L'intelligenza artificiale è entrata negli strumenti di lavoro di migliaia di imprese italiane: assistenti che rispondono ai clienti, sistemi che analizzano dati, algoritmi che suggeriscono decisioni. Con il Regolamento UE 2024/1689 — l'AI Act — questa diffusione incontra per la prima volta un quadro giuridico organico. Non è una minaccia: è la cornice che rende l'AI affidabile. Ma va capita, perché tocca chi l'AI la sviluppa e chi la usa.
Cos'è l'AI Act, in breve
L'AI Act è il primo regolamento al mondo che disciplina in modo trasversale l'intelligenza artificiale. È un regolamento europeo, quindi direttamente applicabile negli Stati membri, con un'applicazione scaglionata nel tempo: alcune disposizioni sono già operative, altre entrano in vigore progressivamente nei mesi e negli anni successivi alla sua entrata in vigore.
La sua logica di fondo è semplice e intelligente: non tutti i sistemi di AI sono uguali, quindi non tutti meritano le stesse regole. Gli obblighi sono proporzionati al rischio che il sistema comporta per le persone.
I quattro livelli di rischio
Il cuore dell'AI Act è la classificazione dei sistemi in base al rischio.
1. Rischio inaccettabile — vietato
Alcune pratiche sono considerate incompatibili con i valori europei e quindi proibite: sistemi che manipolano il comportamento in modo dannoso, tecniche di social scoring generalizzato da parte delle autorità pubbliche, e altre applicazioni ritenute lesive dei diritti fondamentali. Sono i divieti più netti del regolamento.
2. Alto rischio — obblighi stringenti
Sono i sistemi utilizzati in ambiti sensibili: selezione del personale, accesso al credito, istruzione, gestione di infrastrutture critiche, alcune applicazioni in ambito sanitario e di sicurezza. Non sono vietati, ma soggetti a requisiti rigorosi: gestione del rischio, qualità dei dati, documentazione tecnica, tracciabilità, sorveglianza umana, robustezza e trasparenza. È la categoria che richiede più attenzione.
3. Rischio limitato — obblighi di trasparenza
Qui rientrano molti sistemi di uso comune, come i chatbot e i generatori di contenuti. L'obbligo principale è la trasparenza: l'utente deve sapere che sta interagendo con un'intelligenza artificiale, e i contenuti generati o manipolati artificialmente vanno segnalati come tali.
4. Rischio minimo — nessun obbligo specifico
La maggior parte delle applicazioni AI ricade qui: filtri antispam, suggerimenti, ottimizzazioni. Per questi il regolamento non introduce obblighi particolari, incoraggiando semmai l'adozione volontaria di buone pratiche.
E i modelli di AI "general purpose"?
L'AI Act dedica una disciplina specifica ai modelli di AI per finalità generali (GPAI) — i grandi modelli linguistici alla base di molte applicazioni. Per i fornitori di questi modelli sono previsti obblighi di trasparenza e documentazione, rafforzati per i modelli che presentano rischi sistemici. È un tema che riguarda soprattutto chi sviluppa i modelli fondazionali, ma ha ricadute su tutta la filiera che li utilizza.
Cosa significa per la tua azienda
Il punto che genera più confusione è questo: gli obblighi non riguardano solo chi sviluppa l'AI, ma anche chi la usa (nel linguaggio del regolamento, il "deployer" o utilizzatore). Ecco cosa dovresti chiederti.
1. Che tipo di AI usiamo davvero?
Il primo passo è una mappatura: quali strumenti di AI sono già in uso in azienda, in quali processi, con quali finalità. Un chatbot sul sito, un sistema che analizza i CV, un algoritmo che valuta l'affidabilità creditizia hanno profili di rischio molto diversi.
2. In quale categoria di rischio ricadono?
La classificazione determina gli obblighi. Un sistema di business intelligence conversazionale che aiuta a leggere i dati aziendali ha un profilo diverso da un sistema che decide autonomamente su assunzioni o licenziamenti. La valutazione va fatta caso per caso.
3. Garantiamo la sorveglianza umana?
È uno dei principi cardine, soprattutto per i sistemi ad alto rischio: le decisioni che incidono sulle persone devono poter essere supervisionate e, se necessario, ribaltate da un essere umano. L'AI che propone, l'uomo che decide.
4. Siamo trasparenti con clienti e dipendenti?
Chi interagisce con un chatbot deve saperlo. I dipendenti coinvolti in processi che usano l'AI hanno diritto a informazioni chiare. La trasparenza non è solo un obbligo: è ciò che costruisce fiducia.
5. I nostri fornitori di AI sono affidabili?
Se usi soluzioni di terzi, la conformità dipende anche da come sono progettate. Un fornitore che offre tracciabilità delle operazioni, controllo umano, documentazione e sicurezza dei dati ti mette in una posizione molto più solida.
Come dovrebbe essere progettata un'AI "pronta" per l'AI Act
Al di là della classificazione formale, ci sono principi di progettazione che rendono un sistema di AI più allineato allo spirito del regolamento — e semplicemente più affidabile. Sono gli stessi principi con cui sviluppiamo le soluzioni AI di Ingenia.
Sorveglianza umana per costruzione
Le funzioni AI più delicate dei nostri prodotti seguono il modello "l'AI propone, l'umano decide". Nel modulo pagamento stipendi di HRPRO, ad esempio, l'AI legge i cedolini e prepara i flussi, ma il pagamento parte solo con conferma umana. Lo stesso vale per le proposte di contestazione disciplinare: il sistema le genera, il responsabile le valuta. Nessun automatismo cieco su decisioni che toccano le persone.
Trasparenza e tracciabilità
Ogni operazione dev'essere ricostruibile. In ReportIA ogni interrogazione ai dati è registrata in un audit log completo, e le operazioni di scrittura passano per un'anteprima controllata: si sa sempre chi ha chiesto cosa, e cosa ha fatto il sistema. La trasparenza non è un modulo aggiuntivo, è il fondamento.
Qualità e governo dei dati
Un'AI vale quanto i dati che la alimentano. Personalizzazione con glossario aziendale, relazioni tra tabelle e query certificate come fonte ufficiale validata dall'IT: strumenti che riducono errori e rendono i risultati verificabili, non "scatole nere".
Sicurezza e dati in Europa
La protezione dei dati è il presupposto di tutto. Le soluzioni Ingenia sono ospitate in cloud italiano, conforme al GDPR, con le certificazioni ISO 27001, 27017 e 27018 e l'accreditamento ACN in materia di cybersecurity. L'AI Act e il GDPR non sono mondi separati: si rafforzano a vicenda.
AI Act e GDPR: due facce della stessa medaglia
Molte aziende hanno già affrontato la sfida della conformità con il GDPR. L'AI Act non lo sostituisce: lo completa. Dove il GDPR protegge i dati personali, l'AI Act disciplina i sistemi che su quei dati (e non solo) prendono o supportano decisioni. Chi ha impostato bene la governance dei dati parte avvantaggiato: le due normative condividono principi di trasparenza, responsabilità e tutela della persona.
Cosa fare, concretamente, adesso
- Mappa i tuoi sistemi di AI: cosa usi, dove, per quale finalità.
- Valuta il livello di rischio di ciascuno, con il supporto di un consulente dove il caso è complesso.
- Verifica la sorveglianza umana sui processi che incidono su persone.
- Assicura la trasparenza verso clienti e dipendenti.
- Scegli fornitori di AI che offrano tracciabilità, controllo umano e sicurezza dei dati.
- Documenta: come per il GDPR, dimostrare la diligenza è parte della conformità.
Conclusione: l'AI Act è un'opportunità, non solo un obbligo
La lettura difensiva dell'AI Act — "un'altra normativa da subire" — è quella sbagliata. Il regolamento premia chi usa l'intelligenza artificiale in modo trasparente, controllato e affidabile: esattamente ciò che i clienti e i dipendenti si aspettano. Adottare AI progettata secondo questi principi non è un costo di compliance: è un vantaggio competitivo e di fiducia.
In Ingenia costruiamo strumenti di intelligenza artificiale pensati per le PMI italiane: potenti dove serve, controllati dove conta. Se vuoi capire come portare l'AI nella tua azienda in modo solido, parliamone.
Questo articolo ha finalità informative e divulgative e non costituisce consulenza legale. Il quadro normativo sull'intelligenza artificiale è in evoluzione e prevede un'applicazione scaglionata nel tempo: per l'inquadramento degli obblighi applicabili alla tua azienda e per le tempistiche aggiornate, fai sempre riferimento alle fonti ufficiali dell'Unione Europea e a un consulente legale specializzato.
