A partire dal 2 agosto 2026, diventano operativi per primi gli obblighi di trasparenza previsti dall’Artificial Intelligence Act, mentre slittano i sistemi ad alto rischio per via del Digital Omnibus appena approvato al Parlamento Europeo. Per le aziende italiane, ciò richiede un adeguamento di chatbot, contenuti sintetici, contratti e sistemi di governance e controllo interno, in un contesto in cui il regime sanzionatorio risulta già applicabile.
Cosa devono fare le aziende dal 2 agosto
Il 2 agosto 2026 rappresenta una data cruciale per la trasparenza e la governance operativa ai sensi dell’AI Act. A partire da questo momento, le imprese dovranno garantire la massima trasparenza in quattro aree chiave:
- Interazione diretta: ogni sistema che interagisce con persone fisiche (chatbot, assistenti virtuali, agenti AI per clienti o candidati) deve rendere esplicita la natura artificiale dell’interlocutore, salvo quando ciò sia palesemente ovvio.
- Biometria: è obbligatorio informare le persone esposte a sistemi di riconoscimento delle emozioni o di categorizzazione biometrica.
- Contenuti sintetici: la natura artificiale di deepfake, audio, video o immagini generati o manipolati dall’AI deve essere chiaramente dichiarata.
- Informazione pubblica: i testi generati o manipolati dall’AI destinati all’informazione pubblica devono riportare una chiara segnalazione in assenza di revisione umana o responsabilità editoriale.
Per i fornitori di sistemi generativi vige l’obbligo di implementare marcature leggibili dalle macchine per gli output elaborati con l’AI, con una deroga fino al 2 dicembre 2026 per i sistemi già in commercio.
Per le aziende utilizzatrici, la priorità è tradurre questi requisiti in procedure concrete: implementazione di avvisi, etichettatura dei contenuti, supervisione umana sistematica, formazione interna e rigorosa conservazione delle evidenze documentali.
Gli STEP fondamentali in ordine di priorità: AI ACT Compliance
Individuare i sistemi soggetti all’obbligo del 2 Agosto
Il primo controllo va fatto sugli obblighi che sono scattati il 2 agosto 2026: chatbot, assistenti virtuali rivolti all’esterno, contenuti generati con AI pubblicati su canali aziendali, sistemi biometrici o di riconoscimento delle emozioni e testi informativi prodotti con strumenti generativi devono essere censiti subito per capire se servono avvisi, etichette o revisione umana formalizzata.
Mappatura degli strumenti AI utilizzati
In questa fase è fondamentale individuare in quali processi aziendali, viene già utilizzata l’intelligenza artificiale all’interno dell’azienda, anche quando il suo impiego è diventato prassi comune e consolidata.
Formazione del personale (AI literacy)
La formazione al personale non è un’opzione!
E’ uno dei passi fondamentali per dimostrare che si pone la giusta attenzione al problema nonché per ridurre i rischi legati ad un uso errato e non consapevole dell’AI.
Per ogni step formativo è necessario attestare e documentare quanto segue: data della formazione, i partecipanti, gli strumenti trattati (es. ChatGPT, Copilot etc), gli argomenti trattati, con particolare riferimento ai rischi per la privacy e al rischio di discriminazione, fino alle procedure interne di verifica e la firma di presa visione da parte di ciascun partecipante.
Tale documentazione funge da prova tangibile in sede di ispezione da parte delle autorità competenti, costituendo, di fatto, la prima linea difensiva a tutela dell’azienda in caso di controversie
Redigere una policy in merito all’uso interno dell’AI
Una policy AI aiuta a stabilire quali strumenti possono essere utilizzati, quali dati non devono essere inseriti nei sistemi di AI, quando è obbligatoria la revisione umana degli output e come adempiere agli obblighi di trasparenza già in vigore dal 2 agosto.
Sistemi IA ad alto rischio
Per i sistemi di IA ad alto rischio, pur se rinviati gli obblighi dal Digital Omnibus al 2 Dicembre 2027, il deployer (utilizzatore) dovrà adottare misure tecniche e organizzative per garantire di utilizzare il sistema secondo le istruzioni per l’uso fornite dal fornitore.
Dovrà inoltre affidare la supervisione del sistema a persone fisiche che dispongano della competenza, della formazione e dell’autorità necessarie per svolgere questo compito al meglio.
Prima di mettere in atto un sistema di IA ad alto rischio sul luogo di lavoro (es. recruting HR tramite l’AI), il deployer dovrà informare i rappresentanti sindacali e i lavoratori interessati, quindi fare una comunicazione ed una informativa anche in merito alla privacy.
Attenzione a dati personali e riservati
Tra le disattenzioni più frequenti e potenzialmente rischiose si riscontra l’inserimento diretto nel prompt dei sistemi AI di dati quali: documentazione aziendale interna, accordi contrattuali, credenziali d’accesso o dati protetti da copyright, dati personali o sensibili.
Tale comportamento espone a gravi rischi la riservatezza di informazioni di business, tecniche o strategiche e può determinare un’infrazione diretta del Gdpr, in particolare qualora vengano trasmessi dati personali identificativi o, peggio ancora dati particolari (Biometrici, sanitari, etnici o religiosi religiosi) regolati dall’Art.9.
La revisione umana come valore aggiunto
Come prassi, è raccomandabile sottoporre, possibilmente sempre quando possibile, a verifica umana i risultati generati dall’AI.
Tale prassi diventa tuttavia un obbligo imprescindibile in contesti ben definiti: nella redazione di atti rivolti all’esterno (quali proposte commerciali, accordi contrattuali o corrispondenza con la clientela e le risorse umane), nei processi decisionali che hanno un impatto diretto sulle posizioni giuridiche degli individui (tra cui reclutamento, avanzamenti di carriera, monitoraggio delle performance o erogazione di prestazioni pubblici e privati), nonché nella formulazione di pareri legali, perizie specialistiche, diagnosi mediche o di qualunque altro dato destinato a orientare scelte strategiche d’impresa.
Dal punto di vista della responsabilità legale e operativa, lo sbaglio più comune è presumere quanto elaborato in autonomia dall’algoritmo sia sempre giusto e corretto, in qualsiasi contesto.
Per la gran parte delle aziende, l’adeguamento non comporta e non deve comportare uno stravolgimento organizzativo.
Si tratta, piuttosto, di formalizzare le attività che già si svolgono in azienda, introdurre regole chiare dove ancora mancano e formare il personale sull’uso di strumenti che, nella maggior parte dei casi, utilizza già da tempo, magari in completa autonomia e spesso non nota all’azienda.
In sintesi, le imprese che scelgono di intraprendere oggi un percorso strutturato — articolato in mappatura, policy, formazione e governance — acquisiscono un solido vantaggio competitivo e riducono sensibilmente l’esposizione a rischi, non soltanto sanzionatori.
Vuoi maggiori informazioni su questi argomenti? Contattaci
