Intelligenza artificiale: tante regole da non ignorare!

Intelligenza artificiale: tante regole da non ignorare!

L’AI è già dentro molte aziende italiane, ma senza una vera politica di innovazione che ne guidi l’introduzione in azienda

Fino a pochi anni fa, l’intelligenza artificiale evocava robot umanoidi e auto a guida autonoma. Oggi è tutt’altro ed è ormai presente in modo sempre più invasivo nelle imprese.

È, ad esempio, il chatbot sul sito web, il software che prevede il fabbisogno di magazzino, lo strumento che ottimizza una campagna e-mail o il sistema che segnala anomalie nei pagamenti prima che diventino un problema.

L’AI ha smesso, quindi, di essere tecnologia del futuro ed è, a tutti gli effetti, per molte realtà, una infrastruttura del presente.

Il cambiamento, come è sotto l’occhio di tutti, è stato veloce, forse anche troppo rapido.

I dati ISTAT sull’uso delle tecnologie ICT nelle imprese  indicano che tra il 2023 e il 2025, la quota di imprese italiane con almeno dieci addetti che usa tecnologie AI è passata dal 5% all’8,2%, poi al 16,4%.

Il 16,4% è una crescita significativa, ma lascia oltre l’83% delle aziende fuori dal processo.

Il divario tra grandi imprese e PMI, inoltre, invece di ridursi, si allarga.

Nel 2023 era di circa venti punti percentuali. Nel 2025 ha raggiunto trentasette punti. Le grandi imprese adottano l’AI al 53%. Le PMI si fermano al 15,7%.

Sul motivo sono emersi spunti interessanti.

Quasi il 60% delle imprese che ha valutato investimenti in AI senza realizzarli cita l’assenza di competenze adeguate come freno principale. Il 47,3% cita la scarsa chiarezza normativa. Poi ci sono i costi, la difficoltà di individuare il progetto giusto, la mancanza di dati strutturati, la resistenza interna al cambiamento.

Il contesto normativo, in particolare, preoccupa perché è molto complesso, cambia velocemente, e può dar origine e pesanti sanzioni e responsabilità..

Conoscere le regole del gioco è fondamentale per non incorrere in errori e fare investimenti sereni.

Il Regolamento UE 2024/1689 (AI Act): cos’è e quando si applica

L’AI Act è il primo regolamento al mondo che disciplina in modo organico lo sviluppo e l’utilizzo dell’intelligenza artificiale. Approvato dal Parlamento Europeo nel maggio 2024, pubblicato nella Gazzetta Ufficiale dell’UE il 12 luglio 2024, è entrato in vigore il 1° agosto 2024.

Ha carattere vincolante in tutti gli Stati membri, senza necessità di recepimento nazionale.

Si applica sia ai fornitori di sistemi AI che li immettono sul mercato europeo, sia agli utilizzatori — definiti “deployer” — che li impiegano in contesto professionale.

Anche una PMI che ha semplicemente acquistato un software con funzionalità AI da un fornitore terzo rientra in questa definizione.

L’approccio del legislatore europeo è quello della proporzionalità al rischio. Più un sistema AI è potenzialmente pericoloso per i diritti fondamentali, la salute o la sicurezza delle persone, più gli obblighi sono severi.

Il Regolamento distingue quattro livelli di rischio, con obblighi crescenti.

Rischio inaccettabile — sistemi vietati in assoluto. Rientrano in questa categoria:

• Sistemi di manipolazione subliminale che sfruttano vulnerabilità psicologiche
• Sistemi di social scoring da parte di autorità pubbliche
• Riconoscimento delle emozioni sul posto di lavoro o nelle scuole (con alcune eccezioni di sicurezza)
• Sistemi di profilazione per prevedere la probabilità che una persona commetta reati futuri

Il rischio più concreto, nelle PMI,  in questa categoria, è l’uso di strumenti che includono funzionalità di emotion recognition per valutare dipendenti o clienti. Questa funzionalità è presente in alcuni software HR o di analisi delle chiamate commerciali. Va verificata con attenzione prima dell’acquisto.

Alto rischio. Questa categoria è molto più ampia e include sistemi AI usati in aree come:

• Occupazione e gestione dei lavoratori (screening curricula, valutazione performance, gestione turni)
• Accesso ai servizi privati essenziali (valutazione del merito creditizio)
• Sicurezza dei prodotti
• Infrastruttura critica

Per le PMI, l’area di maggiore attenzione è quella HR. Se si usa un software AI per selezionare o valutare i candidati, o per monitorare le performance dei dipendenti, si è probabilmente in presenza di un sistema ad alto rischio.

Gli obblighi per chi utilizza sistemi ad alto rischio includono: verifica che il sistema soddisfi i requisiti del regolamento, formazione del personale che lo usa, tenuta di log e documentazione, rispetto della sorveglianza umana.

Rischio limitato. Riguarda principalmente i sistemi che interagiscono con gli esseri umani senza che questi lo sappiano. L’obbligo principale è la trasparenza: un chatbot deve informare l’utente che sta interagendo con un sistema AI, non con una persona. È un obbligo semplice da rispettare, ma che molte PMI non hanno ancora adempiuto.

Rischio minimo. Comprende la grande maggioranza dei sistemi AI in uso oggi: filtri antispam, recommender system degli e-commerce, strumenti di analisi dati, assistenti alla scrittura. Per questi sistemi non esistono obblighi specifici ai sensi dell’AI Act, anche se restano applicabili le norme generali su privacy, diritto d’autore e responsabilità contrattuale.

Le scadenze da rispettare

Le date strategiche dell’AI Act sono scaglionate e già in parte operative.

• 2 febbraio 2025: entrato in vigore il divieto delle pratiche AI vietate. Da quella data, l’utilizzo di sistemi a rischio inaccettabile è illegale in tutta l’Unione Europea.
• 2 agosto 2025: diventato applicabile il regime per i fornitori di modelli AI per finalità generali (i cosiddetti GPAI model), come i grandi modelli linguistici.
• 2 agosto 2026: la scadenza più rilevante per la maggior parte delle imprese. Da quella data diventano pienamente applicabili gli obblighi per i sistemi ad alto rischio elencati nell’Allegato III del Regolamento, inclusi quelli in ambito HR.
• 2027: per alcune categorie speciali di sistemi ad alto rischio già disciplinati da normative di settore esistenti.

Le sanzioni previste dall’AI Act sono tra le più elevate nella regolamentazione digitale europea.

• Utilizzo di sistemi vietati: fino a 35 milioni di euro o al 7% del fatturato mondiale annuo (il valore più alto tra i due).
• Violazioni degli obblighi per sistemi ad alto rischio: sanzione massima di 15 milioni di euro o il 3% del fatturato.
• Fornitura di informazioni errate alle autorità: fino a 7,5 milioni di euro o all’1,5% del fatturato.

Il Regolamento prevede espressamente che le sanzioni per le PMI e le startup siano proporzionate alla loro capacità finanziaria. Proporzionalità, però, non significa impunità. È solo una garanzia che la sanzione non sia sproporzionata rispetto alle dimensioni dell’azienda.

La Legge italiana n. 132 del 2025

Il 23 settembre 2025, infatti, è stata pubblicata sulla Gazzetta Ufficiale la Legge n. 132, la prima normativa nazionale italiana sull’intelligenza artificiale.

Entrata in vigore il 10 ottobre 2025, non introduce obblighi generali ulteriori rispetto all’AI Act europeo, ma definisce la governance italiana e introduce regole settoriali specifiche.

Sul piano della governance, la legge designa l’Agenzia per la Cybersicurezza Nazionale (ACN) come autorità di vigilanza di mercato, con poteri di ispezione e applicazione delle sanzioni. AgID assume funzioni di notifica e accreditamento. Il Garante per la Protezione dei Dati Personali mantiene le proprie competenze sul trattamento dei dati personali attraverso sistemi AI. Un Comitato di coordinamento presso la Presidenza del Consiglio assicura l’integrazione tra le autorità.

Per le PMI, i contenuti più rilevanti riguardano due aree specifiche.

In materia di lavoro, la legge prevede che i lavoratori debbano essere informati quando si utilizza un sistema AI per decisioni che li riguardano — assunzione, valutazione della performance, cessazione del rapporto. Questa trasparenza non è solo un obbligo etico: è un requisito legale da integrare nelle procedure HR.

In materia di cybersicurezza, la legge rafforza il raccordo tra AI Act e Direttiva NIS2 (recepita in Italia con il D.Lgs. 138/2024). I sistemi AI critici devono essere parte integrante della gestione del rischio informatico aziendale.

L’AI Act, infine, non sostituisce il GDPR: si affianca ad esso. Ogni volta che un sistema AI tratta dati personali, valgono contemporaneamente entrambi i regolamenti.

Le aree di sovrapposizione più rilevanti per una PMI sono tre.

La valutazione d’impatto (DPIA). Quando si usa un sistema AI che presenta rischi elevati per i diritti delle persone — come un sistema di profilazione dei clienti o di selezione del personale — è probabile che sia necessaria una DPIA ai sensi dell’articolo 35 del GDPR, prima ancora di considerare gli obblighi specifici dell’AI Act.

La base giuridica del trattamento. Ogni elaborazione di dati personali da parte di un sistema AI deve avere una base giuridica valida: consenso, contratto, legittimo interesse, obbligo legale. Questa base deve essere documentata nel registro dei trattamenti.

L’articolo 22 del GDPR sulle decisioni automatizzate. Quando un sistema AI prende decisioni che producono effetti giuridici significativi sulla persona — il rifiuto di un credito, la mancata assunzione — l’interessato ha il diritto di ottenere un intervento umano e di contestare la decisione. Le aziende che si affidano a sistemi automatizzati per queste decisioni devono predisporre procedure che garantiscano questo diritto.

Va sottolineato che il Regolamento e la Legge italiana prevedono alcune misure di semplificazione per microimprese e piccole imprese.

L’AI Act dispone che le autorità nazionali tengano conto delle dimensioni e delle risorse delle PMI nel determinare le sanzioni e nel definire i meccanismi di supporto tecnico e formativo. La Commissione Europea e le autorità nazionali sono tenute a mettere a disposizione strumenti, template e linee guida semplificate per aiutare le PMI ad adempiere agli obblighi.

Queste semplificazioni non riducono gli obblighi sostanziali. Alleggeriscono l’onere amministrativo della documentazione e offrono un regime sanzionatorio proporzionato.

La Direttiva NIS2

La Direttiva NIS2, recepita in Italia dal D.Lgs. 138/2024, infine, impone a una fascia crescente di aziende — incluse molte PMI nei settori trasporti, energia, sanità, distribuzione alimentare — requisiti di gestione del rischio di cybersicurezza.

Quando un’azienda soggetta a NIS2 utilizza sistemi AI critici per la propria operatività, questi sistemi devono essere inclusi nella valutazione del rischio informatico, nelle politiche di sicurezza e nei piani di risposta agli incidenti.

Consigli pratici

Pur se il quadro normativo può sembrare complesso, per la maggior parte delle PMI che usano strumenti AI commerciali, però, l’adeguamento è più gestibile di quanto appaia.

Interessanti e utili sono 7 azioni elaborate sulla base delle indicazioni operative di ESM Italia (maggio 2026) e dell’art. 4 del Regolamento UE 2024/1689.”

1. Fare un inventario dei sistemi AI già in uso. Molte PMI non sanno quanti strumenti con funzionalità AI stanno già usando: software HR, CRM, piattaforme di email marketing, strumenti di customer service, gestionali. Mapparli tutti — con descrizione delle funzionalità AI e dei dati trattati — è il punto di partenza obbligatorio.
2. Classificare i sistemi per livello di rischio. Per ciascun sistema identificato, verificare se ricade in una delle categorie dell’AI Act: rischio inaccettabile (da eliminare subito), alto rischio (da documentare e presidiare), rischio limitato (gestire con obblighi di trasparenza), rischio minimo (nessun obbligo specifico aggiuntivo).
3. Aggiornare il registro dei trattamenti del GDPR includendo i trattamenti di dati personali effettuati attraverso sistemi AI. Se il registro non esiste, questo è il momento di crearlo.
4. Verificare che i chatbot e gli altri sistemi AI che interagiscono con persone esterne informino chiaramente gli utenti che stanno interagendo con un sistema automatizzato. È un obbligo in vigore dal 2 agosto 2026: meglio adeguarsi prima.
5. Controllare i sistemi HR. Se si usa un software AI per la selezione del personale o la valutazione delle performance, verificare con il fornitore se il sistema è classificato come ad alto rischio ai sensi dell’AI Act, e richiedere la documentazione tecnica e la dichiarazione di conformità.
6. Nominare un referente interno per la conformità all’AI. Non è ancora un obbligo formale per tutte le PMI, ma avere una persona di riferimento che conosce il quadro normativo e coordina gli adempimenti è una pratica di buona governance. Questa figura può coincidere con il DPO già nominato ai sensi del GDPR.
7. Formare il personale che usa sistemi AI. L’articolo 4 dell’AI Act prevede che i deployer garantiscano un livello sufficiente di alfabetizzazione AI ai dipendenti che interagiscono con questi sistemi. Non si tratta di trasformare tutti in esperti di data science, ma di assicurare che chi usa uno strumento AI ne comprenda i limiti, le potenzialità e le implicazioni etiche e legali.

Da quanto brevemente accennato emerge come l’AI è oggi una realtà ed ignorarne gli effetti vuol dire esporre l’impresa a rischi non prevedibili.

La vera variabile critica è spesso, però, Il fattore umano.

Non si tratta di paura della tecnologia in senso astratto, ma di preoccupazioni molto concrete: la paura di perdere il proprio ruolo, la diffidenza verso strumenti che sembrano togliere controllo, la fatica di imparare nuovi strumenti quando si è già occupati al 100%.

Gestire questa resistenza richiede comunicazione trasparente, coinvolgimento delle persone nei processi di selezione e implementazione degli strumenti, formazione adeguata. E soprattutto la dimostrazione concreta che l’AI non rimpiazza le persone, ma le libera da lavori ripetitivi e a basso valore.

Gli imprenditori che hanno avuto maggiore successo nell’adozione dell’AI sono quelli che hanno investito almeno quanto nella comunicazione interna e nella formazione quanto nella tecnologia stessa.

Sembra una contraddizione, ma, ancora una volta, la chiave di volta di tutto questo cambiamento non sono i progressi tecnologici, ma la capacità dell’uomo di utilizzarli al meglio.