AI Act: che cosa deve fare la tua azienda
Se usi un assistente acquistato da terzi per attività ordinarie, la tua azienda è un utilizzatore (deployer): non deve ottenere la marcatura CE, registrarsi in banche dati europee o svolgere una valutazione di conformità. Non c'è neppure un obbligo generale di audit indipendente. L'articolo 4 sull'alfabetizzazione in materia di IA vale per tutte le aziende, anche piccole. Il primo passo è sapere quali strumenti usi e quali dati trattano.
Che cos'è la conformità di un sistema AI
Verificare la conformità significa individuare gli obblighi applicabili a ciascun sistema di IA che la tua azienda usa o mette a disposizione. Contano il tuo ruolo, fornitore o utilizzatore, e l'uso del sistema. Da questa verifica ricaviamo le attività necessarie e le prove da conservare.
I problemi da risolvere
Le offerte fanno leva sulle sanzioni
Audit, certificazioni, corsi presentati come obbligatori, sanzioni milionarie in apertura. Se tutto sembra necessario, diventa difficile capire che cosa riguarda davvero la tua azienda.
Il ruolo dell'azienda non è chiaro
Essere fornitore o utilizzatore comporta obblighi diversi. Il ruolo va verificato per ogni sistema: puoi essere utilizzatore di un assistente e, allo stesso tempo, fornitore di un chatbot sul tuo sito.
Manca un elenco degli strumenti in uso
Ogni reparto può avere i propri abbonamenti, anche personali, e i dati dei clienti possono finire in strumenti che l'azienda non conosce. Senza un elenco, manca il punto di partenza per verificare gli obblighi.
Che cosa facciamo
Verifichiamo il tuo ruolo per ogni sistema
Per ogni sistema verifichiamo se la tua azienda è fornitore o utilizzatore. Rivediamo il ruolo se metti il tuo nome su un servizio o ne cambi la finalità: da questa distinzione dipendono gli obblighi da esaminare.
Elenchiamo gli strumenti in uso
Registriamo gli strumenti in uso, i reparti che li usano, le attività svolte e i dati trattati. Includiamo anche gli strumenti usati senza autorizzazione.
Mettiamo in ordine le prove
Raccogliamo regole d'uso scritte, elenco degli strumenti ammessi, indicazioni date al personale e avvisi dove servono. La documentazione deve corrispondere a ciò che fai davvero.
Verifichiamo anche l'uso dei dati personali
Rispettare l'AI Act non esonera dagli obblighi del GDPR. Esaminiamo con te la base giuridica, le informative, dove finiscono i dati e se serve una valutazione d'impatto.
Che cosa non facciamo
Non rilasciamo certificazioni
Non siamo un organismo di certificazione né un organismo notificato e non vendiamo bollini. Se serve una certificazione, te lo diciamo e ti indirizziamo a chi può rilasciarla.
Non vendiamo audit a chi non ne ha bisogno
Per l'uso ordinario di un assistente acquistato da terzi non esiste un obbligo generale di audit indipendente. Se è il tuo caso, te lo diciamo e definiamo solo il lavoro che serve.
Non usiamo le sanzioni per vendere
Non usiamo le sanzioni massime per convincerti a comprare un servizio. Per decidere ti servono gli obblighi che si applicano alla tua azienda e il lavoro necessario per rispettarli.
Il lavoro che resta alla tua azienda
Gli strumenti cambiano, le persone cambiano ruolo e gli usi si estendono. La tua azienda deve continuare a sapere che cosa è in uso e a quali condizioni. Un nuovo uso può cambiare il tuo ruolo da utilizzatore a fornitore senza che nessuno se ne accorga.
Tenere aggiornato l'elenco degli strumenti
Aggiungi ogni nuovo abbonamento e togli gli strumenti che non usi più. L'elenco deve corrispondere agli strumenti usati davvero: è su quello che si basano regole e verifiche.
Spiegare l'uso degli strumenti a chi inizia
Chi inizia a usare l'IA per conto della tua azienda deve sapere quali strumenti può usare, quali dati non deve inserire e perché le risposte vanno sempre controllate. Queste indicazioni fanno parte delle misure di alfabetizzazione previste dall'articolo 4, l'obbligo comune a tutte le aziende.
Rivedere ruolo e obblighi quando cambia l'uso
Quando un assistente interno diventa un servizio per i clienti, vanno rivisti ruolo e obblighi. Fai questa verifica quando decidi di cambiarne l'uso, prima di pubblicare il servizio.
Le domande da cui partire
- Quanti sistemi di IA sono in uso nella tua azienda, compresi quelli con abbonamenti personali?
- Per ciascun sistema, la tua azienda è fornitore o utilizzatore?
- Quali di questi sistemi trattano dati personali di clienti, dipendenti o fornitori?
- Chi li usa sa quali dati non deve inserire e perché le risposte vanno controllate?
- Se ti venisse chiesto, riusciresti a mostrare che cosa hai fatto e quando?
Fatti e fonti
L'articolo 4 dell'AI Act vale per chi fornisce e per chi utilizza sistemi di intelligenza artificiale: entrambi devono adottare misure perché il personale e chi opera per loro conto abbiano un livello sufficiente di alfabetizzazione in materia di IA. Si applica dal 2 febbraio 2025, insieme alle disposizioni generali e alle pratiche vietate.
La Commissione europea precisa che l'obbligo di alfabetizzazione non richiede di garantire un livello specifico di competenza per ogni singola persona: nessun corso obbligatorio, nessun numero minimo di ore, nessuna figura da nominare. Contano misure proporzionate al rischio e all'uso dei sistemi.
Le regole sui sistemi ad alto rischio dell'Allegato III — biometria, infrastrutture critiche, istruzione, lavoro, servizi essenziali, giustizia — si applicano dal 2 dicembre 2027. Fino ad allora, per quei sistemi, non sono in vigore gli obblighi che molte offerte commerciali presentano come già applicabili.
Per i sistemi ad alto rischio dei punti da 2 a 8 dell'Allegato III, la valutazione di conformità si basa sul controllo interno e non prevede il coinvolgimento di un organismo notificato (articolo 43). L'obbligo è di chi fornisce il sistema, non di chi lo usa.
In Italia, accanto all'AI Act, si applica la legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025. Se eserciti una professione intellettuale, devi comunicare al cliente le informazioni sui sistemi di intelligenza artificiale che usi «con linguaggio chiaro, semplice ed esaustivo» (art. 13).
Le domande che ci fanno più spesso
- Un chatbot acquistato va certificato?
- Se lo usi come ti è stato fornito, di norma non spetta a te certificarlo: gli obblighi tecnici sono del fornitore. La risposta può cambiare se lo offri ai tuoi clienti con il tuo nome o ne cambi la finalità.
- Serve un corso obbligatorio per i dipendenti?
- No. L'articolo 4 richiede misure di alfabetizzazione proporzionate al rischio e all'uso, senza imporre corsi o ore minime. Chi usa gli strumenti deve sapere quali errori possono fare, quali dati non inserire e perché le risposte vanno controllate.
- Quando un utilizzatore può diventare fornitore?
- Il tuo ruolo può cambiare se offri un sistema con il tuo nome o marchio, oppure ne modifichi in modo sostanziale la finalità prevista. È un passaggio da verificare prima di pubblicare un nuovo servizio.
- Ci sono obblighi specifici per alcuni settori?
- Possono esserci. Banche, assicurazioni, sanità e pubblica amministrazione hanno regole proprie; la legge italiana 132/2025 aggiunge disposizioni su lavoro e professioni. Verifichiamo quali riguardano il tuo caso.
- Quando serve una valutazione d'impatto sui dati personali?
- Dipende dai dati trattati e dall'uso del sistema, non dall'etichetta «intelligenza artificiale». Si valuta caso per caso. Quando serve, va fatta prima di mettere il sistema in funzione.
- Qual è il rischio di non occuparsene?
- Il problema concreto per una piccola azienda è non sapere quali strumenti trattano i dati dei clienti. Rischi di scoprirlo quando qualcosa va storto o quando un cliente ti chiede queste informazioni durante una gara.
- Una PMI deve fare un audit AI Act?
- Per l'uso ordinario di un assistente acquistato da terzi non c'è un obbligo generale di audit indipendente. Partiamo dall'elenco degli strumenti e dal tuo ruolo per ciascuno, per definire regole d'uso e prove da conservare. Se emerge un caso più complesso, te lo segnaliamo prima di proseguire.
Raccontaci quali strumenti AI usi già
Parti da un elenco, anche parziale, degli strumenti in uso e delle persone che li usano. Lo esaminiamo con te per distinguere gli obblighi della tua azienda da quelli dei fornitori e definire il lavoro necessario.