L’AI Act non riguarda soltanto chi sviluppa modelli. Riguarda anche le organizzazioni che integrano chatbot, sistemi di selezione, analisi predittiva, generazione di contenuti o automazioni intelligenti nelle attività quotidiane.

Il regolamento europeo è entrato in vigore il 1° agosto 2024 e la sua applicazione è progressiva. Gli obblighi sulle pratiche vietate e sull’alfabetizzazione in materia di IA sono applicabili dal febbraio 2025; le regole di governance e per i modelli di IA per finalità generali dal 2 agosto 2025; una parte importante delle disposizioni, comprese quelle di trasparenza, dal 2 agosto 2026. Dopo le modifiche dell’AI Omnibus entrate in vigore il 27 luglio 2026, le regole per i sistemi ad alto rischio dell’allegato III si applicheranno dal 2 dicembre 2027 e quelle per i sistemi integrati nei prodotti regolamentati dal 2 agosto 2028. La timeline va comunque verificata sul singolo caso, perché dipende da ruolo, uso e classe di rischio.

Non serve un altro documento. Serve una mappa.

Il primo errore è iniziare dalla policy. Una regola scritta prima di conoscere gli strumenti realmente utilizzati descrive un’azienda teorica, non quella operativa. Il punto di partenza è un inventario leggero ma concreto:

  • strumento, fornitore e versione utilizzata;
  • processo e responsabile interno;
  • dati inseriti, prodotti o trasformati;
  • persone o clienti interessati dall’output;
  • livello di autonomia e controllo umano;
  • impatto possibile in caso di errore.

Questa mappa fa emergere anche lo “shadow AI”: account personali, estensioni e servizi attivati senza un processo di approvazione. Vietare tutto raramente risolve il problema. È più efficace offrire alternative autorizzate e regole comprensibili.

Principio operativo Un registro essenziale, aggiornato e collegato ai processi vale più di una policy perfetta che nessuno consulta.

Provider, deployer o semplice utilizzatore?

L’AI Act assegna obblighi diversi in base al ruolo. Un’impresa che usa un servizio di IA nel proprio processo è normalmente un deployer; può però assumere responsabilità diverse se commercializza il sistema con il proprio nome, ne modifica sostanzialmente lo scopo o interviene in modo rilevante sul modello.

Occorre poi classificare il caso d’uso. Un assistente che riordina appunti non ha lo stesso profilo di un sistema impiegato per prendere decisioni sul personale, valutare l’accesso a servizi essenziali o influenzare diritti delle persone. Non ogni applicazione aziendale è “ad alto rischio”, ma ogni applicazione merita una valutazione proporzionata.

Le domande da portare al tavolo

  • L’output supporta una decisione o la prende di fatto?
  • Una persona competente può contestarlo, correggerlo e interromperlo?
  • Il fornitore documenta limiti, dati, sicurezza e modalità d’uso?
  • Esiste un canale per segnalare errori e incidenti?
  • Il personale sa riconoscere un risultato plausibile ma sbagliato?

La trasparenza è un elemento dell’esperienza.

Dal 2 agosto 2026 entrano in applicazione obblighi di trasparenza per determinati sistemi. Le persone devono essere informate quando interagiscono con un sistema di IA, salvo che sia evidente; i contenuti generati o manipolati devono poter essere identificati in formato leggibile dalle macchine nei casi previsti. Sono previste responsabilità specifiche anche per deepfake e contenuti di interesse pubblico.

La soluzione non è riempire l’interfaccia di avvisi. Un buon design informa nel momento giusto: chiarisce che cosa fa l’IA, quali dati usa, dove finisce l’automazione e come raggiungere una persona. La conformità diventa così una componente di fiducia e non un ostacolo al servizio.

Un piano realistico nei primi 30 giorni.

  1. Settimana 1 — inventario: raccogliere strumenti ufficiali e informali, processi, proprietari e dati coinvolti.
  2. Settimana 2 — priorità: valutare impatto, probabilità di errore, reversibilità e presenza del controllo umano.
  3. Settimana 3 — regole: definire usi ammessi, vietati e soggetti ad approvazione; aggiornare fornitori e clausole.
  4. Settimana 4 — competenze: formare i team sui casi reali, introdurre un canale di segnalazione e assegnare un responsabile.

La formazione non dovrebbe limitarsi al prompting. L’alfabetizzazione IA comprende capacità, conoscenze e consapevolezza utili a usare i sistemi in modo informato, considerando opportunità e rischi. Deve quindi cambiare in base alla funzione: marketing, risorse umane, amministrazione e produzione affrontano errori diversi.

Governare l’IA migliora anche il ritorno sull’investimento.

Una governance proporzionata riduce duplicazioni, abbonamenti inutili e sperimentazioni senza proprietario. Soprattutto, costringe a collegare ogni strumento a un risultato: tempo risparmiato, qualità, velocità di risposta, riduzione dell’errore o nuova capacità produttiva.

Il passaggio decisivo è trattare ogni caso d’uso come un piccolo prodotto: obiettivo misurabile, dati adeguati, responsabile, controllo umano, soglia di qualità e criterio di arresto. È la stessa logica con cui affrontiamo i progetti di intelligenza artificiale applicata e di automazione dei processi.

Fonti e aggiornamento

Articolo aggiornato al 12 agosto 2026. Ha finalità informative e non sostituisce una valutazione legale sul caso concreto.

Da quanti strumenti IA dipende oggi la tua azienda?

Partiamo da inventario, rischi e opportunità per costruire una roadmap applicabile, senza bloccare i team.

Richiedi un assessment ↗