Le date, in ordine
L’AI Act è il regolamento (UE) 2024/1689. È entrato in vigore il 1° agosto 2024, ma non tutto si applica subito: le scadenze sono scaglionate, ed è il motivo per cui molti hanno smesso di seguirlo dopo i primi titoli di giornale.
Le pratiche vietate — quelle a rischio inaccettabile — si applicano dal 2 febbraio 2025, insieme all’obbligo di garantire una alfabetizzazione adeguata sull’AI a chi la usa in azienda. Dal 2 agosto 2025 valgono le regole sui modelli di uso generale, la governance e le sanzioni. Dal 2 agosto 2026 si applica la parte generale del regolamento, quindi gli obblighi che toccano la maggior parte delle imprese. Per alcuni sistemi ad alto rischio legati a prodotti regolamentati la scadenza è il 2 agosto 2027.
- 1 agosto 2024: entrata in vigore
- 2 febbraio 2025: pratiche vietate e obbligo di alfabetizzazione
- 2 agosto 2025: modelli di uso generale, governance, sanzioni
- 2 agosto 2026: applicazione generale del regolamento
- 2 agosto 2027: alcuni sistemi ad alto rischio legati a prodotti
Fornitore o utilizzatore: la domanda da cui parte tutto
Il regolamento assegna obblighi diversi in base al ruolo. Chi sviluppa un sistema AI e lo mette sul mercato con il proprio nome è un fornitore, e ha gli obblighi più pesanti. Chi invece usa un sistema sviluppato da altri, sotto la propria autorità e nell’ambito della propria attività, è un utilizzatore, e ha obblighi molto più contenuti.
La grande maggioranza delle piccole imprese sta nella seconda categoria: usa strumenti fatti da altri. Un centro estetico che attiva un assistente telefonico non diventa un fornitore di AI, così come non diventa un produttore di software perché usa un gestionale.
Attenzione però: il ruolo può cambiare. Se un sistema viene modificato in modo sostanziale, oppure se viene rivenduto con il proprio marchio, chi lo fa può assumere gli obblighi del fornitore. È la verifica che va fatta prima, non dopo.
I livelli di rischio, e perché quasi tutto ciò che usi non è ad alto rischio
Il regolamento classifica i sistemi per rischio. Alcune pratiche sono vietate del tutto: manipolazione che provoca danno, sfruttamento di vulnerabilità, punteggio sociale, alcune forme di riconoscimento delle emozioni sul lavoro.
Poi ci sono i sistemi ad alto rischio, quelli usati in ambiti come selezione del personale, accesso al credito, istruzione, alcuni servizi essenziali. Qui gli obblighi sono seri.
Sotto, c’è la fascia che riguarda la stragrande maggioranza degli usi aziendali quotidiani: strumenti che scrivono testi, rispondono al telefono, organizzano appuntamenti. Non sono ad alto rischio, ma non sono nemmeno esenti da tutto: hanno obblighi di trasparenza.
Trasparenza: la regola che tocca chi risponde ai clienti
Se una persona interagisce con un sistema di AI, deve poterlo sapere, a meno che non sia già evidente dal contesto. Tradotto: un assistente che risponde al telefono o in chat non dovrebbe far credere di essere una persona.
Ci sono poi obblighi sui contenuti generati o manipolati artificialmente, che vanno resi riconoscibili. È il punto che tocca chi produce immagini o video con l’AI, e vale la pena guardarlo con attenzione se se ne fa un uso commerciale.
Il rovescio positivo: dichiarare che è un assistente non allontana i clienti. Quello che li allontana è scoprirlo dopo.
L’obbligo di cui quasi nessuno parla: la formazione
Dal febbraio 2025 fornitori e utilizzatori devono adoperarsi perché il personale che si occupa dell’uso dei sistemi AI abbia un livello sufficiente di competenza, tenendo conto delle conoscenze, del contesto e delle persone su cui i sistemi vengono usati.
Non significa mandare tutti a un master. Significa che chi in azienda usa uno strumento AI deve sapere che cosa fa, che cosa non fa e quando fermarsi. È un obbligo di mezzi, e per una piccola impresa si soddisfa con una formazione proporzionata e documentata.
È anche la ragione per cui questo obbligo passa inosservato: non c’è un modulo da compilare né un ente a cui mandarlo. Ma in caso di contestazione, dimostrare di averci pensato fa la differenza.
Che cosa fare, in pratica
Il primo passo non è comprare niente: è fare l’inventario. Quali strumenti AI si usano davvero in azienda, chi li usa, su quali dati lavorano e con quali persone entrano in contatto. Spesso la lista è più lunga di quanto ci si aspetti.
Da lì si guarda il ruolo — fornitore o utilizzatore — per ciascuno, si verifica se qualcuno rientra fra le pratiche vietate o ad alto rischio, e si controllano le informazioni date ai clienti quando parlano con un sistema.
Infine i contratti: chi ti fornisce lo strumento che cosa garantisce, dove tiene i dati, che cosa succede se il servizio cambia. Sono clausole che si negoziano prima della firma, non dopo.
- Inventario degli strumenti AI realmente in uso
- Ruolo per ciascuno: fornitore o utilizzatore
- Verifica delle pratiche vietate e dei casi ad alto rischio
- Informazione ai clienti quando parlano con un sistema
- Formazione proporzionata di chi li usa, documentata
- Contratti con i fornitori: garanzie, dati, continuità
Domande frequenti
L’AI Act riguarda anche chi usa soltanto strumenti fatti da altri?
Sì, con obblighi diversi e più contenuti rispetto a chi sviluppa. Chi usa un sistema AI sotto la propria autorità nell’ambito della propria attività è un utilizzatore e ha comunque doveri, in particolare di trasparenza e di competenza del personale.
Devo dire ai clienti che rispondo con un assistente AI?
Il regolamento prevede che chi interagisce con un sistema di AI debba poterlo sapere, salvo che sia evidente dal contesto. In pratica un assistente che risponde al telefono o in chat non dovrebbe far credere di essere una persona.
Usare l’AI per scrivere i post rende la mia azienda ad alto rischio?
In genere no: gli usi di marketing e comunicazione non rientrano nelle categorie ad alto rischio, che riguardano ambiti come selezione del personale, credito o servizi essenziali. Restano però gli obblighi di trasparenza sui contenuti generati artificialmente. La valutazione va fatta sul caso concreto.
Che cosa rischia chi non si adegua?
Il regolamento prevede sanzioni amministrative, con importi diversi a seconda della violazione: le più alte riguardano le pratiche vietate. L’entità applicabile dipende dalla violazione e dalle dimensioni dell’impresa.
Basta un documento per essere in regola?
No. Gli obblighi riguardano comportamenti, non moduli: che cosa dici ai clienti, come formi chi usa gli strumenti, che cosa hai verificato prima di attivarli. La documentazione serve a dimostrarlo, non a sostituirlo.
Torna a SWA Journal