L’intelligenza artificiale non è più soltanto un’opportunità tecnologica. Con l’AI Act diventa anche una questione di governance, organizzazione e responsabilità.
Negli ultimi due anni l’intelligenza artificiale è entrata silenziosamente nella quotidianità delle imprese italiane.
Molte aziende la utilizzano per redigere documenti, predisporre offerte commerciali, analizzare dati, gestire il rapporto con i clienti, creare contenuti di marketing, tradurre testi, automatizzare attività amministrative e supportare i processi decisionali. In numerosi casi, inoltre, l’intelligenza artificiale è già integrata nei software gestionali, nei sistemi ERP, nei CRM, nei programmi di videoscrittura, nelle piattaforme di recruiting e perfino negli impianti di videosorveglianza di ultima generazione.
Il punto è che, nella maggior parte dei casi, gli imprenditori non hanno una reale consapevolezza di quanto l’intelligenza artificiale sia già presente all’interno della propria organizzazione.
Ed è proprio da questa constatazione che nasce l’AI Act, il Regolamento (UE) 2024/1689, destinato a rappresentare la prima disciplina organica al mondo dedicata all’intelligenza artificiale.
L’Europa è stata infatti la prima realtà internazionale a dotarsi di un quadro normativo specifico, con l’obiettivo di favorire l’innovazione tecnologica senza rinunciare alla tutela dei diritti fondamentali, della sicurezza, della trasparenza e dell’affidabilità dei sistemi di IA.
Diversamente da una direttiva, l’AI Act è un Regolamento europeo e, pertanto, trova applicazione diretta in tutti gli Stati membri, Italia compresa, senza necessità di una legge nazionale di recepimento. Le sue disposizioni stanno entrando in vigore progressivamente secondo un calendario definito dal legislatore europeo.
Tra le scadenze previste, il 2 agosto 2026 rappresenta uno dei passaggi più importanti, perché diventano applicabili ulteriori obblighi che interessano operatori economici, pubbliche amministrazioni e, soprattutto, le imprese che utilizzano sistemi di intelligenza artificiale.
AI ACT: chiariamo un equivoco molto diffuso
Molti imprenditori ritengono che il Regolamento riguardi esclusivamente società come OpenAI, Google, Microsoft o altri grandi produttori di tecnologie. In realtà non è così.
L’AI Act distingue diverse figure giuridiche. L’AI Act distingue innanzitutto due figure fondamentali.
- La prima è il provider, cioè l’azienda che sviluppa un sistema di intelligenza artificiale oppure lo mette sul mercato con il proprio nome o marchio. In altre parole, è il soggetto che realizza o commercializza la tecnologia. Ne sono un esempio le società che sviluppano chatbot, software di intelligenza artificiale, piattaforme di riconoscimento delle immagini o assistenti virtuali.
- La seconda figura è il deployer, cioè chi utilizza un sistema di intelligenza artificiale nella propria attività professionale, senza averlo sviluppato. È il caso della grande maggioranza delle imprese italiane: un’azienda che utilizza ChatGPT per redigere documenti, Microsoft Copilot per supportare il personale, Google Gemini per effettuare ricerche, un software gestionale con funzioni di IA o un sistema intelligente per selezionare curriculum è un deployer.
In termini molto semplici, il provider crea o commercializza l’intelligenza artificiale; il deployer la utilizza per lavorare.
Ed è proprio questa seconda figura che riguarda la maggior parte delle imprese, perché oggi quasi tutte utilizzano, direttamente o indirettamente, strumenti basati sull’intelligenza artificiale.
Un’azienda manifatturiera che utilizza ChatGPT per predisporre offerte commerciali, una società di trasporti che impiega sistemi intelligenti per l’ottimizzazione dei percorsi, una struttura sanitaria che utilizza software basati su algoritmi, uno studio professionale che ricorre all’IA per elaborare documenti o analizzare informazioni, una società che utilizza Microsoft Copilot o Google Gemini: tutte queste realtà, pur non sviluppando direttamente sistemi di intelligenza artificiale, rientrano nell’ambito applicativo del Regolamento.
Dunque se il provider ha la responsabilità di progettare un’intelligenza artificiale conforme alla legge, il deployer ha la responsabilità di utilizzarla in modo corretto, sicuro e nel rispetto delle regole previste dall’AI Act.
Ma quando durante un audit viene posta la domanda: “La vostra azienda utilizza sistemi di intelligenza artificiale?” molto spesso la risposta è negativa.
Pochi minuti dopo, però, emerge che il personale utilizza quotidianamente ChatGPT, Microsoft Copilot, Google Gemini, software di traduzione automatica, sistemi CRM con funzionalità predittive, strumenti di marketing automatizzato o piattaforme HR basate su algoritmi.
L’intelligenza artificiale è ormai entrata nelle aziende quasi senza accorgersene. Il vero rischio oggi non è utilizzare l’IA. Il vero rischio è non sapere di utilizzarla. Ed è proprio questa inconsapevolezza che può determinare criticità sotto il profilo giuridico, organizzativo, reputazionale e della sicurezza delle informazioni.
Che cosa devono fare concretamente le imprese?
L’AI Act introduce un sistema di regole fondato sul principio della gestione del rischio. Ciò significa che gli obblighi aumentano in funzione della tipologia di sistema utilizzato e dell’impatto che esso può avere sui diritti delle persone.
Tuttavia, indipendentemente dal settore economico, ogni impresa dovrebbe avviare un primo percorso di governance dell’intelligenza artificiale.
In particolare è opportuno:
- censire tutti i sistemi di IA utilizzati all’interno dell’organizzazione;
- individuare le finalità e le modalità di utilizzo;
- verificare quali dipendenti o collaboratori utilizzino strumenti di IA;
- valutare i rischi derivanti dal loro impiego;
- verificare gli obblighi di trasparenza previsti dal Regolamento;
- adottare una AI Policy aziendale;
- disciplinare l’utilizzo dell’intelligenza artificiale attraverso procedure interne;
- formare il personale (AI Literacy), affinché utilizzi tali strumenti in modo corretto, consapevole e sicuro;
- verificare gli impatti sul trattamento dei dati personali, sulla cybersecurity, sul segreto industriale e sulla proprietà intellettuale;
- documentare tutte le attività svolte, così da poter dimostrare la conformità in caso di controlli.
L’AI Act, dialoga costantemente con il GDPR, con la Direttiva NIS2, con il D.Lgs. 231/2001, con la normativa sulla cybersicurezza e, più in generale, con l’intero sistema della compliance aziendale.
AI Act e regime sanzionatorio
Il Regolamento prevede sanzioni amministrative che, nei casi più gravi, possono arrivare fino a 35 milioni di euro oppure al 7% del fatturato annuo dell’impresa, scegliendo l’importo più elevato.
Ma limitarsi a parlare di sanzioni sarebbe riduttivo. L’utilizzo non governato dell’intelligenza artificiale può infatti determinare violazioni della normativa privacy, esposizione di dati riservati, divulgazione di informazioni strategiche, discriminazioni algoritmiche, errori nei processi decisionali, responsabilità contrattuali e, in alcuni casi, responsabilità civile per i danni eventualmente prodotti.
In altre parole, il rischio non è soltanto economico. È un rischio che investe direttamente la reputazione, l’organizzazione e l’affidabilità dell’impresa.
Così come negli anni scorsi le aziende hanno imparato a conoscere il GDPR, il whistleblowing, la Direttiva NIS2 e i Modelli Organizzativi 231, oggi è il momento di affrontare anche la governance dell’intelligenza artificiale.
Il primo passo consiste nell’effettuare un AI Compliance Check, vale a dire una verifica strutturata finalizzata a comprendere quali sistemi di IA siano presenti in azienda, come vengano utilizzati, quali rischi comportino e quali interventi organizzativi risultino necessari.
Solo partendo da un’analisi concreta dei processi aziendali è possibile costruire un percorso di conformità realmente efficace e proporzionato alle caratteristiche dell’impresa.
L’AI Act non impone alle imprese di rinunciare all’intelligenza artificiale. Chiede qualcosa di diverso e, per certi aspetti, molto più importante.
Chiede alle organizzazioni di conoscere gli strumenti che utilizzano, di governarne i rischi, di formare il personale, di adottare regole interne e di dimostrare che l’innovazione tecnologica viene gestita in modo responsabile.
Le imprese che inizieranno oggi questo percorso non saranno semplicemente conformi alla normativa europea. Saranno aziende più organizzate, più sicure, più credibili nei confronti di clienti, partner commerciali, investitori e pubbliche amministrazioni.
Perché l’intelligenza artificiale rappresenta senza dubbio una straordinaria opportunità di crescita.
Ma, come ogni innovazione destinata a incidere profondamente sull’organizzazione aziendale, richiede competenza, responsabilità e una governance adeguata.
Questa è la vera sfida che l’AI Act pone oggi alle imprese europee.
