Cosa dobbiamo fare quando usiamo l'AI? Gli obblighi del deployer nell'AI Act
In breve
Tutte le aziende che usano l'AI devono curare l'alfabetizzazione in materia di IA (art. 4), evitare le pratiche di IA vietate (art. 5) e dichiarare quando le persone si trovano davanti a deepfake o riconoscimento delle emozioni (art. 50). Se usi AI ad alto rischio, dal 2 dicembre 2027 si aggiunge l'art. 26: usa il sistema secondo le istruzioni, affida la sorveglianza a persone competenti, garantisci dati di input pertinenti, monitora l'uso, conserva i log per almeno 6 mesi, informa dipendenti e persone coinvolte e collabora con le autorità.
Obblighi per ogni uso dell'AI
| Obbligo | Da quando | Articolo |
|---|---|---|
| Alfabetizzazione in materia di IA | Dal 2 febbraio 2025 | Art. 4 |
| Nessuna pratica di IA vietata | Dal 2 febbraio 2025 | Art. 5 |
| Dichiarare deepfake e riconoscimento delle emozioni | Dal 2 agosto 2026 | Art. 50, paragrafi 3 e 4 |
Obblighi in più per l'alto rischio
L'art. 26 si applica dal 2 dicembre 2027 per gli usi dell'allegato III. Il punto più importante è la sorveglianza umana: una persona che capisce il sistema, si accorge quando sbaglia e ha l'autorità per dire di no. In GoalCube una persona decide ogni caso che riguarda qualcuno, e il log mostra chi ha deciso cosa, quando e perché.
E il GDPR?
Molti obblighi si sovrappongono al GDPR: informativa (artt. 13 e 14), diritto a una decisione umana (art. 22) e valutazione d'impatto (art. 35). L'AI Act dice espressamente che devi usare le informazioni del fornitore per la tua DPIA (art. 26, paragrafo 9).
Come fare
- Segui le istruzioni per l'uso.Usa l'AI per lo scopo per cui è fatta, come lo descrive il fornitore.
- Nomina chi sorveglia.Persone indicate per nome, con competenza, formazione e autorità.
- Controlla i dati di input.I dati che fornisci tu devono essere pertinenti e rappresentativi per lo scopo.
- Monitora e reagisci.Sospendi l'uso e avvisa se l'AI presenta un rischio o se si verifica un incidente grave.
- Conserva i log.I log automatici sotto il tuo controllo, per almeno 6 mesi.
- Informa.I dipendenti e i loro rappresentanti prima dell'uso sul luogo di lavoro; le persone soggette alle decisioni.
Cosa dice la legge
- Art. 26 dell'AI Act – obblighi dei deployer
- Contenuto invariato dal Digital Omnibus; si applica dal 2 dicembre 2027 per l'allegato III.
- Art. 27 dell'AI Act – valutazione d'impatto sui diritti fondamentali (FRIA)
- Per enti pubblici, privati che forniscono servizi pubblici e in caso di credito e assicurazioni vita e malattia.
- Art. 86 dell'AI Act – diritto alla spiegazione
- Le persone coinvolte possono chiedere una spiegazione del ruolo dell'AI in una decisione.
Domande e risposte
Siamo deployer quando i dipendenti usano ChatGPT?
Sì, quando lo usano per lavoro per conto tuo. L'uso personale non professionale è escluso.
Per quanto tempo dobbiamo conservare i log?
Almeno 6 mesi per i log sotto il tuo controllo, salvo che altre leggi dispongano diversamente.
Come informiamo i dipendenti?
Prima di usare AI ad alto rischio sul luogo di lavoro, dipendenti e rappresentanti devono essere informati. GoalCube ha un modello pronto.
Fonti
A cura di Redazione GoalCube. Ultimo aggiornamento 11 ottobre 2026. GoalCube ti aiuta a rispettare l’AI Act e il GDPR. Non è consulenza legale.
Sii tra i primi.
Prevediamo di partire a novembre 2026. Iscriviti e ti scriveremo quando potrai iniziare.