L’AI Act non è più un tema del futuro
AI Act imprese: il tema non riguarda più soltanto il futuro. L’Intelligenza Artificiale è già entrata nei processi aziendali e il quadro normativo europeo è diventato una questione concreta per il management.
ChatGPT, Microsoft Copilot, chatbot, sistemi di recruiting, strumenti di marketing, software di analisi, piattaforme di customer care e applicazioni che generano testi, immagini o contenuti sono ormai utilizzati quotidianamente da organizzazioni di ogni dimensione.
Dal 2 agosto 2026, però, il quadro europeo ha compiuto un passaggio decisivo: l’AI Act è diventato generalmente applicabile e sono entrate in applicazione anche importanti disposizioni in materia di trasparenza.
La domanda per le imprese, quindi, non è più:
“Utilizzeremo l’Intelligenza Artificiale?”
La domanda è:
“Sappiamo realmente quale Intelligenza Artificiale stiamo già utilizzando e con quali responsabilità?”
Il primo problema: conoscere l’AI presente in azienda
In molte organizzazioni l’utilizzo dell’AI non nasce da un progetto centralizzato.
Un dipendente utilizza ChatGPT.
Il marketing adotta uno strumento generativo.
Le risorse umane utilizzano un software con funzionalità AI.
Un fornitore integra algoritmi all’interno di una piattaforma aziendale.
Il risultato può essere una diffusione dell’Intelligenza Artificiale che il management non conosce completamente.
Prima ancora di parlare di compliance, quindi, diventa necessario mappare gli strumenti AI utilizzati nell’organizzazione.
Quali sistemi utilizziamo? Per quali attività? Quali dati vengono trattati? Chi li utilizza? Sono strumenti acquistati direttamente o integrati nei software dei nostri fornitori?
Questa mappatura è il primo passo verso una vera AI Governance.
Per questo, nel rapporto tra AI Act e imprese, il primo passo non è necessariamente tecnologico o giuridico: è organizzativo.
Non tutte le applicazioni AI hanno lo stesso rischio
Uno dei principi fondamentali dell’AI Act è l’approccio basato sul rischio.
Questo significa che gli obblighi cambiano in funzione della tipologia di sistema e del suo utilizzo.
L’impiego dell’AI per generare una bozza di una comunicazione aziendale non presenta necessariamente le stesse implicazioni di un sistema utilizzato per selezionare candidati, prendere decisioni che incidono sulle persone o operare in determinati contesti sensibili.
Per questo non è sufficiente chiedersi se l’azienda utilizza l’AI.
Bisogna capire come la utilizza.
Le regole relative ad alcune categorie di sistemi AI ad alto rischio hanno inoltre un calendario specifico: per i sistemi dell’Allegato III l’applicazione è prevista dal 2 dicembre 2027, mentre per determinati sistemi AI incorporati in prodotti regolamentati dall’Allegato I è prevista dal 2 agosto 2028.
Trasparenza: dal 2 agosto 2026 cambia qualcosa di concreto
Le disposizioni dell’articolo 50 introducono obblighi di trasparenza per determinate applicazioni dell’Intelligenza Artificiale.
In alcuni casi gli utenti devono essere informati quando stanno interagendo con un sistema AI e sono previste regole specifiche per contenuti artificialmente generati o manipolati, inclusi determinati deepfake.
Questo significa che la compliance AI non riguarda soltanto chi sviluppa algoritmi.
Può interessare anche chi utilizza sistemi AI all’interno dei propri processi, servizi e comunicazioni.
AI, Privacy e Cybersecurity non possono essere gestite separatamente
Un altro errore sarebbe considerare l’AI Act come una normativa isolata.
L’utilizzo dell’Intelligenza Artificiale può coinvolgere contemporaneamente protezione dei dati personali, sicurezza informatica, proprietà intellettuale, contratti con i fornitori, responsabilità aziendale e organizzazione interna.
Pensiamo a un sistema AI al quale vengono caricati documenti aziendali.
Le domande diventano immediatamente molte:
Quali dati stiamo trasferendo? Dove vengono elaborati? Il fornitore può utilizzarli? Sono presenti dati personali? Informazioni riservate? Esistono adeguate garanzie contrattuali e di sicurezza?
Per questo l’AI Governance non dovrebbe essere considerata esclusivamente un progetto IT.
È un tema di governance aziendale.
Cosa dovrebbe fare oggi un’impresa?
Non tutte le aziende hanno bisogno di strutture complesse.
Ma praticamente ogni organizzazione che utilizza seriamente strumenti di Intelligenza Artificiale dovrebbe almeno conoscere il proprio livello di esposizione.
In questa prospettiva, AI Act e imprese devono essere affrontati attraverso un modello di governance capace di trasformare gli obblighi normativi in processi aziendali concreti.
Un percorso ragionevole può partire da cinque attività:
1. Mappare gli strumenti AI utilizzati
Comprendere quali sistemi sono presenti nell’organizzazione e chi li utilizza.
2. Classificare gli utilizzi
Distinguere gli strumenti a basso impatto dalle applicazioni che possono generare maggiori rischi.
3. Definire regole interne
Stabilire cosa può essere fatto con gli strumenti AI, quali informazioni possono essere utilizzate e quali controlli devono essere rispettati.
4. Verificare fornitori e contratti
L’AI entra spesso in azienda attraverso servizi di terze parti. La governance deve quindi coinvolgere anche la supply chain tecnologica.
5. Integrare AI, Privacy e Cybersecurity
Le tre dimensioni devono dialogare all’interno di un unico sistema di gestione del rischio.
Questi temi rientrano in un approccio più ampio alla governance giuridica dell’innovazione digitale, che richiede di integrare tecnologia, organizzazione, gestione del rischio e strategia d’impresa.
THE LEGAL BUSINESS PERSPECTIVE
La compliance non dovrebbe impedire all’impresa di utilizzare l’AI. Dovrebbe permetterle di utilizzarla meglio.
L’AI Act non deve essere letto esclusivamente come un nuovo insieme di obblighi.
Per le imprese può diventare l’occasione per capire dove, come e perché viene utilizzata l’Intelligenza Artificiale.
Un’organizzazione che conosce i propri strumenti, governa i dati, valuta i rischi e definisce responsabilità chiare può adottare l’AI con maggiore sicurezza e, soprattutto, con maggiore velocità.
La vera sfida non è scegliere tra innovazione e compliance.
È costruire una governance capace di rendere possibile entrambe.
Ed è esattamente qui che il diritto può diventare uno strumento di business.
Il diritto crea valore quando diventa parte della strategia.
Leg Desk affianca imprese e management nell’interpretazione delle trasformazioni normative, tecnologiche e organizzative, trasformando la complessità giuridica in decisioni consapevoli.
PARLIAMONE