L’AI Act, ovvero il Regolamento (UE) 2024/1689, definisce le regole europee per lo sviluppo e l’utilizzo dell’intelligenza artificiale. Per le imprese, conoscere gli obblighi applicabili significa valutare i sistemi utilizzati, individuare i rischi e adottare procedure adeguate. Tra i temi centrali rientrano la formazione AI Literacy, gli obblighi di trasparenza e le sanzioni previste dal regolamento. Just Consulting affianca le aziende nel percorso verso una gestione dell’intelligenza artificiale consapevole e conforme alla normativa.

Che cos’è l’AI Act e cosa stabilisce il Regolamento (UE) 2024/1689?

Il Regolamento europeo sull’intelligenza artificiale (UE) 2024/1689, noto come AI Act o EU Artificial Intelligence Act, stabilisce un quadro normativo armonizzato per lo sviluppo, l’immissione sul mercato, la messa in servizio e l’utilizzo dei sistemi di intelligenza artificiale nell’Unione europea. Il testo ufficiale del Regolamento (UE) 2024/1689 definisce gli obblighi applicabili in funzione delle caratteristiche dei sistemi e del ruolo degli operatori.

La normativa adotta un approccio basato sul rischio: gli obblighi variano in funzione delle caratteristiche e delle finalità del sistema, oltre che dal ruolo svolto dall’organizzazione. L’AI Act riguarda quindi non soltanto chi sviluppa o commercializza soluzioni di intelligenza artificiale, ma anche le imprese che le utilizzano nei processi aziendali, ad esempio per la selezione del personale, il marketing, l’analisi dei dati o l’automazione delle attività.

A quali aziende si applica l’AI Act?

L’AI Act può riguardare le imprese che sviluppano, distribuiscono o utilizzano sistemi di intelligenza artificiale. Un’azienda che impiega uno strumento di IA nell’ambito delle proprie attività può assumere il ruolo di deployer, ossia utilizzatore del sistema, e deve verificare quali obblighi siano applicabili al proprio caso. La valutazione dipende dal sistema impiegato, dalla finalità d’uso e dal ruolo ricoperto dall’organizzazione. Per questo motivo, anche le PMI italiane devono considerare l’AI Act quando integrano l’intelligenza artificiale nei propri processi, senza presumere che l’utilizzo di strumenti già disponibili sul mercato le esenti automaticamente dagli obblighi previsti.

AI Act 2026: quali sono le scadenze e gli obblighi per le imprese?

L’applicazione dell’AI Act segue un calendario progressivo: il 2 agosto 2026 rappresenta una tappa importante, ma non coincide con l’entrata in applicazione di tutti gli obblighi previsti dal Regolamento (UE) 2024/1689. Le imprese devono distinguere le disposizioni già applicabili da quelle entrate in applicazione il 2 agosto 2026 e dagli obblighi soggetti a scadenze successive, verificando quali riguardino la propria attività. Gli adempimenti dipendono dal ruolo dell’organizzazione, dalle caratteristiche dei sistemi utilizzati e dalle finalità d’impiego dell’intelligenza artificiale.

AI Act: quali disposizioni si applicano dal 2 agosto 2026?

Dal 2 agosto 2026 diventano applicabili, tra le altre, le disposizioni relative agli obblighi di trasparenza previsti dall’articolo 50 e il quadro di vigilanza e applicazione delle norme pertinenti. Per i modelli di intelligenza artificiale per finalità generali (General-Purpose AI, o GPAI), occorre inoltre considerare gli obblighi specifici previsti per i soggetti interessati. La data non determina, tuttavia, l’applicazione indistinta di tutti i requisiti a ogni impresa: è necessario valutare il ruolo ricoperto e le disposizioni pertinenti a ciascun sistema.

Quali obblighi erano già applicabili e quali hanno scadenze successive?

Alcune disposizioni dell’AI Act sono applicabili dal 2 febbraio 2025, comprese quelle relative all’alfabetizzazione in materia di intelligenza artificiale e alle pratiche vietate, fatte salve le disposizioni con date specifiche. Dal 2 agosto 2025 sono diventati applicabili ulteriori obblighi, tra cui quelli relativi ai modelli GPAI. Per i sistemi di IA ad alto rischio, il calendario prevede invece scadenze successive: il 2 dicembre 2027 per i sistemi riconducibili all’allegato III e il 2 agosto 2028 per quelli disciplinati dall’allegato I. Le imprese devono quindi pianificare le verifiche considerando le date applicabili alla propria situazione, senza limitarsi alla sola scadenza del 2026.

Come si classificano i sistemi di intelligenza artificiale in base al livello di rischio?

Il Regolamento europeo sull’intelligenza artificiale adotta un approccio basato sul rischio, prevedendo obblighi diversi in funzione delle caratteristiche e delle finalità dei sistemi di IA. Per le imprese, classificare correttamente gli strumenti utilizzati è un passaggio importante per individuare le disposizioni applicabili e valutare le misure da adottare. L’AI Act distingue le pratiche vietate, i sistemi ad alto rischio e altri sistemi soggetti a specifici obblighi, tra cui quelli di trasparenza. La valutazione non dipende soltanto dalla tecnologia impiegata, ma soprattutto dall’utilizzo previsto e dal contesto in cui il sistema opera.

Quali sono le categorie di rischio previste dall’AI Act?

Il regolamento individua diverse categorie di sistemi e pratiche. Alcune pratiche di intelligenza artificiale sono vietate dall’articolo 5, mentre i sistemi classificati come ad alto rischio ai sensi dell’articolo 6 sono soggetti a requisiti specifici. Altri sistemi devono rispettare obblighi di trasparenza in determinate circostanze, come previsto dall’articolo 50. Non tutti gli strumenti di IA rientrano quindi nella stessa categoria: per stabilire quali obblighi si applichino occorre esaminare le finalità del sistema e le condizioni d’uso previste dal regolamento.

Quali pratiche di intelligenza artificiale sono vietate?

L’articolo 5 dell’AI Act vieta specifiche pratiche considerate incompatibili con la tutela dei diritti e della sicurezza delle persone, alle condizioni previste dalla normativa. Tra queste rientrano determinate forme di manipolazione o inganno dannose, alcune forme di sfruttamento delle vulnerabilità delle persone e specifici utilizzi di sistemi di valutazione sociale. Le imprese devono verificare che gli strumenti adottati e le modalità con cui vengono utilizzati non ricadano nei divieti applicabili, tenendo conto delle eccezioni e delle condizioni previste dal regolamento.

Quali obblighi riguardano i sistemi di IA ad alto rischio?

I sistemi di IA ad alto rischio sono individuati secondo i criteri dell’articolo 6 e gli ambiti previsti dall’allegato III, oltre ai sistemi integrati in determinati prodotti disciplinati dalla normativa europea richiamata dal regolamento. Possono riguardare, per esempio, specifici utilizzi dell’intelligenza artificiale nell’ambito della selezione del personale, dell’istruzione, delle infrastrutture critiche e dell’accesso a determinati servizi. Per questi sistemi sono previsti requisiti e responsabilità specifici, che possono comprendere gestione dei rischi, documentazione, supervisione umana e monitoraggio, in funzione del ruolo ricoperto e degli obblighi applicabili. La semplice presenza di uno strumento di IA in azienda non significa, di per sé, che si tratti di un sistema ad alto rischio: è necessario valutarne l’effettiva finalità d’uso.

Qual è il ruolo dell’azienda come fornitore o deployer?

Gli obblighi dipendono anche dal ruolo dell’organizzazione. Il fornitore sviluppa un sistema di IA o lo fa sviluppare e lo immette sul mercato o lo mette in servizio secondo le condizioni previste dal regolamento; il deployer utilizza un sistema sotto la propria autorità nell’ambito di un’attività professionale. Un’impresa può quindi essere soggetta a obblighi diversi a seconda delle attività svolte e del sistema interessato. Prima di adottare una soluzione di intelligenza artificiale è opportuno verificarne la finalità, le indicazioni del fornitore e le responsabilità che ricadono sull’organizzazione.

Che cosa significa AI Literacy secondo l’AI Act e chi deve essere formato?

La AI Literacy, o alfabetizzazione in materia di intelligenza artificiale, è disciplinata dall’articolo 4 del Regolamento (UE) 2024/1689. La disposizione richiede ai fornitori e ai deployer di sistemi di IA di adottare misure a sostegno dello sviluppo delle competenze del personale e delle altre persone che si occupano del funzionamento e dell’utilizzo di tali sistemi per loro conto. Le misure devono tenere conto delle conoscenze tecniche, dell’esperienza, dell’istruzione e della formazione delle persone coinvolte, oltre che del contesto in cui l’intelligenza artificiale viene utilizzata. Per le imprese, ciò significa promuovere un utilizzo consapevole degli strumenti di IA, aiutando le persone a comprenderne le funzionalità, i limiti e i rischi. L’articolo 4, nella versione consolidata, non impone di garantire uno specifico livello di alfabetizzazione a ogni singolo individuo, ma richiede misure adeguate al contesto aziendale.

Quali dipendenti e collaboratori devono essere coinvolti nella formazione?

Il percorso di AI Literacy in azienda dovrebbe coinvolgere le persone che utilizzano o gestiscono sistemi di intelligenza artificiale per conto dell’organizzazione, con modalità coerenti con le attività svolte. A seconda del contesto, possono essere interessati dirigenti e management, personale amministrativo e operativo, risorse umane, marketing, comunicazione, commerciale, IT e specialisti dei dati. Anche altri collaboratori possono rientrare nel perimetro, quando si occupano del funzionamento o dell’utilizzo dei sistemi per conto dell’impresa. Non è necessario prevedere lo stesso percorso per tutti: contenuti e approfondimenti possono essere differenziati in base alle competenze richieste, alle responsabilità e alle modalità con cui ciascun ruolo utilizza l’intelligenza artificiale.

Come organizzare un percorso di AI Literacy efficace in azienda?

Per sviluppare un programma di formazione sull’intelligenza artificiale coerente con l’articolo 4, l’impresa può partire dalla ricognizione degli strumenti utilizzati e delle competenze necessarie nei diversi ruoli. È quindi possibile pianificare interventi formativi differenziati, definire regole interne sull’uso degli strumenti autorizzati, sulla riservatezza dei dati e sulla verifica dei risultati generati dall’IA, oltre a prevedere aggiornamenti in funzione dell’evoluzione delle tecnologie e dei processi aziendali. Esercitazioni pratiche e verifiche dell’apprendimento possono aiutare a valutare l’efficacia delle iniziative. La progettazione deve rimanere proporzionata al contesto e alle esigenze dell’azienda, senza ridursi a una formazione generica slegata dagli utilizzi effettivi dell’intelligenza artificiale.

Esistono un numero minimo di ore o un attestato obbligatorio?

L’articolo 4 non stabilisce un numero minimo universale di ore di formazione né impone uno specifico attestato o una certificazione obbligatoria per tutti i dipendenti. Richiede invece ai fornitori e ai deployer di adottare misure a sostegno dello sviluppo dell’alfabetizzazione in materia di IA, considerando le caratteristiche delle persone coinvolte e il contesto d’uso. Le imprese possono documentare le attività svolte attraverso programmi, materiali, registri delle presenze ed eventuali verifiche dell’apprendimento, come evidenze utili del percorso adottato. La scelta delle modalità formative e della documentazione dovrebbe essere coerente con le esigenze aziendali e con gli ulteriori obblighi eventualmente applicabili.

Come dimostrare che l’azienda ha adempiuto agli obblighi di formazione sull’AI Act?

Per dimostrare le misure adottate in materia di AI Literacy, le imprese possono conservare una documentazione interna delle attività formative e delle altre iniziative realizzate per sviluppare le competenze sull’intelligenza artificiale. L’articolo 4 del Regolamento (UE) 2024/1689, nella versione aggiornata, non impone uno specifico certificato né prescrive un modello documentale unico. È tuttavia utile mantenere evidenze coerenti con le iniziative svolte, così da poter ricostruire il percorso adottato e le modalità con cui è stato adattato al contesto aziendale.

Quali evidenze formative è utile conservare?

L’organizzazione può predisporre un registro interno delle attività di AI Literacy, contenente, ad esempio, i programmi dei corsi, i materiali utilizzati, le date delle iniziative, le presenze e gli eventuali risultati delle verifiche dell’apprendimento. È inoltre utile indicare i destinatari delle attività e gli strumenti o i processi aziendali a cui la formazione è riferita. Questi elementi consentono di documentare le misure effettivamente adottate senza confondere le buone pratiche organizzative con obblighi documentali specifici non previsti dall’articolo 4.

Come aggiornare la formazione in base ai sistemi utilizzati e ai rischi?

La documentazione dovrebbe essere riesaminata quando cambiano gli strumenti di intelligenza artificiale utilizzati, le mansioni del personale o le modalità operative dell’organizzazione. L’impresa può così verificare se le competenze sviluppate siano ancora pertinenti e se siano necessarie nuove iniziative formative. Un approccio strutturato alla formazione sull’intelligenza artificiale in azienda permette di collegare le attività svolte agli utilizzi effettivi dei sistemi e di mantenere traccia delle misure adottate nel tempo.

Quali obblighi di trasparenza prevede l’AI Act per chatbot, deepfake e contenuti generati dall’AI?

Dal 2 agosto 2026 si applicano gli obblighi di trasparenza previsti dall’articolo 50 dell’AI Act, che riguardano specifici sistemi di intelligenza artificiale e determinate modalità di utilizzo. Le disposizioni distinguono gli obblighi dei fornitori da quelli degli utilizzatori (deployer) e interessano, tra gli altri, i sistemi interattivi, i contenuti sintetici, i deepfake e alcune pubblicazioni testuali. Per le imprese è quindi importante verificare come vengono utilizzati gli strumenti di IA e quali informazioni devono essere fornite alle persone coinvolte, tenendo conto delle eccezioni previste dal regolamento.

Per approfondire l’applicazione pratica di queste disposizioni, consulta le indicazioni della Commissione europea sugli obblighi di trasparenza dell’AI Act.

Quando è necessario informare le persone che interagiscono con un sistema di AI?

I fornitori devono progettare i sistemi destinati a interagire direttamente con le persone in modo che queste siano informate dell’interazione con un sistema di intelligenza artificiale, salvo quando ciò risulti evidente nel contesto d’uso. L’obbligo può riguardare, ad esempio, chatbot, assistenti virtuali e altri sistemi interattivi. L’informazione deve essere fornita in modo chiaro e distinguibile, al più tardi al momento della prima interazione, nel rispetto delle condizioni e delle eccezioni previste dall’articolo 50.

Quali obblighi riguardano i contenuti generati o manipolati artificialmente?

I fornitori dei sistemi di IA che generano contenuti audio, immagini, video o testi sintetici devono assicurare, nei casi previsti, che i risultati siano contrassegnati in un formato leggibile meccanicamente e rilevabili come generati o manipolati artificialmente. L’obbligo riguarda le soluzioni tecniche adottate dai fornitori e prevede eccezioni, tra cui determinati utilizzi di assistenza all’editing standard. Per le aziende che utilizzano strumenti generativi è quindi opportuno verificare le funzionalità disponibili e le indicazioni del fornitore, distinguendo gli obblighi tecnici di marcatura da quelli di comunicazione a carico degli utilizzatori.

Come gestire deepfake e testi generati dall’AI destinati al pubblico?

I deployer che utilizzano sistemi di IA per generare o manipolare contenuti che costituiscono deepfake devono dichiararne la natura artificiale secondo le modalità previste dal regolamento. Sono inoltre previsti obblighi per i testi generati o manipolati artificialmente e pubblicati con lo scopo di informare il pubblico su questioni di interesse pubblico, con un’eccezione quando il contenuto è sottoposto a revisione umana o controllo editoriale e una persona fisica o giuridica assume la responsabilità editoriale della pubblicazione. Per le imprese che operano nel marketing, nella comunicazione e nella produzione di contenuti, è quindi utile definire procedure interne per verificare i materiali pubblicati e stabilire quando sia necessaria una dichiarazione sull’utilizzo dell’intelligenza artificiale.

Quali sanzioni prevede l’AI Act per le imprese?

Il sistema sanzionatorio dell’AI Act prevede importi differenziati in funzione della violazione commessa. L’articolo 99 del Regolamento (UE) 2024/1689 stabilisce tre principali fasce di sanzioni amministrative pecuniarie, con massimali che possono raggiungere importi significativi. La sanzione effettivamente applicabile dipende dalle circostanze del caso e dai criteri previsti dal regolamento: gli importi massimi non costituiscono quindi sanzioni automatiche per ogni violazione.

Quali sono gli importi massimi delle sanzioni previste dal regolamento?

Le principali fasce sanzionatorie previste dall’articolo 99 sono le seguenti: Violazione dei divieti relativi alle pratiche di IA (articolo 5): fino a 35 milioni di euro oppure, se superiore, fino al 7% del fatturato mondiale annuo totale dell’esercizio precedente. Violazione di determinati obblighi degli operatori, compresi quelli relativi alla trasparenza previsti dall’articolo 50: fino a 15 milioni di euro oppure, se superiore, fino al 3% del fatturato mondiale annuo totale dell’esercizio precedente. Fornitura di informazioni inesatte, incomplete o fuorvianti alle autorità competenti o agli organismi notificati in risposta a una richiesta: fino a 7,5 milioni di euro oppure, se superiore, fino all’1% del fatturato mondiale annuo totale dell’esercizio precedente.

Come si applicano le sanzioni a PMI e start-up?

Per le piccole e medie imprese (PMI), comprese le start-up, l’articolo 99, paragrafo 6, prevede che la sanzione non superi il minore tra l’importo fisso massimo e la percentuale del fatturato applicabile. La valutazione deve inoltre considerare le circostanze pertinenti, tra cui la natura, la gravità e la durata della violazione e le sue conseguenze. Le imprese devono quindi evitare di interpretare i massimali come importi automaticamente applicabili, ma considerare la necessità di individuare e gestire tempestivamente gli obblighi pertinenti.

Quali altri rischi aziendali derivano dalla mancata conformità?

Oltre alle possibili sanzioni previste dall’AI Act, una gestione inadeguata dell’intelligenza artificiale può esporre l’impresa a criticità operative e reputazionali, contestazioni e difficoltà nei rapporti con clienti e partner. Un sistema di governance adeguato permette di individuare gli utilizzi non conformi, assegnare responsabilità e definire procedure di controllo. In questo percorso, la formazione del personale sull’intelligenza artificiale contribuisce a promuovere un uso consapevole degli strumenti e ad applicare correttamente le procedure interne.

Come applicare l’AI Act a una piccola o media impresa italiana?

Per applicare l’AI Act in azienda, anche una PMI dovrebbe partire dagli strumenti di intelligenza artificiale effettivamente utilizzati e dagli obblighi pertinenti al proprio ruolo. Un percorso di adeguamento può comprendere la mappatura dei sistemi, la verifica delle finalità d’uso, l’individuazione dei rischi e la definizione di procedure interne. L’obiettivo è integrare la conformità normativa nei processi aziendali senza introdurre misure sproporzionate rispetto alle caratteristiche dell’organizzazione.

Quali verifiche deve effettuare l’azienda?

Una prima verifica consiste nel censire gli strumenti di IA utilizzati nelle diverse funzioni, comprese le applicazioni adottate direttamente dal personale. Per ciascun sistema è utile identificare il fornitore, la finalità, gli utilizzatori e gli eventuali rischi, per poi determinare il ruolo dell’impresa e gli obblighi applicabili. Occorre inoltre verificare che gli utilizzi non rientrino nelle pratiche vietate e valutare gli eventuali requisiti di trasparenza. Le verifiche devono essere proporzionate ai sistemi e alle attività coinvolte.

Come introdurre l’intelligenza artificiale in azienda nel rispetto dell’AI Act?

L’introduzione dell’intelligenza artificiale in azienda richiede anche regole chiare sull’utilizzo degli strumenti, sulla riservatezza delle informazioni e sulla verifica dei risultati generati. È opportuno individuare le responsabilità interne, stabilire quali applicazioni siano autorizzate e prevedere controlli periodici, soprattutto quando cambiano i sistemi o le modalità di utilizzo. La formazione AI Literacy completa questo percorso, aiutando il personale a comprendere i limiti delle tecnologie e ad applicarle in modo consapevole. Le misure adottate possono essere documentate attraverso procedure, valutazioni e registrazioni delle attività svolte, in funzione delle esigenze organizzative e degli obblighi effettivamente applicabili.

Checklist operativa per preparare l’impresa

Censire i sistemi di intelligenza artificiale utilizzati, comprese le applicazioni adottate autonomamente dal personale. Verificare il ruolo dell’organizzazione e gli obblighi previsti per ciascun sistema. Controllare gli utilizzi rispetto ai divieti dell’articolo 5 e agli eventuali requisiti applicabili ai sistemi ad alto rischio. Valutare gli obblighi di trasparenza relativi a chatbot, contenuti sintetici e deepfake. Pianificare iniziative di AI Literacy adeguate alle competenze e alle mansioni del personale. Definire procedure interne per l’utilizzo degli strumenti e la gestione delle informazioni. Conservare evidenze delle valutazioni e delle misure adottate, ove opportuno. Programmare verifiche periodiche in caso di cambiamenti tecnologici, organizzativi o normativi. Questa checklist costituisce una base di partenza e non sostituisce una valutazione specifica degli obblighi applicabili alla singola impresa.

Come può aiutare Just Consulting le imprese nell’adeguamento all’AI Act?

Adeguarsi all’AI Act significa tradurre gli obblighi normativi in procedure, responsabilità e competenze coerenti con le attività aziendali. Just Consulting affianca le imprese attraverso servizi di consulenza e formazione, con percorsi formativi personalizzati che possono essere calibrati sulle esigenze organizzative e sugli strumenti di intelligenza artificiale utilizzati. Per sviluppare le competenze gestionali necessarie ad accompagnare l’innovazione aziendale, è possibile approfondire anche i percorsi di formazione manageriale. Dalla valutazione delle competenze interne alla pianificazione della formazione, l’obiettivo è favorire un utilizzo dell’IA consapevole e integrato nei processi aziendali.

Come scegliere un corso di intelligenza artificiale per la propria azienda?

I corsi di intelligenza artificiale offrono alle imprese l’opportunità di comprendere e utilizzare queste tecnologie in modo più efficace nei processi lavorativi. La scelta del percorso formativo dipende dalle applicazioni adottate in azienda e dalle competenze necessarie per sfruttarne le potenzialità.

La formazione può essere differenziata in base agli obiettivi e ai ruoli professionali coinvolti. Il corso base di alfabetizzazione all’intelligenza artificiale – AI Literacy e conformità all’AI Act (art. 4) è dedicato alle conoscenze essenziali per comprendere opportunità, limiti e rischi dell’intelligenza artificiale nel contesto lavorativo. Per esigenze più specifiche, Just Consulting propone anche un corso di intelligenza artificiale applicata al marketing e un corso di intelligenza artificiale applicata all’analisi dei processi aziendali. Per consultare l’offerta completa e individuare altri percorsi adatti alle esigenze della propria impresa, è possibile visitare il catalogo formativo di Just Consulting.

Perché integrare AI Literacy e governance aziendale?

Integrare la formazione AI Literacy nelle attività aziendali aiuta a sviluppare competenze coerenti con gli strumenti utilizzati e a promuovere comportamenti responsabili. Affiancare la formazione a procedure interne, verifiche periodiche e una chiara individuazione delle responsabilità consente di affrontare in modo più strutturato le esigenze di conformità e l’evoluzione tecnologica. Il percorso deve essere calibrato sulle caratteristiche dell’azienda e sugli obblighi effettivamente applicabili, senza considerare un singolo corso sufficiente, da solo, a garantire la conformità all’intero AI Act.

Prepara la tua azienda all’AI Act con Just Consulting

Conoscere gli obblighi dell’AI Act è il primo passo per integrare l’intelligenza artificiale nei processi aziendali in modo consapevole e responsabile. Con Just Consulting, puoi valutare le esigenze della tua organizzazione, sviluppare le competenze del personale attraverso percorsi di formazione AI Literacy e individuare le soluzioni più adatte al tuo contesto operativo.

Vuoi preparare la tua azienda all’AI Act 2026? Per approfondire le esigenze della tua impresa e valutare un percorso di consulenza e formazione sull’intelligenza artificiale, contatta Just Consulting e richiedi una consulenza personalizzata.