AI Act, GDPR e obblighi: chi fa cosa

Questa pagina non è un parere legale.

È la legge europea sull'intelligenza artificiale, il Regolamento (UE) 2024/1689. Dice cosa è vietato, cosa richiede più cautele e cosa va detto alle persone. Riguarda chi fornisce i sistemi e chi li usa in azienda. Non sostituisce il GDPR, il regolamento europeo sulla privacy: si affianca.

L'AI Act è in vigore dal 1° agosto 2024 e si applica a tappe. I divieti valgono dal 2 febbraio 2025. Dal 2 agosto 2026 vale l'obbligo di dire alle persone che parlano con un'AI.

Per i sistemi ad alto rischio le date sono state spostate dal cosiddetto «omnibus digitale sull'AI» (Regolamento UE 2026/1744), in vigore dal 27 luglio 2026. Per i casi dell'allegato III, come la selezione del personale, la data è il 2 dicembre 2027. Per l'AI inserita in prodotti regolati, come macchinari e dispositivi medici, è il 2 agosto 2028.

Conviene comunque prepararsi ora, perché criteri scritti, registro e supervisione servono già oggi per il GDPR.

È il Regolamento (UE) 2016/679 sulla protezione dei dati personali. Regola la base giuridica, i diritti delle persone, le misure di sicurezza e i rapporti tra titolare e responsabile del trattamento. Se usate l'AI su dati personali, il GDPR continua a valere. L'AI Act aggiunge gli obblighi propri dei sistemi di intelligenza artificiale.

Se comprate e usate il sistema in azienda, siete utilizzatori. Noi che lo costruiamo e lo mettiamo a disposizione siamo fornitori. Gli obblighi si dividono: alcuni spettano a noi, altri restano a voi. Li elenchiamo per iscritto nel progetto.

Per esempio la manipolazione che sfrutta le debolezze delle persone, i punteggi sociali usati per penalizzarle, il riconoscimento delle emozioni sul lavoro salvo eccezioni strette. Se un fornitore propone di «capire dal volto se il candidato mente», la risposta è no: è una pratica vietata.

Se il sistema influenza chi passa avanti, rientra tra i sistemi ad alto rischio (allegato III). Servono supervisione umana effettiva, informativa, registro, documentazione e la possibilità di contestare. Questi obblighi si applicano dal 2 dicembre 2027, dopo il rinvio europeo. Il GDPR invece vale già, compreso l'art. 22 sulle decisioni automatizzate. Decide sempre una persona: la piattaforma aiuta, non assume.

Sì, in proporzione al ruolo. L'AI Act chiede di sostenere la formazione di chi usa i sistemi; con le modifiche del 2026 l'obbligo è stato attenuato, ma resta la base di un uso corretto. Non serve un corso infinito. Servono i limiti del sistema, l'obbligo di dire che è un'AI, quando passare a una persona e come segnalare errori. La formazione si documenta, per operatori e supervisori.

Prepariamo documentazione, limiti d'uso, funzioni di supervisione, registri, informative tipo e istruzioni, insieme alle misure tecniche e organizzative concordate. Sosteniamo il lavoro del vostro responsabile della protezione dei dati (DPO), senza sostituire il vostro legale. Vi mettiamo in condizione di decidere e di dimostrare ciò che avete fatto.

• Usare il sistema secondo le istruzioni.
• Nominare chi supervisiona.
• Informare i dipendenti e, dove serve, candidati o clienti.
• Tenere i registri.
• Verificare la qualità dei dati che inserite.
• Prendere le decisioni e firmarle.
• Chiedere al vostro legale un parere sui punti dubbi.

Sì, quando una persona interagisce con un'AI. Lo chiede l'art. 50 dell'AI Act, dal 2 agosto 2026. La frase va all'inizio, non in un piè di pagina, insieme al modo per parlare con una persona. In pratica, le persone accettano meglio l'assistente se lo sanno subito.

Dove la legge lo prevede, la persona può chiedere che ruolo ha avuto il sistema. Il sistema è progettato per mostrare motivi leggibili e tenere traccia dei passaggi. Voi rispondete usando queste funzioni. Non basta dire «l'ha deciso l'algoritmo».

Dove previsto, sì, prima di usare sistemi ad alto rischio che riguardano i lavoratori. Se lo strumento permette di controllare a distanza l'attività dei dipendenti, vale anche l'art. 4 dello Statuto dei lavoratori. Il percorso concreto lo indicano il vostro legale o chi segue le relazioni industriali. Noi segnaliamo il tema e forniamo materiali tecnici. Non firmiamo al posto vostro.

Nome del sistema, scopo, fornitore, data di avvio, rischi noti, chi è responsabile interno. Vi dà il quadro completo e serve a chi vi controlla. Va aggiornato quando cambiano l'uso o il perimetro.

Seguiamo i cambiamenti rilevanti e vi proponiamo gli adeguamenti. Voi decidete e fate verificare dal vostro legale. Nessun fornitore può promettere che un sistema resti in regola per sempre senza aggiornamenti. Il rinvio delle date sull'alto rischio ne è un esempio: il calendario cambia e il piano si aggiorna.

Gli mostrate documenti, registri, informative, istruzioni d'uso, elenco degli accessi rilevanti e descrizione delle misure tecniche. Meglio averli pronti che prepararli la notte prima. Il progetto li prevede da subito.

Spesso sì, ma vanno rivisti informative, lingue, eventuali regole locali e contratti. Un caso non si copia da un paese all'altro senza controllo: il DPO lo valuta, e noi prepariamo l'elenco dei punti da rivedere.

Sì, quando la persona parla con un'AI. La dichiarazione deve essere chiara fin dalle prime parole. Il passaggio a una persona resta sempre possibile. Al telefono l'assistente non finge di essere umano.

Non firmiamo valutazioni legali, non scegliamo al posto del DPO, non decidiamo assunzioni e non attiviamo usi vietati, nemmeno su richiesta. Il confine è netto: a noi tecnica e preparazione, a voi decisioni e responsabilità.

Con un calendario di riesame e un responsabile interno. Poi aggiornamento del registro dei sistemi, formazione breve e periodica, controllo delle informative. Meglio poco e con costanza che un grande progetto ogni tre anni. Queste risposte orientano, ma non sostituiscono il parere del vostro legale.