Che cos’è l’AI Act e cosa cambia davvero per le imprese italiane

Risposta rapida

L’AI Act è una normativa europea orizzontale sull’intelligenza artificiale. Non vieta l’AI in generale: vieta alcune pratiche considerate inaccettabili, impone obblighi stringenti sui sistemi ad alto rischio, richiede trasparenza per determinati sistemi e lascia sostanzialmente liberi gli usi a rischio minimo. Per le imprese il cambiamento principale è organizzativo: l’AI deve essere censita, classificata, governata e documentata, non usata in modo informale o invisibile nei reparti.

Perché questo tema è importante

Per molti anni l’intelligenza artificiale è stata trattata come una questione tecnica: un algoritmo, un modello, una funzione del software. L’AI Act cambia il punto di vista. La domanda non è più soltanto “funziona?”, ma anche “in quale contesto viene usata?”, “chi subisce gli effetti della decisione?”, “il sistema può incidere su diritti, sicurezza, lavoro, accesso a servizi o dati personali?”, “l’utente capisce quando interagisce con AI?”. Questo spostamento rende l’AI un tema di governance aziendale.

Per GAPOFF il punto editoriale è sempre lo stesso: normativa → problema aziendale → rischio concreto → azione operativa → evidenza richiesta → modulo utile → CTA. L’AI Act non deve essere presentato come una raccolta astratta di articoli, ma come un sistema di controlli che l’organizzazione può applicare, dimostrare e aggiornare.

Quadro normativo e fonti ufficiali

Il riferimento principale è il Regolamento (UE) 2024/1689, cioè l’AI Act. Le fonti istituzionali da monitorare sono la pagina della Commissione Europea sull’AI Act, l’AI Act Service Desk, le pagine dedicate all’AI literacy, all’Articolo 6 sui sistemi ad alto rischio, all’Annex III, agli obblighi di provider, deployer, trasparenza e sanzioni.

Alla data di revisione di questo articolo va considerato anche l’accordo provvisorio del 7 maggio 2026 tra Consiglio e Parlamento sul pacchetto di semplificazione AI. Prima della pubblicazione definitiva, il coding agent o il revisore editoriale dovrà verificare lo stato dell’adozione formale e aggiornare date e note di manutenzione se necessario.

Cosa significa per l’azienda

Per un’organizzazione l’AI Act significa passare da uso spontaneo dell’intelligenza artificiale a governance documentata. Questo richiede almeno quattro livelli di controllo: inventario dei sistemi, classificazione del rischio, definizione dei ruoli e raccolta delle evidenze. Nei casi più delicati entrano in gioco valutazioni su dati personali, contratti con fornitori, human oversight, log, incidenti, formazione e reporting verso direzione o clienti.

La valutazione dipende dal caso concreto e deve essere verificata con professionisti qualificati e fonti ufficiali aggiornate. In particolare, non basta sapere che uno strumento “usa AI”: bisogna descrivere come viene usato, chi subisce gli effetti, se l’output influenza decisioni e se il sistema rientra in un’area sensibile.

Cosa cambia rispetto alla gestione informale dell’AI

1. L’AI non può restare nascosta nei reparti: deve essere censita in un registro.
2. La valutazione dipende dallo scopo d’uso, non solo dalla tecnologia sottostante.
3. Alcune pratiche sono vietate e devono essere escluse prima ancora di discutere di mitigazioni.
4. I sistemi ad alto rischio richiedono documentazione, controllo umano, qualità, monitoraggio e, per i provider, processi di conformità più strutturati.
5. I sistemi con interazione diretta o contenuti sintetici possono richiedere obblighi di trasparenza.
6. La formazione AI literacy è già un tema operativo per provider e deployer.
7. Il rapporto con fornitori e modelli terzi deve essere documentato, verificabile e aggiornabile.

Queste attività dovrebbero essere assegnate a owner interni, con data, stato, evidenza collegata e riesame periodico. La logica corretta non è completare un documento una tantum, ma mantenere un sistema aggiornato quando cambia il fornitore, il modello, il contesto d’uso o il processo aziendale.

Esempio pratico

Un’impresa introduce un assistente AI interno per aiutare i commerciali a scrivere email. Se resta un supporto redazionale, con controllo umano e senza decisioni automatiche su persone, il rischio può essere limitato. Se invece lo stesso sistema viene collegato a un algoritmo che decide quali clienti riceveranno condizioni economiche migliori o quali candidati superano uno screening, l’impatto cambia radicalmente. Nell’AI Act conta il caso d’uso concreto.

Errori comuni da evitare

• Valutare l’AI solo in base al nome commerciale dello strumento.
• Presumere che ogni AI generativa sia automaticamente ad alto rischio.
• Non mappare gli usi AI incorporati in software già presenti.
• Non distinguere trasparenza, alto rischio e pratiche vietate.
• Non aggiornare il registro quando cambia lo scopo d’uso.

Come GAPOFF aiuta

GAPOFF aiuta a rendere visibile l’AI aziendale: ogni sistema può essere registrato con fornitore, scopo, dati trattati, owner, classificazione e stato di conformità. Il modulo AI Act Governance è pensato per far dialogare compliance, IT e management, evitando che la valutazione resti in file separati o nella memoria dei singoli responsabili.

Checklist operativa

• Elenco iniziale dei sistemi AI per reparto.
• Scopo d’uso descritto in modo concreto.
• Categoria di rischio preliminare.
• Presenza di interazione con utenti o contenuti sintetici verificata.
• Uso su dati personali verificato.
• Owner aziendale assegnato.
• Data di riesame programmata.

FAQ

L’AI Act vieta l’uso di ChatGPT in azienda?

No. Non vieta in generale l’uso di strumenti generativi, ma richiede valutazioni su contesto, dati, trasparenza, sicurezza e istruzioni d’uso.

La stessa tecnologia può avere rischi diversi?

Sì. Un modello usato per brainstorming interno ha un profilo diverso dallo stesso modello usato per supportare decisioni su lavoratori, clienti o candidati.

Cosa deve fare una PMI subito?

Creare un inventario, vietare gli usi non autorizzati ad alto impatto, formare gli utenti e valutare i fornitori principali.

Il registro AI è obbligatorio per tutti?

Non sempre come forma nominata, ma un inventario documentato è la base pratica per dimostrare controllo e classificazione.

Fonti ufficiali e riferimenti

• EUR-Lex - Regulation (EU) 2024/1689 Artificial Intelligence Act
• European Commission - AI Act overview
• AI Act Service Desk - Implementation timeline
• European Commission - AI Literacy Q&A
• AI Act Service Desk - Article 4 AI literacy
• AI Act Service Desk - Article 6 high-risk classification
• AI Act Service Desk - Annex III high-risk areas
• AI Act Service Desk - Article 16 provider obligations
• AI Act Service Desk - Article 26 deployer obligations
• AI Act Service Desk - Article 50 transparency obligations
• AI Act Service Desk - Article 99 penalties
• European Commission - General-Purpose AI Code of Practice
• Council of the EU - Provisional agreement on AI simplification, 7 May 2026

Disclaimer legale

Questo contenuto ha finalità informative e di orientamento generale. Non costituisce consulenza legale, tecnica, fiscale o organizzativa personalizzata. Per determinare obblighi, responsabilità e misure applicabili al caso concreto, è necessario svolgere una valutazione specifica con professionisti qualificati e fonti ufficiali aggiornate.

FAQ

L’AI Act vieta l’uso di ChatGPT in azienda?

No. Non vieta in generale l’uso di strumenti generativi, ma richiede valutazioni su contesto, dati, trasparenza, sicurezza e istruzioni d’uso.

La stessa tecnologia può avere rischi diversi?

Sì. Un modello usato per brainstorming interno ha un profilo diverso dallo stesso modello usato per supportare decisioni su lavoratori, clienti o candidati.

Cosa deve fare una PMI subito?

Creare un inventario, vietare gli usi non autorizzati ad alto impatto, formare gli utenti e valutare i fornitori principali.

Il registro AI è obbligatorio per tutti?

Non sempre come forma nominata, ma un inventario documentato è la base pratica per dimostrare controllo e classificazione.