AI Act per Aziende: Guida Completa per PMI e Creator Digitali

L’intelligenza artificiale è entrata stabilmente nei processi di lavoro di imprese, professionisti, e-commerce, agenzie, software house e creator digitali. Oggi viene utilizzata per scrivere testi, creare immagini, analizzare documenti, assistere clienti, classificare richieste, migliorare flussi operativi, selezionare candidati o automatizzare parti del customer care.

Ma utilizzare l’AI non significa semplicemente scegliere il tool più popolare del momento.

Per le aziende europee, l’uso dell’intelligenza artificiale deve ora essere valutato anche alla luce del Regolamento UE 2024/1689, conosciuto come AI Act. Il regolamento introduce un quadro comune europeo per ridurre rischi legati a sicurezza, discriminazione, manipolazione, uso improprio dei dati e violazione dei diritti fondamentali.

L’AI Act non vieta alle PMI di usare ChatGPT, Gemini, Claude, Copilot, strumenti di automazione o software con funzioni AI integrate. Non obbliga neppure ogni azienda a costruire un reparto legale interno o a certificare qualsiasi attività digitale.

Chiede però alle organizzazioni di capire una cosa essenziale:

quale sistema AI stanno utilizzando, per quale finalità, su quali persone o dati incide e quale ruolo ricoprono nella filiera.

Una PMI che usa un assistente AI per preparare la prima bozza di una newsletter non ha gli stessi obblighi di un’azienda che utilizza un sistema automatizzato per classificare candidati, valutare dipendenti o calcolare il merito creditizio di persone fisiche.

Questa distinzione è il cuore dell’AI Act.

Cos’è l’AI Act e perché è stato introdotto

L’AI Act è il Regolamento UE 2024/1689 del Parlamento europeo e del Consiglio. È entrato in vigore il 1° agosto 2024 e introduce regole armonizzate per l’intelligenza artificiale all’interno del mercato europeo.

Il suo obiettivo è favorire lo sviluppo e l’uso di sistemi AI sicuri, affidabili e rispettosi dei diritti fondamentali, senza bloccare l’innovazione.

L’Unione Europea ha scelto un modello basato sul rischio. In altre parole, non tutti i sistemi AI sono trattati allo stesso modo.

Un filtro antispam non presenta lo stesso livello di rischio di un sistema utilizzato per decidere se una persona ottiene un mutuo, viene assunta, viene esclusa da una selezione o riceve una valutazione negativa sul lavoro.

Per questo l’AI Act distingue tra:

• pratiche vietate;

• sistemi ad alto rischio;

• sistemi soggetti a obblighi di trasparenza;

• sistemi a rischio basso o minimo.

Questa impostazione è rilevante anche per chi crea contenuti digitali. Un creator che usa AI per generare immagini promozionali non assume automaticamente gli stessi obblighi di una software house che sviluppa strumenti destinati alla selezione del personale. Tuttavia, deve conoscere regole specifiche su trasparenza, deepfake, uso professionale dei sistemi generativi e protezione dei dati.

L’AI Act si applica non solo alle aziende con sede nell’Unione Europea. Può riguardare anche soggetti stabiliti fuori dall’UE quando immettono sul mercato europeo sistemi AI o quando il risultato prodotto dal sistema viene utilizzato nell’Unione.

Il calendario di applicazione: cosa è già operativo e cosa cambia da agosto 2026

Uno degli errori più frequenti consiste nel dire che “l’AI Act è già tutto applicabile”. Non è corretto.

Il regolamento è entrato in vigore nel 2024, ma le disposizioni si applicano in modo progressivo.

Dal 2 febbraio 2025

Sono diventati applicabili:

• le disposizioni sulle pratiche AI vietate;

• gli obblighi legati all’AI literacy, cioè all’alfabetizzazione e alla formazione delle persone che utilizzano sistemi AI in azienda.

Questo significa che un’impresa non deve aspettare di utilizzare sistemi ad alto rischio per iniziare a formare il personale. Se dipendenti, collaboratori o consulenti usano strumenti AI nel lavoro, l’azienda deve adottare misure adeguate per garantire che comprendano almeno funzionamento generale, limiti, rischi e modalità corrette di utilizzo.

Dal 2 agosto 2025

Sono diventati applicabili gli obblighi per i provider di modelli AI per finalità generali, come i grandi modelli linguistici o multimodali messi a disposizione sul mercato europeo.

Questi obblighi riguardano principalmente chi sviluppa e distribuisce modelli general-purpose, non la piccola azienda che utilizza un abbonamento Team o Business per lavorare.

Dal 2 agosto 2026

Entrano in applicazione, tra le altre cose:

• gli obblighi di trasparenza dell’articolo 50;

• molte regole relative ai sistemi ad alto rischio elencati nell’Annex III;

• l’avvio dell’enforcement generale dell’AI Act.

Per questo il 2026 è un anno importante per PMI, software house, creator professionali, piattaforme digitali e aziende che usano chatbot, strumenti di recruiting o sistemi automatizzati che incidono sulle persone.

Dal 2027 e oltre

Alcuni sistemi AI ad alto rischio integrati in prodotti regolamentati, come determinate macchine, dispositivi o prodotti soggetti a specifica normativa europea, seguono un calendario differente.

Per una PMI, la regola pratica è semplice: non occorre memorizzare ogni data, ma bisogna verificare se il proprio caso d’uso ricade tra quelli per cui gli obblighi sono già applicabili.

La piramide del rischio: come classificare l’uso dell’AI

L’AI Act non divide le aziende tra “conformi” e “non conformi” in modo generico. Classifica piuttosto i sistemi e gli utilizzi dell’intelligenza artificiale in base al rischio.

1. Pratiche vietate: rischio inaccettabile

Le pratiche vietate sono sistemi AI che l’Unione Europea considera incompatibili con i diritti fondamentali o con la dignità delle persone.

Questi sistemi non devono essere immessi sul mercato, messi in servizio o utilizzati nei casi previsti dal regolamento.

Tra gli esempi più rilevanti rientrano:

• social scoring generalizzato, cioè valutazioni delle persone basate sul loro comportamento sociale o personale che producono conseguenze sfavorevoli sproporzionate;

• tecniche manipolative o ingannevoli capaci di alterare significativamente il comportamento di una persona;

• sfruttamento delle vulnerabilità di minori, anziani o persone in condizioni fragili per influenzarne il comportamento;

• categorizzazione biometrica finalizzata a dedurre dati sensibili come origine razziale o etnica, opinioni politiche, convinzioni religiose, appartenenza sindacale, vita sessuale o orientamento sessuale;

• riconoscimento delle emozioni nei luoghi di lavoro o nelle scuole, salvo eccezioni limitate legate a salute o sicurezza;

• alcuni utilizzi di identificazione biometrica remota in tempo reale in spazi accessibili al pubblico da parte delle forze dell’ordine, soggetti a regole molto restrittive.

Per molte PMI questi casi possono sembrare lontani. Non sempre lo sono.

Un’azienda che utilizza software per analizzare chat interne, email, videochiamate o messaggi Slack con l’obiettivo di dedurre stress, umore, produttività emotiva o affidabilità dei dipendenti deve prestare estrema attenzione.

Non basta chiamare il sistema “wellbeing analytics” o “employee sentiment dashboard” per renderlo lecito.

Esempio pratico

Un tool promette di analizzare le conversazioni interne per rilevare dipendenti stressati, poco coinvolti o potenzialmente inclini a dimettersi.

Questo tipo di utilizzo può entrare nell’area del riconoscimento delle emozioni sul luogo di lavoro e deve essere valutato con grande cautela, anche rispetto a GDPR, Statuto dei Lavoratori e normativa italiana applicabile.

2. Sistemi ad alto rischio: quando l’AI incide su persone e diritti

I sistemi ad alto rischio non sono vietati, ma sono soggetti a obblighi molto più rigorosi.

Sono considerati ad alto rischio, ad esempio, sistemi AI utilizzati per:

• selezionare candidati;

• filtrare curriculum;

• valutare lavoratori;

• assegnare compiti o monitorare prestazioni;

• determinare accesso al credito o calcolare il credit score di persone fisiche;

• decidere accesso a servizi essenziali;

• supportare decisioni in istruzione, sanità, sicurezza, giustizia o migrazione;

• essere integrati in alcuni prodotti soggetti a regolamentazione europea di sicurezza.

È importante precisare un elemento: non ogni sistema usato in ambito HR è automaticamente ad alto rischio. Conta la finalità concreta e il livello di influenza del sistema sulla decisione.

Un assistente che aiuta un recruiter a riassumere una job description non equivale automaticamente a un sistema che classifica candidati, assegna punteggi o raccomanda chi assumere.

Esempio: selezione del personale

Un’azienda utilizza AI per leggere 1.000 CV e assegnare un punteggio di idoneità ai candidati.

Se quel punteggio influenza materialmente chi viene escluso dalla selezione, chi viene convocato o chi viene assunto, il sistema può rientrare tra quelli ad alto rischio.

In questo caso non è sufficiente dire: “alla fine decide sempre un essere umano”.

La supervisione umana deve essere reale, competente e dotata di potere effettivo. La persona incaricata deve poter comprendere il funzionamento del sistema, verificare l’output, individuare anomalie, intervenire e ignorare o correggere la raccomandazione dell’AI quando necessario.

Obblighi principali per sistemi ad alto rischio

Gli obblighi variano in base al ruolo dell’azienda nella filiera.

Il provider, cioè chi sviluppa o immette sul mercato il sistema, ha obblighi più ampi. Deve, tra le altre cose:

• garantire un sistema di gestione dei rischi;

• assicurare qualità e governance dei dati;

• predisporre documentazione tecnica;

• mantenere registri e log;

• garantire trasparenza e istruzioni per l’uso;

• progettare misure di supervisione umana;

• effettuare valutazioni di conformità;

• predisporre dichiarazione UE di conformità;

• applicare la marcatura CE, quando prevista;

• registrare il sistema nei database richiesti.

Il deployer, cioè l’azienda che utilizza il sistema, non deve replicare tutti gli obblighi del provider, ma deve comunque usare il sistema secondo le istruzioni, assegnare personale competente alla supervisione, monitorare il funzionamento e adottare misure adeguate rispetto ai dati inseriti.

In alcuni casi, il deployer deve anche informare i lavoratori interessati e svolgere valutazioni specifiche sui diritti fondamentali.

3. Trasparenza: chatbot, contenuti AI, deepfake e pubblicazioni di interesse pubblico

La categoria “rischio limitato” viene spesso semplificata troppo.

Non esiste una regola per cui ogni contenuto creato con AI deve essere dichiarato in qualsiasi circostanza. Non esiste neppure un obbligo generale di inserire un disclaimer su ogni email, post Instagram o scheda prodotto scritta con l’aiuto di ChatGPT.

Gli obblighi di trasparenza dell’articolo 50 riguardano situazioni più precise.

Chatbot e assistenti conversazionali

Quando una persona interagisce direttamente con un sistema AI, deve essere informata che sta interagendo con una macchina, salvo che questo sia già evidente dalle circostanze.

Esempio:

Un chatbot sul sito di un e-commerce dovrebbe presentarsi chiaramente come assistente virtuale o chatbot AI.

Non è necessario usare un linguaggio complicato. Una formula semplice può essere:

“Stai conversando con un assistente virtuale basato su intelligenza artificiale. Per richieste complesse puoi parlare con il nostro team.”

Deepfake e contenuti manipolati

Chi utilizza AI per creare o manipolare immagini, video o audio in modo realistico deve prestare attenzione alla trasparenza.

Quando un contenuto può far credere che una persona abbia detto o fatto qualcosa che non ha mai detto o fatto, può rientrare nella categoria dei deepfake.

In questi casi deve essere resa evidente la natura artificiale o manipolata del contenuto, secondo le modalità previste dalla normativa.

Testi AI su questioni di interesse pubblico

L’AI Act prevede obblighi specifici per testi generati o manipolati artificialmente e pubblicati allo scopo di informare il pubblico su questioni di interesse pubblico.

Sono previste eccezioni quando il contenuto è sottoposto a revisione editoriale umana e una persona o organizzazione assume responsabilità editoriale.

Questo è particolarmente rilevante per siti di news, editori, blog informativi, creator che commentano attualità politica, salute, diritto, finanza o temi sociali.

Watermark: cosa devono fare davvero aziende e creator

Il watermark non è un obbligo automatico per ogni PMI che genera un’immagine con AI.

L’AI Act prevede principalmente obblighi tecnici di marcatura machine-readable per i provider di sistemi AI che generano o manipolano contenuti sintetici.

Chi utilizza professionalmente tali contenuti deve invece concentrarsi su un’altra domanda:

il pubblico può essere ingannato sulla natura, autenticità o origine del contenuto?

Se la risposta è sì, serve una disclosure chiara.

Per un’immagine illustrativa generata per un articolo blog su “come usare l’AI in azienda”, il rischio di inganno può essere basso. Per un video realistico in cui sembra che un CEO pronunci una frase mai detta, il rischio è molto più alto.

4. Rischio basso o minimo: non significa assenza di responsabilità

Molti strumenti usati ogni giorno dalle PMI rientrano in contesti a rischio basso o minimo:

• filtri antispam;

• suggerimenti automatici di testo;

• strumenti per trascrizioni;

• traduttori;

• funzioni AI nei software di produttività;

• sistemi di raccomandazione semplici;

• videogiochi;

• assistenti per generare bozze di documenti.

Questo non significa che l’azienda possa usare qualsiasi tool senza regole.

Anche quando l’AI Act non impone obblighi specifici, restano rilevanti:

• GDPR;

• normativa sul lavoro;

• copyright e proprietà intellettuale;

• sicurezza informatica;

• obblighi contrattuali verso clienti e fornitori;

• segreto aziendale;

• correttezza commerciale;

• tutela dei consumatori.

Un chatbot che risponde in modo sbagliato sul diritto di recesso, una scheda prodotto AI che inventa caratteristiche tecniche o un’email che utilizza dati personali senza base giuridica possono creare problemi anche se il sistema non è “ad alto rischio”.

Provider, deployer, distributore: perché il ruolo dell’azienda conta

Uno degli aspetti più importanti dell’AI Act è distinguere i soggetti coinvolti.

Provider

Il provider è chi sviluppa un sistema AI o lo fa sviluppare e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio.

Una software house che crea un sistema AI per selezionare candidati può essere provider.

Deployer

Il deployer è chi utilizza un sistema AI sotto la propria autorità.

Una PMI che acquista una piattaforma di recruiting AI e la usa per scremare CV è deployer.

Importatore e distributore

Gli importatori e distributori hanno obblighi specifici quando portano sistemi AI nel mercato europeo o li rendono disponibili.

Quando una PMI può diventare provider senza rendersene conto

Una PMI può assumere il ruolo di provider se modifica in modo sostanziale un sistema AI, lo rebrandizza, cambia la finalità prevista dal produttore o lo mette sul mercato con il proprio nome.

Esempio:

Una società acquista un modello AI esterno, lo modifica, lo integra in una piattaforma proprietaria e lo vende ad altre aziende come sistema per valutare candidati.

In quel momento non è più solo una semplice utilizzatrice. Può assumere responsabilità molto più vicine a quelle del provider.

AI literacy: la formazione non è opzionale

L’articolo 4 dell’AI Act richiede che provider e deployer adottino misure per garantire un livello sufficiente di AI literacy delle persone che operano con sistemi AI.

Non significa che ogni dipendente deve diventare data scientist.

Significa che le persone devono avere competenze proporzionate al loro ruolo, al contesto e ai rischi.

Una formazione minima dovrebbe includere:

• cosa può e non può fare l’AI;

• come formulare prompt chiari;

• come verificare output e fonti;

• quali dati non devono essere caricati;

• come riconoscere allucinazioni;

• quando coinvolgere IT, DPO, responsabili HR o consulenti;

• come usare chatbot e strumenti generativi senza creare inganni;

• come segnalare anomalie o rischi.

Esempio di formazione per una PMI commerciale

Un team marketing utilizza AI per creare post, newsletter e schede prodotto.

La formazione dovrebbe chiarire che:

• i dati tecnici del prodotto devono essere verificati;

• non si devono caricare listini riservati o dati personali inutili;

• immagini e testi non devono violare diritti di terzi;

• l’output AI non sostituisce l’approvazione finale del responsabile marketing;

• una promessa commerciale errata resta responsabilità dell’azienda.

Una metodologia operativa in 6 fasi per PMI e creator digitali

Fase 1: mappare tutti gli strumenti AI

Il primo passo non è acquistare un nuovo software. È capire cosa viene già usato.

Crea un registro interno con:

• nome dello strumento;

• fornitore;

• reparto o persona che lo utilizza;

• finalità;

• tipo di input inseriti;

• eventuali dati personali trattati;

• output generati;

• integrazioni con email, CRM, cloud o altri sistemi;

• livello di rischio stimato;

• responsabile interno.

Questa attività aiuta anche a individuare la Shadow AI, cioè l’uso non autorizzato di strumenti personali da parte dei collaboratori.

Fase 2: classificare il caso d’uso, non solo il software

ChatGPT, Gemini o Copilot non sono automaticamente ad alto rischio o a basso rischio.

Conta come vengono usati.

Usare un assistente per riassumere una riunione interna è diverso dall’utilizzarlo per valutare candidati o per prendere decisioni su persone.

Per ogni caso d’uso chiediti:

• il sistema prende o influenza una decisione su una persona?

• può incidere su lavoro, credito, salute, accesso a servizi o diritti?

• utilizza biometria o dati sensibili?

• produce contenuti realistici che potrebbero ingannare?

• interagisce direttamente con clienti o utenti?

• integra dati personali o documenti riservati?

Fase 3: valutare il fornitore

Non basta chiedere a un vendor: “Siete conformi all’AI Act?”.

Una due diligence più utile dovrebbe verificare:

• dove vengono trattati i dati;

• se gli input sono usati per addestrare modelli;

• quali opzioni di disattivazione dell’addestramento sono disponibili;

• quali misure di sicurezza e accesso vengono applicate;

• se esiste un Data Processing Agreement;

• quali subfornitori vengono utilizzati;

• se il prodotto ha funzioni AI attive per default;

• se il sistema rientra tra quelli ad alto rischio;

• quali istruzioni operative sono disponibili;

• quali misure di supervisione umana sono previste;

• come il fornitore gestisce incidenti, aggiornamenti e segnalazioni di rischio.

Se il sistema è ad alto rischio, la documentazione richiesta è molto più ampia e può includere istruzioni d’uso, conformità, registrazioni e altre evidenze tecniche.

Fase 4: creare una policy AI interna

Una policy non deve essere lunga cinquanta pagine per essere utile.

Può iniziare con poche regole chiare:

• strumenti autorizzati;

• strumenti vietati o non approvati;

• dati che non possono essere inseriti;

• processi che richiedono approvazione;

• obbligo di revisione umana;

• regole per immagini, testi, chatbot e contenuti sintetici;

• procedura di segnalazione di incidenti;

• responsabilità dei diversi reparti.

Dati da non inserire senza autorizzazione

• dati sanitari;

• documenti legali riservati;

• credenziali;

• password;

• segreti industriali;

• dati finanziari sensibili;

• dati personali non necessari;

• dati di minori;

• contratti non pubblici;

• database clienti completi;

• codice proprietario.

Fase 5: progettare la supervisione umana

Human-in-the-loop non significa inserire una persona alla fine del processo solo per cliccare “approva”.

La supervisione deve essere concreta.

La persona incaricata deve:

• comprendere il contesto;

• conoscere limiti e possibili errori;

• avere autorità per modificare o ignorare l’output;

• poter interrompere l’uso del sistema;

• sapere quando chiedere supporto a un responsabile.

Fase 6: monitorare e aggiornare

L’AI non è un progetto “una tantum”.

Occorre verificare periodicamente:

• se sono cambiate le funzionalità del tool;

• se sono cambiate le condizioni del fornitore;

• se sono state introdotte integrazioni nuove;

• se il team utilizza strumenti non autorizzati;

• se aumentano errori o incidenti;

• se l’uso reale corrisponde allo scopo iniziale;

• se serve aggiornare policy, formazione o informative privacy.

GDPR e AI Act: due regolamenti diversi, da gestire insieme

L’AI Act non sostituisce il GDPR.

Un sistema può essere conforme all’AI Act e non conforme al GDPR, oppure viceversa.

Il GDPR riguarda soprattutto il trattamento di dati personali. L’AI Act riguarda la sicurezza, la trasparenza, la governance e i rischi dei sistemi AI.

Quando un’azienda utilizza AI con dati personali deve valutare almeno:

• base giuridica del trattamento;

• informativa privacy;

• ruolo del fornitore;

• DPA o accordo sul trattamento dati;

• trasferimenti extra UE;

• minimizzazione dei dati;

• misure di sicurezza;

• tempi di conservazione;

• eventuale DPIA;

• diritti degli interessati;

• decisioni automatizzate e profilazione.

Una PMI non deve presumere che un piano gratuito o personale di uno strumento AI sia adatto a trattare dati aziendali.

La scelta della licenza, delle impostazioni di privacy e delle integrazioni è parte della governance.

Le sanzioni previste dall’AI Act

L’AI Act prevede sanzioni elevate, ma non devono essere lette come una minaccia astratta.

Le autorità devono applicare le sanzioni tenendo conto di gravità, natura, durata, intenzionalità, misure adottate e dimensioni dell’impresa.

Le soglie massime previste includono:

• fino a 35 milioni di euro o al 7% del fatturato annuo mondiale per violazioni delle pratiche vietate;

• fino a 15 milioni di euro o al 3% del fatturato annuo mondiale per altre violazioni di obblighi previsti dal regolamento;

• fino a 7,5 milioni di euro o all’1,5% del fatturato annuo mondiale per la fornitura di informazioni inesatte, incomplete o fuorvianti alle autorità.

Per PMI e start-up, il regolamento prevede criteri di proporzionalità e, nei casi previsti, l’applicazione dell’importo più basso tra percentuale e soglia fissa.

Il rischio più concreto per molte PMI non è la multa massima.

È piuttosto l’insieme di conseguenze operative:

• perdita di fiducia dei clienti;

• reclami privacy;

• uso improprio di dati;

• errori in HR;

• contenuti ingannevoli;

• danni reputazionali;

• dipendenza da tool non governati;

• contratti contestati;

• inefficienze nascoste dalla falsa percezione di automazione.

Conclusione: compliance come vantaggio competitivo

L’AI Act non richiede alle piccole imprese di diventare società tecnologiche regolamentate.

Richiede di usare l’intelligenza artificiale con maggiore consapevolezza.

Per una PMI o un creator digitale, il primo passo non è diventare esperti di ogni articolo del regolamento. È costruire una governance essenziale:

• sapere quali strumenti vengono usati;

• conoscere i dati che vengono caricati;

• capire se l’AI influenza decisioni sulle persone;

• rendere trasparenti chatbot e contenuti sintetici quando necessario;

• formare chi utilizza gli strumenti;

• mantenere un controllo umano reale;

• scegliere fornitori affidabili;

• aggiornare processi e documentazione quando cambia il trattamento dei dati.

Le organizzazioni che affrontano questi temi in modo strutturato non rallentano l’innovazione.

La rendono più sicura, più credibile e più sostenibile.

Checklist AI Act per PMI e creator digitali

Ho mappato tutti gli strumenti AI utilizzati in azienda.

So quali dati vengono inseriti in ogni strumento.

Ho verificato se esistono utilizzi in HR, credito, lavoro o servizi essenziali.

Ho controllato che non siano presenti pratiche vietate.

Ho formato collaboratori e dipendenti sui limiti dell’AI.

Ho definito una policy AI interna.

Ho stabilito quali dati non possono essere caricati.

Ho verificato contratti, privacy e DPA dei fornitori.

Ho previsto revisione umana per output sensibili.

Ho chiarito quando chatbot o contenuti sintetici devono essere dichiarati.

Ho controllato se privacy policy e informative devono essere aggiornate.

Ho programmato una revisione periodica degli strumenti e dei rischi.

Disclaimer

Questo articolo ha finalità informative e non costituisce consulenza legale, privacy, tecnica o organizzativa. L’applicazione dell’AI Act dipende dal tipo di sistema, dal ruolo dell’azienda, dalla finalità concreta dell’uso e dalle norme nazionali applicabili. Per sistemi AI utilizzati in ambito HR, credito, salute, biometria, monitoraggio dei lavoratori, dati personali o decisioni rilevanti, è opportuno coinvolgere professionisti competenti.

Fonti ufficiali e approfondimenti

1. Regolamento (UE) 2024/1689 – Artificial Intelligence Act
   Testo ufficiale del regolamento europeo che disciplina sviluppo, immissione sul mercato, utilizzo e supervisione dei sistemi di intelligenza artificiale nell’Unione Europea.
   Riferimenti principali: articoli 4, 5, 6, 13, 14, 16, 26, 27, 50, 99, 111; Allegato I e Allegato III.

2. Commissione Europea – AI Act: quadro normativo e calendario di applicazione
   Pagina ufficiale della Commissione Europea con la cronologia di applicazione dell’AI Act.
   Conferma che il regolamento è entrato in vigore il 1° agosto 2024; pratiche vietate e AI literacy si applicano dal 2 febbraio 2025; gli obblighi per i modelli AI per finalità generali dal 2 agosto 2025; gli obblighi di trasparenza e gran parte delle regole sui sistemi ad alto rischio dall’8 agosto 2026.

3. Commissione Europea – Navigating the AI Act
   Guida operativa ufficiale per comprendere quali obblighi si applicano a provider, deployer, importatori e distributori di sistemi AI.

4. AI Act Service Desk – Articolo 6 e Allegato III
   Risorsa ufficiale europea per la classificazione dei sistemi AI ad alto rischio, inclusi quelli impiegati in occupazione, gestione dei lavoratori, selezione dei candidati e accesso a servizi essenziali.

5. AI Act Service Desk – Articolo 26: obblighi dei deployer
   Approfondimento sugli obblighi delle aziende che utilizzano sistemi AI ad alto rischio: uso conforme alle istruzioni, supervisione umana, personale formato e dotato di autorità adeguata.

6. AI Act Service Desk – Articolo 16: obblighi dei provider
   Riferimento per aziende che sviluppano, rebrandizzano o immettono sul mercato sistemi AI, con indicazioni su gestione del rischio, documentazione, conformità e monitoraggio.

7. Commissione Europea – Trasparenza dei contenuti generati dall’AI
   Risorsa dedicata agli obblighi dell’articolo 50 relativi a chatbot, contenuti sintetici, deepfake, marcatura dei contenuti generati e pubblicazioni AI su temi di interesse pubblico.

8. Commissione Europea – Code of Practice on Transparency of AI-Generated Content
   Codice di condotta e materiali europei relativi a marcatura, rilevabilità ed etichettatura dei contenuti generati o manipolati dall’intelligenza artificiale.

9. European Data Protection Board – Artificial Intelligence
   Raccolta di documenti e orientamenti dell’EDPB sull’applicazione del GDPR nei contesti AI.

10. EDPB Opinion 28/2024 – Data protection aspects related to AI models
    Parere europeo sui principali aspetti privacy relativi allo sviluppo e all’utilizzo dei modelli AI, inclusi anonimizzazione, interesse legittimo e trattamento di dati personali.

11. Regolamento (UE) 2016/679 – GDPR
    Regolamento generale sulla protezione dei dati. Resta applicabile ogni volta che un sistema AI tratta dati personali di clienti, dipendenti, candidati, fornitori o utenti.

12. Garante per la protezione dei dati personali
    Autorità italiana competente per privacy e protezione dei dati personali. Da consultare soprattutto per uso dell’AI in ambito HR, monitoraggio dei lavoratori, profilazione, chatbot e trattamenti con dati personali.

13. Statuto dei Lavoratori – Legge n. 300/1970
    Riferimento essenziale quando l’intelligenza artificiale viene utilizzata per monitoraggio, valutazione, organizzazione o controllo dell’attività lavorativa.

Nota metodologica sulle fonti

Per questioni relative a classificazione dei sistemi, obblighi di trasparenza, divieti, sanzioni e calendario applicativo, la fonte primaria resta sempre il testo del Regolamento UE 2024/1689.

Le pagine della Commissione Europea e dell’AI Act Service Desk sono utili per interpretazioni operative, FAQ, linee guida e aggiornamenti sull’implementazione. Per privacy, dati personali e monitoraggio dei lavoratori è necessario considerare congiuntamente AI Act, GDPR, provvedimenti del Garante Privacy e normativa italiana sul lavoro.