Cos'è l'AI Act europeo – e cosa cambia per la tua azienda?
In breve
L'AI Act (regolamento (UE) 2024/1689) è l'insieme delle regole UE sull'intelligenza artificiale. Vale sia per chi sviluppa AI sia per le aziende che la usano nel lavoro – anche quelle piccole. Gli obblighi dipendono dal rischio: alcune pratiche sono vietate, altre sono ad alto rischio con molti requisiti, chatbot e contenuti generati con AI vanno segnalati, il resto è a rischio minimo. Per la maggior parte delle aziende oggi significa: formare i dipendenti sull'AI, non usare AI vietata, segnalare i chatbot e prepararsi agli obblighi per l'alto rischio dal 2 dicembre 2027.
L'AI Act in un minuto
L'AI Act è un regolamento UE. Si applica direttamente in tutti i Paesi dell'Unione, senza che ognuno debba scrivere una propria legge. Regola l'AI in base a quanto danno può fare, non in base alla tecnologia usata.
La legge distingue due ruoli:
- I fornitori sviluppano l'AI e la immettono sul mercato: per esempio OpenAI, Anthropic, Microsoft o un'azienda che crea una propria funzione di AI.
- I deployer usano l'AI nel lavoro. Sono quasi tutte le altre aziende – anche la tua, se i dipendenti usano ChatGPT, Claude o Copilot.
I quattro livelli di rischio
| Livello | Esempi | Cosa devi fare? |
|---|---|---|
| Vietato | Riconoscimento delle emozioni sul lavoro, social scoring | Non farlo |
| Alto rischio | Selezione del personale, decisioni sui dipendenti, merito creditizio, istruzione | Sorveglianza umana, log, informazione alle persone coinvolte (dal 2 dicembre 2027) |
| Rischio limitato | Chatbot, immagini generate con AI e deepfake | Dire che è AI (dal 2 agosto 2026) |
| Rischio minimo | Bozze di email, riassunti, traduzioni | Alfabetizzazione in materia di IA e buon senso |
Prova tu stesso come viene classificato un uso dell'AI:
Approvato in automatico secondo le tue regole. I dipendenti devono avere l’alfabetizzazione AI necessaria (art. 4).
Gli utenti devono poter capire che parlano con un’AI (art. 50). GoalCube ha un testo pronto da usare.
La selezione del personale è nell’allegato III. Una persona conferma l’uso prima che l’AI riceva i dati e decide ogni caso (art. 14 e 26; art. 22 GDPR).
Il riconoscimento delle emozioni sul luogo di lavoro è vietato (art. 5). GoalCube non aiuta a farlo.
L’esempio è semplificato. In GoalCube rispondi a poche domande e la classificazione segue regole fisse.
Esempio semplificato. In GoalCube la classificazione segue regole fisse.
Cosa vale già oggi?
I divieti e l'obbligo di alfabetizzazione in materia di IA valgono dal 2 febbraio 2025. Le regole per i modelli di IA per finalità generali come GPT e Claude valgono per i loro fornitori dal 2 agosto 2025. L'obbligo di segnalare chatbot e contenuti generati con AI vale dal 2 agosto 2026. Trovi tutte le date nell'articolo sulle scadenze dell'AI Act.
E il GDPR?
L'AI Act non sostituisce il GDPR. Se usi l'AI su dati di clienti, dipendenti o fornitori, devi rispettare anche il GDPR: una base giuridica, meno dati possibile, una nomina a responsabile del trattamento (DPA) con il fornitore di AI e trasferimenti fuori dall'UE sotto controllo. Approfondisci in Possiamo usare ChatGPT, Claude o Copilot sui dati personali?
Come fare
- Annota dove usi l'AI.Quali strumenti, per cosa? Un registro dei sistemi di AI è la base di tutto il resto.
- Valuta il rischio di ogni utilizzo.La maggior parte delle attività è a rischio minimo. Selezione del personale, decisioni sui dipendenti, credito e istruzione possono essere ad alto rischio.
- Blocca ciò che è vietato.Per esempio il riconoscimento delle emozioni sul lavoro e il social scoring.
- Forma i dipendenti sull'AI.Una breve introduzione adatta alle loro attività, e annota chi l'ha ricevuta.
- Segnala chatbot e contenuti AI.Dal 2 agosto 2026 le persone devono capire che stanno parlando con un'AI, e i deepfake vanno etichettati.
- Preparati all'alto rischio.Se usi l'AI per esempio nella selezione del personale, dal 2 dicembre 2027 servono sorveglianza umana, log conservati e informazione alle persone coinvolte.
Cosa dice la legge
- Regolamento (UE) 2024/1689 – AI Act
- In vigore dal 1° agosto 2024, si applica gradualmente fino al 2030.
- Art. 3 dell'AI Act – definizioni
- Definisce tra l'altro sistema di IA, fornitore e deployer (l'azienda che usa l'AI sotto la propria autorità).
- Regolamento (UE) 2026/1744 – Omnibus digitale sull'IA
- Modifica l'AI Act: le regole sull'alto rischio slittano e l'obbligo di alfabetizzazione in materia di IA viene rivisto.
Domande e risposte
L'AI Act vale anche per le piccole imprese?
Sì. Non c'è un'esenzione per le piccole imprese che usano l'AI. Se l'uso è semplice, però, gli obblighi sono pochi – e le PMI hanno tetti più bassi per le sanzioni e una documentazione più semplice.
L'AI Act vale se usiamo solo ChatGPT?
Sì. Quando usi un sistema di IA nel lavoro sei un deployer. Come minimo devi assicurare l'alfabetizzazione in materia di IA ed evitare gli usi vietati. Se usi ChatGPT per attività ad alto rischio, gli obblighi aumentano.
Che differenza c'è tra AI Act e GDPR?
Il GDPR riguarda i dati personali. L'AI Act riguarda l'AI in sé e i suoi rischi. Se usi l'AI sui dati personali, valgono entrambi.
L'AI Act è stato rinviato?
In parte. Il Digital Omnibus ha spostato le regole sull'alto rischio al 2 dicembre 2027 (allegato III) e al 2 agosto 2028 (allegato I). Divieti, alfabetizzazione in materia di IA e trasparenza si applicano già.
Fonti
- Regolamento (UE) 2024/1689 (AI Act) su EUR-Lex
- Regolamento (UE) 2026/1744 (Omnibus digitale sull'IA) su EUR-Lex
- Commissione europea: AI Act
A cura di Redazione GoalCube. Ultimo aggiornamento 11 ottobre 2026. GoalCube ti aiuta a rispettare l’AI Act e il GDPR. Non è consulenza legale.
Sii tra i primi.
Prevediamo di partire a novembre 2026. Iscriviti e ti scriveremo quando potrai iniziare.