Guida · Intelligenza artificiale
Un percorso in sette passi, nell'ordine in cui un'impresa si pone le domande: quali regole, se lo strumento è IA, quale ruolo, quale rischio, quali obblighi, chi risponde, da dove cominciare. Ogni rinvio normativo apre il testo ufficiale all'articolo citato.
Il quadro in sintesi
L'Unione europea ha scelto di regolare l'intelligenza artificiale non come tecnologia, ma per gli usi che se ne fanno. L'obiettivo è duplice. Da un lato un mercato unico di sistemi affidabili, dall'altro un livello elevato di tutela della salute, della sicurezza e dei diritti fondamentali delle persone.
AI Act art. 1L'AI Act è un regolamento e si applica direttamente in tutti gli Stati membri, senza bisogno di recepimento. Ai singoli Stati spetta designare le autorità di controllo e stabilire le sanzioni.
AI Act art. 70AI Act art. 99Le regole crescono con il rischio che l'uso comporta per le persone. Alcune pratiche sono vietate, gli usi ad alto rischio richiedono controlli strutturati, i sistemi che dialogano con le persone o generano contenuti devono dichiararlo. Per tutti vale l'obbligo di formare chi usa i sistemi.
AI Act art. 5AI Act art. 6AI Act art. 50Omnibus IA nuovo art. 4Gli obblighi seguono il ruolo. Chi sviluppa il sistema e lo immette sul mercato con il proprio nome ne garantisce la conformità. Chi lo usa nella propria attività risponde del modo in cui lo impiega, con obblighi più intensi se il sistema è ad alto rischio. I modelli per finalità generali, alla base di molti sistemi, hanno regole proprie.
AI Act art. 16AI Act art. 26AI Act art. 53Prima della piena applicazione l'Unione ha modificato il testo con il Regolamento (UE) 2026/1744. Ha semplificato alcuni adempimenti, esteso le agevolazioni alle piccole imprese a media capitalizzazione e spostato in avanti gli obblighi sull'alto rischio, perché norme tecniche e autorità nazionali non erano ancora pronte. L'intento dichiarato è non ridurre il livello di tutela.
Omnibus IA considerando 2 e 40Omnibus IA art. 99La legge 132 del 2025 detta principi per settori specifici, come lavoro, professioni intellettuali, tutela dei minori e diritto d'autore, e delega il Governo ad adeguare l'ordinamento all'AI Act. Il decreto legislativo 179 del 2026 individua autorità, poteri e sanzioni e regola l'IA nella formazione e nel lavoro. Il decreto legislativo 160 del 2026 disciplina la responsabilità civile e penale.
L. 132/2025D.Lgs. 179/2026D.Lgs. 160/2026L'AI Act si aggiunge alle discipline esistenti e non le sostituisce. Protezione dei dati, sicurezza dei prodotti e cibersicurezza, diritto del lavoro e responsabilità per danni continuano ad applicarsi accanto alle nuove regole.
AI Act art. 2, par. 7GDPRCRADir. 2024/2853La guida traduce questo disegno in sette passi, dalla regola applicabile alle prime azioni da compiere. Si comincia dal passo 1 →
Sette passi per le PMI che acquistano e usano sistemi di IA
Passo 1 di 7 · Le regole
Le regole sull'IA si leggono su tre livelli. Ciascuno risponde a una domanda diversa.
L'AI Act, modificato dall'Omnibus sull'IA in vigore dal 27 luglio 2026, si applica direttamente in tutta l'Unione e gradua gli obblighi secondo il rischio. AI ActOmnibus IA
La legge 132 del 2025 fissa i principi italiani su lavoro, professioni, minori e diritto d'autore. Il D.Lgs. 179 del 2026, in vigore dal 23 ottobre 2026, individua autorità e sanzioni. L. 132/2025D.Lgs. 179/2026
Il D.Lgs. 160 del 2026, in vigore dal 30 settembre 2026, regola prove e presunzioni nelle cause di risarcimento e introduce nuovi reati, di cui risponde anche l'impresa. D.Lgs. 160/2026
Restano applicabili le norme su protezione dei dati, lavoro e sicurezza, diritto d'autore, contratti e responsabilità degli enti.
Chi vigila
Le regole sono europee, i controlli sono affidati ad autorità nazionali. Ognuna ha un compito preciso.
Agenzia per la cybersicurezza nazionale
È l'autorità di vigilanza del mercato. Controlla che i sistemi di IA rispettino le regole, svolge ispezioni e applica le sanzioni. È il punto di contatto unico per imprese e cittadini.
Vigila, ispeziona, sanziona. Punto di contatto unico.
D.Lgs. 179/2026 artt. 5, 6 e 15Agenzia per l'Italia digitale
È l'autorità di notifica. Designa e controlla gli organismi che certificano i sistemi ad alto rischio. Con ACN gestisce lo spazio di sperimentazione per chi sviluppa sistemi di IA.
Designa e controlla gli organismi che certificano.
D.Lgs. 179/2026 artt. 4, 13 e 28Autorità del settore finanziario
Vigilano sui sistemi ad alto rischio usati da banche, intermediari e assicurazioni nei servizi che erogano.
Alto rischio in banca, finanza e assicurazioni.
D.Lgs. 179/2026 artt. 5 e 17Garante per la protezione dei dati personali
Resta competente su ogni trattamento di dati personali svolto con l'IA. Nell'AI Act vigila solo su alcuni sistemi ad alto rischio usati in ambiti pubblici, come la biometria per finalità di contrasto.
Dati personali e alcuni usi pubblici.
GDPR artt. 51-58D.Lgs. 179/2026 art. 5Ufficio europeo per l'IA
È l'ufficio della Commissione europea. Vigila sui modelli per finalità generali e, in via esclusiva, sui sistemi che lo stesso fornitore costruisce sul proprio modello.
Modelli per finalità generali.
Omnibus IA art. 75 AI ActAI Act artt. 88-89Reclami Chi ritiene che un sistema violi le regole può presentare un reclamo. Se arriva all'autorità sbagliata, questa lo trasmette d'ufficio a quella competente. Con banche, intermediari e assicurazioni ci si può rivolgere anche ai sistemi stragiudiziali del settore.All'autorità competente. Quella sbagliata li trasmette d'ufficio.
AI Act art. 85D.Lgs. 179/2026 art. 18Passo 2 di 7 · La definizione
Individuate le regole, occorre verificare se lo strumento rientra nella definizione. Se non vi rientra, l'AI Act non si applica.
Sistema di IA
Sistema automatizzato che, con un certo grado di autonomia, ricava dagli input che riceve come generare previsioni, contenuti, raccomandazioni o decisioni. AI Act art. 3, n. 1
In parole semplici Il tratto distintivo è l'inferenza. Il sistema non si limita a eseguire istruzioni scritte da una persona, ma ricava da sé come rispondere.
È un sistema di IA
Di regola non lo è
Chi vigila
Le regole sono europee, i controlli sono affidati ad autorità nazionali. Ognuna ha un compito preciso.
Agenzia per la cybersicurezza nazionale
È l'autorità di vigilanza del mercato. Controlla che i sistemi di IA rispettino le regole, svolge ispezioni e applica le sanzioni. È il punto di contatto unico per imprese e cittadini.
Vigila, ispeziona, sanziona. Punto di contatto unico.
D.Lgs. 179/2026 artt. 5, 6 e 15Agenzia per l'Italia digitale
È l'autorità di notifica. Designa e controlla gli organismi che certificano i sistemi ad alto rischio. Con ACN gestisce lo spazio di sperimentazione per chi sviluppa sistemi di IA.
Designa e controlla gli organismi che certificano.
D.Lgs. 179/2026 artt. 4, 13 e 28Autorità del settore finanziario
Vigilano sui sistemi ad alto rischio usati da banche, intermediari e assicurazioni nei servizi che erogano.
Alto rischio in banca, finanza e assicurazioni.
D.Lgs. 179/2026 artt. 5 e 17Garante per la protezione dei dati personali
Resta competente su ogni trattamento di dati personali svolto con l'IA. Nell'AI Act vigila solo su alcuni sistemi ad alto rischio usati in ambiti pubblici, come la biometria per finalità di contrasto.
Dati personali e alcuni usi pubblici.
GDPR artt. 51-58D.Lgs. 179/2026 art. 5Ufficio europeo per l'IA
È l'ufficio della Commissione europea. Vigila sui modelli per finalità generali e, in via esclusiva, sui sistemi che lo stesso fornitore costruisce sul proprio modello.
Modelli per finalità generali.
Omnibus IA art. 75 AI ActAI Act artt. 88-89Reclami Chi ritiene che un sistema violi le regole può presentare un reclamo. Se arriva all'autorità sbagliata, questa lo trasmette d'ufficio a quella competente. Con banche, intermediari e assicurazioni ci si può rivolgere anche ai sistemi stragiudiziali del settore.All'autorità competente. Quella sbagliata li trasmette d'ufficio.
AI Act art. 85D.Lgs. 179/2026 art. 18Passo 3 di 7 · Il ruolo
Stabilito che si tratta di IA, gli obblighi dipendono dal ruolo che l'impresa ha rispetto al sistema.
Fornitore
Sviluppa il sistema, o lo fa sviluppare, e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio. AI Act art. 3, n. 3
Esempio La software house che vende un programma di selezione del personale.
Utilizzatore
Usa il sistema sotto la propria autorità, nell'attività professionale. Il regolamento lo chiama deployer. AI Act art. 3, n. 4
Esempio L'azienda che acquista quel programma e lo usa per le proprie assunzioni.
Quando il ruolo cambia
L'utilizzatore assume gli obblighi del fornitore se appone il proprio nome su un sistema ad alto rischio, se lo modifica in modo sostanziale o se ne cambia la finalità rendendolo ad alto rischio. AI Act art. 25
Esempio L'impresa adatta un assistente generico per valutare le prestazioni dei dipendenti. Ne cambia la finalità e può diventarne fornitore.
Passo 4 di 7 · Il rischio
Chiarito il ruolo, conta il rischio dell'uso. Il livello non dipende dalla tecnologia ma da due elementi: lo scopo per cui il sistema è usato e il peso che ha sulla vita delle persone.
Pratiche che l'Unione considera incompatibili con i diritti fondamentali.
AI Act art. 5Non possono essere adottate da nessuno.
Obbligo A2 →Esempi
Usi che incidono sull'accesso a lavoro, credito, istruzione o servizi essenziali, elencati nell'allegato III, e componenti di sicurezza di prodotti regolati.
AI Act art. 6Obblighi di controllo specifici, a carico di chi usa il sistema.
Obblighi del gruppo D →Esempi
Sistemi che dialogano con le persone o generano contenuti.
AI Act art. 50Le persone devono sapere che c'è l'IA.
Obblighi del gruppo B →Esempi
Ogni altro uso.
Nessun obbligo specifico dell'AI Act oltre alla formazione. Restano le regole su dati, lavoro e contratti.
Obblighi del gruppo A →Esempi
L'eccezione Un sistema dell'allegato III può restare fuori dall'alto rischio se svolge un compito limitato e non incide in modo significativo sulla decisione. È il caso del software che controlla soltanto che le candidature contengano i documenti richiesti. L'eccezione non vale mai se il sistema profila le persone. AI Act art. 6, par. 3
Test · tra il passo 4 e il passo 5
Con i criteri dei passi 2, 3 e 4. L'esito indica ruolo e livello di rischio ed evidenzia gli obblighi nel passo 5.
Dopo il test, gli obblighi che vi riguardano sono evidenziati.
Passo 5 di 7 · Gli obblighi
Dal ruolo e dal rischio discendono gli obblighi. Il gruppo A vale per tutti. Gli altri si aggiungono solo se ricorre la situazione indicata.
La mappa degli obblighi
Gli obblighi sono raccolti in sei gruppi. Ogni gruppo risponde a una domanda: se per la vostra impresa la risposta è sì, quel gruppo vi riguarda. Il gruppo A vale sempre. Fatto il test, i gruppi pertinenti si illuminano.
Come leggere una scheda
Lo stesso che compare nell'esito del test.
La data da cui l'obbligo si applica.
La regola spiegata in parole semplici.
Un caso tipico, per riconoscere la situazione.
Apre l'articolo su EUR-Lex o Normattiva.
Sempre
Dal 2 febbraio 2025
L'impresa adotta misure perché chi usa i sistemi per suo conto ne conosca il funzionamento, i limiti e i rischi. La legge non fissa un livello minimo. Le misure si commisurano all'esperienza delle persone, al contesto d'uso e alle persone su cui il sistema incide.
Esempio Un'agenzia immobiliare che fa redigere gli annunci a un assistente spiega agli agenti quali dati dei clienti non inserire e come controllare i testi prima della pubblicazione.
Dal 2 febbraio 2025 · nuovi divieti dal 2 dicembre 2026
Alcuni usi sono vietati a chiunque. Per un'impresa contano soprattutto il riconoscimento delle emozioni sul luogo di lavoro, ammesso solo per ragioni mediche o di sicurezza, e i sistemi che manipolano le persone o ne sfruttano la vulnerabilità. Dal 2 dicembre 2026 è vietato anche generare immagini sessuali realistiche di persone riconoscibili senza il loro consenso.
Esempio Un call center non può usare un software che deduce dalla voce se gli operatori sono arrabbiati o annoiati, per valutarne il lavoro.
Già in vigore
Se il sistema tratta dati di persone servono una base giuridica e un'informativa chiara. Il fornitore che tratta i dati per conto dell'impresa è nominato responsabile del trattamento con un contratto. Se il trattamento presenta rischi elevati, prima dell'avvio si svolge una valutazione d'impatto. Per i minori di quattordici anni occorre il consenso dei genitori.
Esempio Un poliambulatorio che trascrive le visite con un servizio di IA verifica dove sono conservati i dati sanitari e firma con il fornitore l'accordo sul trattamento.
Dal 2 agosto 2026
Dal 2 agosto 2026
Chi dialoga con un chatbot o con un assistente virtuale deve capire di interagire con un sistema di IA, a meno che sia evidente. L'obbligo grava su chi mette il sistema in servizio con il proprio nome. Se l'impresa usa un servizio già pronto, è utile verificare che l'avviso sia previsto.
Esempio L'assistente che risponde ai clienti sul sito di un hotel si presenta come assistente virtuale al primo messaggio.
Dal 2 agosto 2026
Chi pubblica immagini, audio o video generati che sembrano autentici, i cosiddetti deep fake, dichiara che sono artificiali. Lo stesso vale per i testi generati su questioni di interesse pubblico, salvo che una persona li abbia rivisti e ne assuma la responsabilità editoriale.
Esempio Il video in cui l'amministratore parla in inglese con la propria voce ricostruita dall'IA riporta un'avvertenza.
Dal 2 agosto 2026
Dove sono consentiti, i sistemi che riconoscono le emozioni o classificano le persone in base ai dati biometrici richiedono che chi vi è esposto sia informato del loro funzionamento. Di regola sono anche sistemi ad alto rischio, con gli obblighi del gruppo D, e il trattamento resta soggetto alle regole sulla protezione dei dati.
Esempio Il punto vendita che rileva con le telecamere le reazioni emotive dei clienti davanti a un espositore lo segnala in modo chiaro, prima dell'ingresso nell'area.
Già in vigore
Già in vigore
Prima di introdurre un sistema che incide sul rapporto di lavoro, il datore informa i lavoratori e le loro rappresentanze su finalità, logica e funzionamento. Per i sistemi ad alto rischio l'informazione precede la messa in servizio.
Esempio Prima di adottare un software che pianifica i turni in base alle prestazioni, l'azienda consegna l'informativa e la illustra alle rappresentanze.
L. 132/2025 art. 11D.Lgs. 152/1997 art. 1-bisD.Lgs. 179/2026 art. 41, c. 3
Già in vigore
Se lo strumento permette anche di controllare a distanza l'attività dei lavoratori, può essere introdotto solo per esigenze organizzative, produttive, di sicurezza o di tutela del patrimonio. Serve un accordo con le rappresentanze sindacali o, in mancanza, l'autorizzazione dell'Ispettorato del lavoro.
Esempio Il software che analizza le telefonate degli operatori per migliorare il servizio consente anche di valutarne il lavoro.
Dal 23 ottobre 2026
Assunzioni, modifiche, cessazioni, provvedimenti disciplinari e valutazioni delle prestazioni sono decisi da una persona con potere effettivo. Il consenso del lavoratore non rende lecita una decisione presa dalla sola macchina. Su richiesta, il lavoratore ha diritto a una motivazione comprensibile.
Esempio Il sistema segnala un calo di produttività. Il responsabile verifica i dati e firma la valutazione.
Dal 23 ottobre 2026
L'IA che incide su organizzazione, ritmi o modalità del lavoro, o su decisioni rilevanti per la sicurezza, entra nella valutazione dei rischi. I lavoratori ricevono informazione e formazione sui rischi specifici.
Esempio L'algoritmo che assegna i percorsi ai magazzinieri e ne fissa i ritmi è considerato nel documento di valutazione dei rischi.
Dal 2 dicembre 2027 · prodotti regolati dal 2 agosto 2028
Il quadro completo dell'alto rischio
Gli obblighi dell'alto rischio si dividono tra chi sviluppa il sistema e chi lo usa. Conoscere quelli del fornitore aiuta a scegliere il prodotto e a scrivere il contratto di acquisto. Le schede che seguono descrivono gli obblighi dell'utilizzatore.
Il sistema si usa secondo le istruzioni del fornitore. La sorveglianza è affidata a persone competenti, formate e con l'autorità di intervenire o di fermarlo. I dati inseriti devono essere pertinenti rispetto allo scopo.
Esempio In una società di selezione ogni rosa proposta dal sistema è rivista da un selezionatore, che può modificarla.
L'impresa sorveglia il funzionamento del sistema e conserva per almeno sei mesi i log che genera. Se emerge un rischio o un incidente grave, informa il fornitore e l'autorità e sospende l'uso.
Esempio La finanziaria che usa un modello di scoring archivia i log di ogni valutazione e segnala al fornitore gli esiti anomali.
Le persone su cui il sistema decide, o aiuta a decidere, sono informate del suo utilizzo. Chi riceve una decisione con effetti significativi può chiedere una spiegazione chiara del ruolo che il sistema vi ha avuto.
Esempio Il cliente a cui è negato un prestito può chiedere quali elementi hanno pesato e quale ruolo ha avuto il sistema.
Prima dell'uso valutano l'impatto sui diritti fondamentali gli enti pubblici, i privati che erogano servizi pubblici e chi usa il sistema per il merito creditizio o per le assicurazioni vita e malattia. La valutazione può richiamare quella già svolta per la protezione dei dati.
Esempio Una società di credito al consumo valuta, prima di adottarlo, come il modello di scoring incide sulle categorie di clienti più esposte.
Con gli obblighi dell'alto rischio
Nei casi descritti al passo 3 l'impresa risponde come fornitore. Deve gestire i rischi, predisporre la documentazione tecnica, sottoporre il sistema alla valutazione di conformità, registrarlo e seguirlo dopo l'immissione sul mercato.
Esempio Una società di consulenza del personale rivende con il proprio marchio una piattaforma di selezione sviluppata da altri.
Già in vigore
Nelle professioni intellettuali l'IA può svolgere solo attività strumentali e di supporto, e il lavoro intellettuale del professionista deve restare prevalente. Il professionista informa il cliente dei sistemi che usa, con un linguaggio chiaro.
Esempio Uno studio di commercialisti che usa l'IA per la prima analisi dei bilanci lo indica nella lettera d'incarico.
Chi risponde se le regole non sono rispettate e da dove cominciare.
Passo 6 di 7 · Le responsabilità
Chi viola le regole ne risponde su più piani, che si sommano: verso il danneggiato, in sede penale, nel rapporto di lavoro e davanti all'autorità.
Un caso concreto
Un'impresa pubblica uno spot in cui un ex testimonial sembra presentare un nuovo prodotto. Volto e voce sono ricostruiti con l'IA, senza il suo consenso e senza alcuna avvertenza.
Il testimonial chiede il risarcimento. Il giudice può ordinare all'impresa di esibire gli elementi sul funzionamento del sistema usato.
D.Lgs. 160/2026 art. 17Lo spot non dichiarava che il contenuto era artificiale, come richiede l'AI Act. Il nesso tra questa violazione e il danno si presume, salvo prova contraria.
AI Act art. 50, par. 4D.Lgs. 160/2026 art. 18Se la diffusione senza consenso ha causato un danno ingiusto, è anche reato. L'impresa può risponderne ai sensi del D.Lgs. 231/2001.
Codice penale art. 612-quaterD.Lgs. 231/2001 art. 25-viciesLe schede che seguono descrivono ciascun piano di responsabilità, con le regole che lo governano.
Nelle cause di risarcimento il giudice può ordinare all'impresa di esibire log e documentazione tecnica, se chi agisce rende verosimile la domanda. Il rifiuto senza giustificato motivo può far considerare ammessi i fatti allegati.
Se il danno deriva dalla violazione di un obbligo dell'AI Act, il nesso causale si presume, salvo prova contraria. La conformità certificata non basta, da sola, a escludere la responsabilità.
Il danneggiato può agire direttamente contro l'assicuratore dell'impresa. Il consumatore può rivolgersi al giudice del luogo in cui risiede.
È reato omettere le misure di sicurezza o la sorveglianza umana previste per i sistemi ad alto rischio, quando ne deriva un pericolo per la vita o l'incolumità delle persone. Per chi usa il sistema nella propria attività rileva l'omissione intenzionale.
È reato diffondere senza consenso immagini, video o voci falsificati con l'IA, se causano un danno ingiusto.
Per entrambi i reati risponde anche l'impresa, con sanzioni pecuniarie e interdittive.
Le decisioni sul rapporto di lavoro prese dalla sola macchina sono nulle, compreso il licenziamento.
Le informazioni sull'uso dell'IA sono dovute prima dell'avvio del trattamento.
Le sanzioni amministrative e per l'ente
15 milioni €
o 3% del fatturato
Obblighi di fornitori e utilizzatori, catena del valore, trasparenza
7,5 milioni €
o 1% del fatturato
Informazioni inesatte o incomplete alle autorità
1 milione €
o 0,5% del fatturato
Valutazione d'impatto sui diritti e spiegazione delle decisioni
200 – 1.000 quote
secondo il reato, più sanzioni interdittive
Responsabilità dell'ente per i reati sull'IA
Passo 7 di 7 · I primi passi
Il quadro si governa con cinque passi ordinati. Ciascuno prepara il successivo.
Elencare gli strumenti di IA in uso, anche gratuiti o personali.
Per ciascuno individuare fornitore, finalità, dati trattati e livello di rischio.
Adottare regole interne d'uso e una formazione mirata.
Rivedere contratti con i fornitori, informative, valutazione dei rischi e modello 231.
Indicare un referente che segua sistemi, incidenti e novità normative.
Il passo successivo
Lo studio applica questi sette passi agli strumenti che l'impresa usa e indica, per ciascuno, che cosa adeguare e in quale ordine.
Newsletter
Tre aggiornamenti a settimana su intelligenza artificiale, dati e responsabilità delle imprese, nello stesso formato: il fatto, la regola, cosa fare.
Norme verificate al 27 ottobre 2026.