AI Act 2026 spiegato semplice: cosa cambia per aziende e professionisti

La tua azienda usa ChatGPT, chatbot, strumenti per creare immagini o altri sistemi basati sull’intelligenza artificiale?

In questo caso è utile conoscere almeno le basi dell’AI Act, il regolamento europeo che stabilisce alcune regole per lo sviluppo e l’utilizzo dei sistemi di intelligenza artificiale.

Non significa che ogni azienda che usa l’AI abbia gli stessi obblighi. Dipende dal sistema utilizzato, da quello che fa, dai dati che riceve e dal modo in cui viene usato.

Utilizzare l’intelligenza artificiale per aiutare a scrivere una bozza, per esempio, è molto diverso dall’utilizzarla per selezionare candidati, valutare lavoratori o prendere decisioni che possono avere conseguenze importanti sulle persone.

Il punto di partenza è quindi semplice: prima di introdurre un sistema AI bisogna capire cosa farà, quali dati utilizzerà e quali persone saranno coinvolte.

Questo articolo ha finalità informative e non costituisce consulenza legale. L’applicazione dell’AI Act, del GDPR e delle altre normative dipende dal sistema utilizzato, dal ruolo dell’organizzazione e dal contesto concreto.

Che cos’è l’AI Act

L’AI Act è il regolamento dell’Unione Europea che stabilisce regole comuni sull’intelligenza artificiale. Il testo principale è il Regolamento (UE) 2024/1689, modificato anche dal Regolamento (UE) 2026/1744, conosciuto come Digital Omnibus on AI.

L’obiettivo non è vietare l’intelligenza artificiale. Le regole diventano più importanti soprattutto quando un sistema può creare rischi per la sicurezza, la salute o i diritti delle persone.

Il principio da ricordare è questo: più un sistema AI può avere conseguenze importanti sulle persone, maggiori possono essere gli obblighi da rispettare.

Non tutti gli utilizzi dell’AI hanno lo stesso rischio

L’AI Act utilizza un approccio basato sul rischio. In parole semplici, non tratta allo stesso modo tutti i sistemi e tutti i possibili utilizzi dell’intelligenza artificiale.

Esistono pratiche vietate, sistemi considerati ad alto rischio e sistemi per i quali sono previsti particolari obblighi di trasparenza. Esistono inoltre molti utilizzi ai quali non si applicano gli obblighi previsti per i sistemi ad alto rischio.

Questo significa che usare l’intelligenza artificiale non rende automaticamente un’azienda “ad alto rischio”. Bisogna capire cosa fa realmente il sistema e in quale situazione viene utilizzato.

Quali utilizzi dell’intelligenza artificiale sono vietati

Alcune pratiche sono considerate troppo rischiose e sono vietate. Il regolamento comprende, in determinate condizioni:

• sistemi che utilizzano tecniche manipolative o ingannevoli capaci di provocare un danno significativo;
• sistemi che sfruttano particolari vulnerabilità delle persone;
• determinate forme di social scoring;
• la raccolta indiscriminata di immagini da internet o da sistemi di videosorveglianza per creare o ampliare database di riconoscimento facciale;
• determinati sistemi di riconoscimento delle emozioni nei luoghi di lavoro e negli istituti di istruzione;
• alcune forme di categorizzazione biometrica utilizzate per dedurre caratteristiche sensibili delle persone.

Esistono inoltre regole molto rigide sull’identificazione biometrica remota in tempo reale negli spazi accessibili al pubblico per finalità di contrasto, con specifiche eccezioni previste dalla normativa.

Dal 2 dicembre 2026 si applicherà anche un nuovo divieto relativo a determinati sistemi utilizzati per generare o manipolare contenuti sessualmente espliciti o intimi non consensuali e materiale di abuso sessuale su minori.

Quando un sistema AI può essere considerato ad alto rischio

Alcuni sistemi possono incidere in modo importante sulla vita delle persone. Per questi casi l’AI Act prevede regole più severe.

Tra gli ambiti che possono comprendere sistemi ad alto rischio troviamo, per esempio, determinati utilizzi dell’AI per:

• selezionare candidati, valutare lavoratori o supportare determinate decisioni che riguardano il rapporto di lavoro;
• valutare persone in determinati contesti educativi;
• decidere o supportare l’accesso ad alcuni servizi essenziali;
• valutare l’affidabilità creditizia delle persone in determinate situazioni;
• gestire determinate funzioni legate a infrastrutture critiche.

Questo non significa che qualsiasi software utilizzato in questi settori sia automaticamente ad alto rischio. La classificazione dipende dalla funzione concreta del sistema e dal modo in cui viene utilizzato.

Quando le relative regole diventano applicabili, i sistemi realmente classificati ad alto rischio sono soggetti a requisiti più rigorosi. A seconda del ruolo dell’azienda possono entrare in gioco, per esempio, gestione dei rischi, supervisione umana, monitoraggio, registrazioni e corretto utilizzo del sistema.

Le principali regole per i sistemi ad alto rischio indicati nell’Allegato III si applicano dal 2 dicembre 2027. Per determinati sistemi ad alto rischio incorporati in prodotti regolamentati la data prevista è invece il 2 agosto 2028.

Chatbot sul sito: bisogna dire che è un’intelligenza artificiale?

Dal 2 agosto 2026 sono applicabili specifiche regole di trasparenza per determinati sistemi AI.

Quando un sistema è progettato per interagire direttamente con una persona, l’utente deve essere informato del fatto che sta interagendo con un sistema di intelligenza artificiale, salvo quando questo risulta già evidente dalle circostanze e dal contesto.

Un esempio concreto è un chatbot inserito nel sito di un’azienda. Se un visitatore potrebbe pensare di parlare con un operatore umano, è importante verificare come questa informazione viene comunicata e come viene presentata nell’interfaccia.

Per un sito web questo aspetto riguarda anche la progettazione tecnica: testi, messaggi, interfaccia e funzionamento del chatbot devono essere pensati insieme. Una comunicazione chiara può evitare confusione e aiutare l’utente a capire con che tipo di servizio sta interagendo.

Immagini create con l’AI e deepfake: cosa bisogna sapere

L’AI Act non vieta in generale l’utilizzo di immagini create con l’intelligenza artificiale. Bisogna però distinguere tra una normale immagine generata artificialmente e contenuti che possono far sembrare reale qualcosa che non lo è.

I fornitori di determinati sistemi che generano o manipolano immagini, audio, video o testi sintetici devono rendere gli output rilevabili come generati o modificati artificialmente attraverso soluzioni tecniche previste dal regolamento.

Questo non significa che ogni immagine generata con l’AI debba sempre mostrare una scritta visibile come “immagine creata con intelligenza artificiale”.

Un caso particolare riguarda i deepfake. In modo semplice, sono immagini, audio o video generati o manipolati dall’AI che assomigliano a persone, oggetti, luoghi, eventi o situazioni esistenti e possono apparire autentici o veritieri.

Quando un sistema AI viene utilizzato per creare o modificare un contenuto che costituisce un deepfake, il regolamento prevede specifici obblighi di trasparenza. Per opere artistiche, creative, satiriche o simili sono previste modalità particolari che tengono conto anche della natura del contenuto.

Se nelle immagini ci sono persone reali, entra in gioco anche il GDPR?

Può succedere. Se una fotografia o un altro contenuto permette di identificare una persona, possono essere applicabili anche le regole sulla protezione dei dati personali.

È importante quindi non confondere le due normative. L’AI Act e il GDPR non sono la stessa cosa: il primo disciplina determinati aspetti dell’intelligenza artificiale, mentre il secondo riguarda il trattamento dei dati personali.

Quando un sistema AI tratta dati personali, un’azienda può quindi dover considerare entrambe le normative e, in alcuni casi, anche altre regole applicabili.

Posso caricare PDF e documenti aziendali in ChatGPT o in un altro sistema AI?

L’AI Act non contiene una regola generale che vieta di caricare un PDF in ChatGPT o in un altro strumento di intelligenza artificiale. Il punto importante è capire cosa contiene il documento, perché quei dati devono essere utilizzati e come vengono trattati dal servizio scelto.

Un documento aziendale potrebbe contenere:

• nomi e cognomi;
• email e numeri di telefono;
• dati di clienti o fornitori;
• informazioni sui dipendenti;
• curriculum;
• contratti;
• dati finanziari;
• informazioni sanitarie;
• documenti di identità;
• informazioni riservate dell’azienda.

Prima di caricare un documento è quindi utile capire quali informazioni sono realmente necessarie. Se alcuni dati non servono per svolgere il lavoro, può essere opportuno rimuoverli o ridurli.

Per esempio, se l’obiettivo è chiedere a un sistema AI di analizzare la struttura di un contratto, potrebbero non essere necessari nomi, indirizzi, numeri di telefono o altre informazioni identificative presenti nel documento.

Questa parte riguarda soprattutto GDPR, protezione dei dati, sicurezza e regole interne dell’organizzazione. Non esiste un obbligo generale dell’AI Act che imponga di anonimizzare qualsiasi PDF prima di utilizzarlo con un sistema AI.

Bisogna inoltre ricordare che coprire visivamente un dato all’interno di un PDF non significa necessariamente averlo eliminato dal file. Se un’informazione deve essere rimossa, è importante verificare che non possa essere recuperata dal documento.

Quando sono coinvolti dati particolarmente delicati, come informazioni sanitarie, o documenti che contengono molti dati personali o informazioni riservate, serve maggiore attenzione. Può essere necessario verificare il servizio utilizzato e coinvolgere professionisti che si occupano di privacy, sicurezza o aspetti legali.

Anonimizzare e pseudonimizzare: cosa significa

Anonimizzare e pseudonimizzare non significano la stessa cosa.

Pseudonimizzare significa trattare i dati in modo che non possano essere collegati direttamente a una persona senza utilizzare altre informazioni conservate separatamente. Un esempio semplice può essere sostituire “Mario Rossi” con “Cliente 123” e conservare altrove il collegamento tra quel codice e la persona.

In questo caso il dato rimane personale, perché è ancora possibile risalire alla persona utilizzando le informazioni aggiuntive.

Anonimizzare significa invece rendere i dati realmente non riconducibili a una persona identificata o identificabile. Quando le informazioni sono davvero anonime, non sono più considerate dati personali ai fini della normativa europea sulla protezione dei dati.

Non basta quindi cancellare un nome, utilizzare delle iniziali o coprire graficamente una parte del documento per poter dire automaticamente che i dati sono stati anonimizzati.

Un testo scritto con l’AI deve sempre essere dichiarato?

No. L’AI Act non stabilisce una regola generale secondo cui qualsiasi testo realizzato con l’aiuto dell’intelligenza artificiale debba essere accompagnato da un’etichetta pubblica.

Esistono però obblighi specifici per determinati testi generati o manipolati dall’AI e pubblicati con lo scopo di informare il pubblico su questioni di interesse pubblico.

Il regolamento prevede anche un’eccezione quando il contenuto è stato sottoposto a revisione umana o controllo editoriale e una persona o un’organizzazione assume la responsabilità editoriale della pubblicazione.

Non è quindi corretto affermare semplicemente che “qualsiasi testo creato con ChatGPT deve sempre essere dichiarato”.

Quali sanzioni prevede l’AI Act?

L’AI Act prevede sanzioni amministrative che possono essere elevate, ma l’importo dipende dal tipo di violazione e dalle circostanze concrete.

Per la violazione delle pratiche vietate, le sanzioni possono arrivare fino a 35 milioni di euro o al 7% del fatturato mondiale totale annuo dell’esercizio precedente, secondo le regole previste dal regolamento.

Per la violazione di altri obblighi previsti dal regolamento, in determinati casi il limite può arrivare fino a 15 milioni di euro o al 3% del fatturato mondiale totale annuo.

Per le PMI, comprese le startup, il limite massimo è il valore più basso tra l’importo fisso e la percentuale prevista.

La sanzione concreta dipende comunque dalla situazione e dalla gravità della violazione. Questi importi non significano quindi che qualsiasi errore nell’utilizzo di uno strumento AI comporti automaticamente una multa di milioni di euro.

Quando si applica l’AI Act?

L’AI Act è entrato in vigore il 1° agosto 2024, ma le sue disposizioni diventano applicabili in momenti diversi.

Le principali date sono:

• 2 febbraio 2025: iniziano ad applicarsi le prime regole, comprese quelle sulle pratiche vietate e sull’AI literacy;
• 2 agosto 2025: diventano applicabili importanti disposizioni relative ai modelli di AI per finalità generali e alla governance;
• 2 agosto 2026: il regolamento diventa generalmente applicabile e diventano operative anche importanti regole di trasparenza;
• 2 dicembre 2026: entra in applicazione il nuovo divieto relativo a determinati contenuti intimi non consensuali e materiale di abuso sessuale su minori;
• 2 dicembre 2027: diventano applicabili le principali disposizioni relative ai sistemi ad alto rischio indicati nell’Allegato III;
• 2 agosto 2028: diventano applicabili le disposizioni relative a determinati sistemi ad alto rischio incorporati in prodotti regolamentati.

Quando si parla genericamente di “adeguarsi all’AI Act” è quindi importante capire quale regola riguarda il sistema utilizzato e da quale data si applica.

Integrare l’intelligenza artificiale in un sito o in un servizio digitale

Aggiungere un sistema AI a un sito o a un processo aziendale non significa soltanto scegliere uno strumento e collegarlo tecnicamente.

Un chatbot, per esempio, richiede di capire cosa potrà fare, quali informazioni riceverà, cosa dovrà comunicare agli utenti e come verranno gestiti i casi nei quali sarà necessario l’intervento di una persona.

Lo stesso vale per sistemi che elaborano documenti, generano contenuti o automatizzano alcune attività. Prima dell’implementazione può essere utile definire il funzionamento del servizio, gli accessi, i dati coinvolti e i controlli necessari.

Una progettazione più attenta può rendere il servizio più chiaro per chi lo utilizza e aiutare l’azienda a gestire meglio strumenti, dati e responsabilità.

Quando servono competenze tecniche e quando serve una valutazione legale

Integrare l’intelligenza artificiale in un sito, in un’applicazione o in un processo digitale può richiedere competenze diverse.

Come web developer possiamo intervenire sulla parte tecnica: integrazione degli strumenti AI, sviluppo di chatbot e interfacce, gestione dei flussi, accessi, modalità di interazione e altri aspetti del servizio digitale.

La parte tecnica, però, non sostituisce una valutazione legale. Quando bisogna stabilire quali obblighi si applicano, come trattare determinati dati personali o come interpretare una situazione specifica, può essere necessario coinvolgere un avvocato, un DPO o un altro professionista competente.

L’obiettivo è evitare di aggiungere l’intelligenza artificiale a un sito o a un processo soltanto perché la tecnologia è disponibile. Prima è utile capire cosa deve fare, come deve funzionare e quali aspetti devono essere considerati.

Se stai valutando di integrare l’intelligenza artificiale nel tuo sito o in un servizio digitale, possiamo analizzare la parte tecnica e capire quali interventi hanno realmente senso per il progetto.

Domande frequenti sull’AI Act

L’AI Act riguarda soltanto chi sviluppa intelligenza artificiale?

No. Può riguardare anche aziende, organizzazioni e professionisti che utilizzano determinati sistemi AI. Gli obblighi dipendono dal ruolo del soggetto, dal sistema e dal modo in cui viene utilizzato.

Un’immagine creata con l’AI deve sempre avere un’etichetta?

No. Non esiste una regola generale che imponga una scritta visibile su qualsiasi immagine generata con l’intelligenza artificiale. L’AI Act prevede però obblighi specifici di marcatura e trasparenza per determinati contenuti e regole particolari per i deepfake.

Se utilizzo un chatbot sul sito devo dire che è un’AI?

Per i sistemi progettati per interagire direttamente con le persone sono previste regole di trasparenza affinché l’utente sappia che sta interagendo con un sistema AI, salvo quando questo risulta già evidente dal contesto.