AI Act per le aziende: guida pratica alla compliance, dall’AI Literacy alla governance

L’intelligenza artificiale è ormai una componente integrante dei processi aziendali. Strumenti come assistenti virtuali, piattaforme di analisi predittiva, sistemi di videosorveglianza intelligente, applicazioni HR e soluzioni di Generative AI stanno contribuendo ad aumentare produttività, efficienza e capacità decisionale.

Per garantire che questa evoluzione avvenga in un contesto di sicurezza, trasparenza e tutela dei diritti fondamentali, l’Unione Europea ha introdotto l’AI Act (Artificial Intelligence Act), la prima normativa al mondo dedicata alla regolamentazione dell’intelligenza artificiale. Axitea ne aveva parlato successivamente all’approvazione definitiva del testo nell’approfondimento dedicato all’Artificial Intelligence ACT e agli impatti per le imprese italiane.

Per molte organizzazioni il tema viene ancora percepito come un futuro adempimento normativo. In realtà, alcune disposizioni sono già in vigore e la conformità al regolamento europeo sull’intelligenza artificiale sta rapidamente diventando un fattore distintivo nelle relazioni con clienti, partner, pubbliche amministrazioni e stakeholder.

Chi deve adeguarsi all’AI Act?

Uno degli errori più comuni è pensare che la normativa riguardi esclusivamente chi sviluppa sistemi di intelligenza artificiale.
Il regolamento UE sull’AI individua diversi soggetti coinvolti lungo l’intero ciclo di vita delle soluzioni di intelligenza artificiale.

Provider

Sono le organizzazioni che sviluppano o immettono sul mercato sistemi di intelligenza artificiale con il proprio marchio.

Rientrano in questa categoria:

• produttori di software basati su AI;
• sviluppatori di modelli e piattaforme di intelligenza artificiale;
• aziende che commercializzano soluzioni AI proprietarie.

Deployer

Sono le organizzazioni che utilizzano sistemi AI nell’ambito della propria attività professionale. È il caso della maggior parte delle aziende italiane che utilizzano ad esempio ChatGPT, Copilot o altri assistenti di Generative AI.

Importatori

Sono i soggetti che introducono nel mercato europeo sistemi AI sviluppati in Paesi extra UE, assumendosi specifiche responsabilità sulla conformità normativa.

Distributori

Sono gli operatori che distribuiscono o rivendono sistemi di intelligenza artificiale già immessi sul mercato.

Per la maggior parte delle imprese italiane il ruolo più frequente è quello di deployer. Questo significa che anche il semplice utilizzo di strumenti AI comporta responsabilità, obblighi di controllo e attività di governance.

L’approccio basato sul rischio: il cuore dell’AI Act

La logica dell’AI Act è semplice: maggiore è il potenziale impatto di un sistema sui diritti delle persone, maggiori saranno gli obblighi previsti dalla normativa.

Per questo motivo i sistemi AI vengono classificati in quattro livelli di rischio.

Sistemi a rischio inaccettabile

Sono considerati incompatibili con i valori e i diritti fondamentali dell’Unione Europea e risultano vietati.

Tra gli esempi più rilevanti troviamo:

• sistemi di social scoring utilizzati per classificare i cittadini;
• tecniche manipolative che influenzano il comportamento delle persone senza che ne siano consapevoli;
• sfruttamento delle vulnerabilità di minori, anziani o persone fragili;
• specifiche forme di identificazione biometrica considerate particolarmente invasive.

Sistemi ad alto rischio

Sono applicazioni che possono incidere in modo significativo sulla vita, sulle opportunità o sulla sicurezza delle persone.

Esempi tipici:

• sistemi utilizzati per la selezione del personale;
• strumenti di valutazione dei dipendenti;
• applicazioni per l’accesso al credito;
• sistemi utilizzati in ambito sanitario;
• infrastrutture critiche;
• istruzione e formazione;
• applicazioni utilizzate dalle pubbliche amministrazioni.

Per queste tecnologie sono richiesti specifici requisiti in materia di gestione del rischio, supervisione umana, qualità dei dati, documentazione tecnica e controlli di conformità.

Sistemi a rischio limitato

Comprendono soluzioni per cui il principale obbligo è la trasparenza verso l’utente.

Ad esempio:

• chatbot;
• assistenti virtuali;
• strumenti di generazione automatica dei contenuti;
• sistemi che producono immagini, audio o video sintetici.

L’utente deve essere chiaramente informato quando interagisce con un sistema AI.

Sistemi a rischio minimo

Rappresentano la maggior parte delle applicazioni oggi diffuse nelle organizzazioni.

Alcuni esempi:

• filtri antispam;
• sistemi di raccomandazione;
• funzioni AI integrate in strumenti di produttività;
• motori di suggerimento e classificazione automatica.

Per queste categorie gli obblighi normativi sono limitati.

La roadmap dell’AI Act: le principali tappe

L’entrata in applicazione del regolamento avviene in modo graduale.

Le principali scadenze previste sono:

• Agosto 2024: entrata in vigore dell’AI Act.
• Febbraio 2025: applicazione dei divieti relativi ai sistemi vietati e introduzione degli obblighi di AI Literacy.
• Agosto 2025: entrata in vigore delle disposizioni dedicate ai modelli di intelligenza artificiale per finalità generali (GPAI).
• Agosto 2026: applicazione della maggior parte degli obblighi previsti dalla normativa.
• Agosto 2027: completamento del quadro regolatorio per specifiche categorie di sistemi ad alto rischio.

Per le aziende questo significa che il percorso di adeguamento è già iniziato e che attendere le ultime scadenze potrebbe esporre l’organizzazione a rischi operativi e normativi.

AI Literacy: la formazione diventa un obbligo

Tra gli aspetti più innovativi introdotti dall’AI Act vi è il concetto di AI Literacy.

Le organizzazioni devono garantire che le persone che utilizzano strumenti di intelligenza artificiale possiedano competenze adeguate per comprenderne funzionamento, opportunità, limiti e rischi.

Non si tratta di una semplice sensibilizzazione, ma di un approccio strutturato che dovrebbe includere:

• formazione specifica sugli strumenti utilizzati;
• conoscenza dei rischi legati ai dati e alla privacy;
• consapevolezza sui limiti dell’AI generativa;
• documentazione delle attività formative svolte.

Per molte aziende rappresenta il primo e più immediato passo verso la compliance.

La Legge 132/2025 e il quadro normativo italiano

Accanto all’AI Act si inserisce anche la Legge 132/2025, che contribuisce a definire il sistema nazionale di governance dell’intelligenza artificiale.

La norma rafforza il coordinamento tra le istituzioni italiane e il regolamento europeo, individuando autorità competenti, funzioni di controllo e attività di vigilanza.

Per le imprese questo significa che la conformità deve essere valutata considerando sia gli obblighi derivanti dal quadro europeo sia le specifiche disposizioni introdotte a livello nazionale.

L’approccio alla governance dell’intelligenza artificiale non può quindi limitarsi a una semplice verifica normativa, ma richiede una visione più ampia che coinvolga aspetti organizzativi, tecnologici e di gestione del rischio.

Rischi e sanzioni: perché non conviene aspettare

Le conseguenze di una mancata conformità possono essere rilevanti. L’AI Act prevede sanzioni amministrative che possono arrivare fino a:

• 35 milioni di euro o il 7% del fatturato globale annuo per le violazioni più gravi, cioè quelle relative a sistemi proibiti (art. 5 AI Act), raddoppiabile in caso di danno a soggetti vulnerabili;
• 15 milioni di euro o il 3% del fatturato globale annuo per le violazioni degli obblighi di sistemi ad alto rischio (art. 8-15 AI Act);
• 7,5 milioni di euro o l’1,5% del fatturato globale annuo per informazioni false, inesatte, incomplete o fuorvianti fornite alle autorità competenti.

Tuttavia il rischio non è soltanto economico.

Un utilizzo non governato dell’intelligenza artificiale può comportare:

• esposizione di dati aziendali sensibili;
• decisioni errate o discriminatorie;
• problematiche legate alle risorse umane;
• perdita di fiducia da parte di clienti e partner;
• danni reputazionali difficili da recuperare.

Come dimostrato dall’esperienza del GDPR, le conseguenze reputazionali possono spesso avere un impatto superiore rispetto alle stesse sanzioni economiche.

Dalla compliance al vantaggio competitivo

Le organizzazioni più mature stanno affrontando l’AI Act non come un semplice obbligo normativo, ma come una leva strategica.

Sempre più grandi imprese richiedono infatti evidenze di governance e conformità AI durante i processi di qualifica dei fornitori. Lo stesso fenomeno si sta consolidando nel settore pubblico, dove i requisiti legati alla gestione sicura dell’intelligenza artificiale sono destinati ad assumere un peso crescente nelle gare e negli appalti.

Essere in grado di dimostrare un utilizzo responsabile dell’AI consente di:

• aumentare la fiducia di clienti e stakeholder;
• migliorare il livello di controllo sui processi aziendali;
• ridurre il rischio operativo e reputazionale;
• qualificarsi più facilmente presso grandi aziende e organizzazioni regolamentate;
• prepararsi ai requisiti richiesti da gare pubbliche e appalti;
• accelerare l’adozione dell’intelligenza artificiale in condizioni di maggiore sicurezza.
• In altre parole, la compliance AI può diventare un vero fattore competitivo e non semplicemente un costo da sostenere.

Come prepararsi all’AI Act in 5 passi

Per molte aziende il percorso verso la conformità può partire da attività concrete e progressive.

Un approccio efficace dovrebbe prevedere:

1. Mappatura di tutti i sistemi AI presenti in azienda (AI Inventory).
2. Classificazione delle soluzioni in base al livello di rischio previsto dall’AI Act.
3. Definizione di policy e procedure di AI Governance.
4. Attivazione di programmi strutturati di AI Literacy e formazione del personale.
5. Verifica della conformità di fornitori, applicazioni e processi aziendali che utilizzano l’intelligenza artificiale.

La sfida dei prossimi anni non sarà semplicemente utilizzare l’AI, ma farlo in modo sicuro, trasparente e conforme. Le aziende che inizieranno oggi questo percorso saranno le stesse che domani potranno cogliere con maggiore rapidità le opportunità offerte dall’innovazione, trasformando un obbligo normativo in un vantaggio competitivo concreto.

________________________________________

FAQ

Qual è la differenza tra provider e deployer?

Il provider sviluppa o commercializza un sistema di intelligenza artificiale, mentre il deployer lo utilizza nell’ambito della propria attività professionale.

Un’azienda che utilizza ChatGPT o Microsoft Copilot deve adeguarsi all’AI Act?

Nella maggior parte dei casi sì. L’organizzazione viene considerata deployer e deve rispettare gli obblighi applicabili al proprio contesto operativo.

La formazione sull’intelligenza artificiale è obbligatoria?

Sì. L’AI Act introduce specifici obblighi di AI Literacy per garantire che chi utilizza sistemi AI disponga di competenze adeguate.

Qual è il primo passo verso la conformità al regolamento UE sull’intelligenza artificiale?

La mappatura dei sistemi di intelligenza artificiale utilizzati in azienda, seguita dalla valutazione del livello di rischio associato a ciascuna soluzione.