida non è quella che corre più veloce, ma quella che sa dove sta andando.
Scopri i nostri servizi di Data Protection!
Fonti di riferimento
- Regolamento (UE) 2024/1689, Artificial Intelligence Act, testo ufficiale EUR-Lex.
- Commissione europea, AI Act Service Desk, timeline di implementazione dell’AI Act.
- Commissione europea, linee guida sui sistemi di IA ad alto rischio.
- Legge 23 settembre 2025, n. 132, Normattiva e Gazzetta Ufficiale.
- AI Act, articolo 4 sull’alfabetizzazione in materia di IA e articolo 50 sugli obblighi di trasparenza.