Le regole e le date
Le regole sono tre. L'AI Act, cioè il Regolamento (UE) 2024/1689, si applica direttamente in tutta l'Unione. Il Regolamento (UE) 2026/1744 (il cosiddetto Digital Omnibus sull'IA), pubblicato il 24 luglio 2026 e in vigore dal 27 luglio 2026, ne ha modificato alcune parti e alcune date. La legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025, aggiunge principi nazionali per lavoro, sanità e professioni, senza creare obblighi ulteriori rispetto all'AI Act per i sistemi e i modelli di IA (art. 3, comma 5).
| Da quando | Cosa si applica | Riferimento |
|---|---|---|
| 2 febbraio 2025 | alfabetizzazione del personale e pratiche vietate | artt. 4 e 5, art. 113 AI Act |
| 2 agosto 2026 | obblighi di trasparenza verso le persone e applicazione generale del regolamento | art. 50, art. 113 AI Act |
| 2 dicembre 2027 | sistemi ad alto rischio dell'Allegato III, compresi quelli per il lavoro e la gestione del personale | Reg. (UE) 2026/1744 |
| 2 agosto 2028 | sistemi ad alto rischio integrati in prodotti regolati (Allegato I), come i dispositivi medici | Reg. (UE) 2026/1744 |
Pratiche vietate e sistemi ad alto rischio
Dal 2 febbraio 2025 l'art. 5 vieta alcune pratiche. Per un'azienda le più rilevanti sono: il riconoscimento delle emozioni sul luogo di lavoro, salvo motivi medici o di sicurezza; le tecniche manipolative che alterano il comportamento delle persone; la categorizzazione biometrica per dedurre dati sensibili come opinioni politiche o orientamento sessuale.
L'Allegato III, punto 4, classifica ad alto rischio i sistemi usati per:
- pubblicare annunci mirati, filtrare candidature e valutare candidati;
- prendere decisioni su condizioni di lavoro, promozioni e cessazioni;
- assegnare compiti in base al comportamento o alle caratteristiche personali;
- monitorare e valutare le prestazioni dei lavoratori.
Chi usa questi sistemi (il "deployer") dovrà seguire le istruzioni del fornitore, affidare la sorveglianza a persone competenti, conservare i log e informare i rappresentanti dei lavoratori prima della messa in servizio (art. 26). Con il Digital Omnibus questi obblighi si applicano dal 2 dicembre 2027: è il tempo per scegliere fornitori in grado di documentare la conformità.
Cosa dire a clienti e lavoratori
- Clienti che parlano con un chatbot: devono sapere che interagiscono con un sistema di IA, salvo che sia evidente (art. 50 AI Act). I contenuti deepfake vanno dichiarati come generati o manipolati artificialmente.
- Clienti dei professionisti: avvocati, commercialisti, consulenti, ingegneri e le altre professioni intellettuali possono usare l'IA solo per attività strumentali e di supporto, con prevalenza del lavoro intellettuale, e devono comunicare al cliente quali sistemi usano, con linguaggio chiaro, semplice ed esaustivo (art. 13 L. 132/2025). Il modo più semplice è una clausola nel mandato o nella lettera d'incarico.
- Lavoratori: il datore deve informarli dell'uso dell'IA nei casi e con le modalità dell'art. 1-bis del D.Lgs. 152/1997, che riguarda i sistemi decisionali o di monitoraggio integralmente automatizzati (art. 11 L. 132/2025). Se lo strumento consente un controllo a distanza, servono l'accordo sindacale o l'autorizzazione dell'Ispettorato previsti dall'art. 4 della legge 300/1970.
Privacy: i dati inseriti nei chatbot
Ogni volta che un dipendente incolla in uno strumento di IA un contratto, una mail o un elenco clienti, l'azienda tratta dati personali. Valgono le regole del GDPR (Reg. UE 2016/679):
- base giuridica per ogni trattamento (art. 6) e una condizione specifica per dati sanitari o altri dati particolari (art. 9);
- minimizzazione: inserire solo i dati necessari, meglio se anonimizzati o pseudonimizzati (art. 5);
- contratto con il fornitore come responsabile del trattamento (art. 28) e garanzie per i trasferimenti fuori dallo Spazio economico europeo (artt. 44 e seguenti);
- valutazione d'impatto (DPIA) quando il trattamento presenta rischi elevati, ad esempio con tecnologie innovative o monitoraggio dei lavoratori (art. 35);
- decisioni automatizzate: la persona ha diritto a non essere sottoposta a decisioni basate solo su un trattamento automatizzato che la riguardano in modo significativo, salvo le eccezioni previste (art. 22).
La parte tecnica (account aziendali, impostazioni che escludono l'uso dei dati per l'addestramento, controllo degli accessi, protezione dei dati in uscita) è il lavoro del partner IT: GS Technology segue questi aspetti per i nostri clienti.
Checklist per la policy aziendale
- Registro degli strumenti: quali sistemi di IA si usano, per cosa, chi li usa, con quali dati, chi è il fornitore.
- Strumenti ammessi: solo account aziendali approvati; niente account personali per attività di lavoro.
- Dati vietati: dati sanitari, dati di dipendenti e candidati, credenziali, informazioni riservate di clienti e fornitori, salvo strumenti autorizzati per quello scopo.
- Revisione umana: ogni testo, calcolo o documento prodotto con l'IA va controllato da una persona prima dell'uso esterno; chi firma ne risponde.
- Trasparenza: quando e come informare clienti e lavoratori, con testi standard.
- Usi vietati: le pratiche dell'art. 5 e le decisioni sul personale prese solo dalla macchina.
- Incidenti: a chi segnalare un errore o un dato inserito per sbaglio, anche ai fini delle violazioni di dati personali.
- Revisione periodica della policy, almeno annuale.
La formazione del personale
L'art. 4 dell'AI Act, nella versione riformulata dal Regolamento (UE) 2026/1744, chiede a fornitori e utilizzatori di adottare misure per sviluppare l'alfabetizzazione sull'IA di chi usa i sistemi per loro conto, senza imporre un livello predefinito di competenza. In pratica: una formazione di base per tutti gli utilizzatori, una più specifica per chi usa l'IA in processi delicati (personale, clienti, dati sanitari), e una traccia scritta di cosa è stato fatto. La legge 132/2025 prevede inoltre percorsi di alfabetizzazione promossi da ordini professionali e associazioni di categoria (art. 24, comma 2, lett. f).
La formazione funziona meglio se parte dalla policy: le persone imparano gli strumenti ammessi, i dati da non inserire e come verificare i risultati. È un tema che seguiamo insieme ai servizi per le risorse umane.