AI Act: cosa cambia da agosto per chi usa l'intelligenza artificiale al lavoro

Che cosa scatta esattamente il 2 agosto?

Da quella data diventano vincolanti gli obblighi dell’AI Act per i cosiddetti modelli «per finalità generali» (GPAI), i grandi modelli che alimentano gli assistenti conversazionali. Chi li sviluppa o li mette sul mercato europeo dovrà pubblicare una documentazione tecnica, una sintesi dei contenuti usati per l’addestramento e una policy sul rispetto del diritto d’autore. Per i modelli considerati «a rischio sistemico» (i più potenti) si aggiungono valutazioni di sicurezza e l’obbligo di segnalare gli incidenti gravi. È la seconda tranche di un regolamento che entra in vigore per gradi fino al 2027.

Riguarda anche la mia azienda, se l’AI la compro e basta?

Sì, ma molto meno di quanto temi. Se la tua azienda non sviluppa modelli ma li usa (un assistente per la posta, un copilota per il codice, un chatbot per l’assistenza clienti), sei un deployer, e i tuoi obblighi principali sono due: trasparenza e sorveglianza umana. In pratica: dire alle persone quando stanno interagendo con un sistema automatico, non lasciare che il modello prenda da solo decisioni che incidono su diritti o contratti, e tenere traccia di come lo usi. Gli obblighi tecnici pesanti restano in capo a chi il modello lo costruisce.

Che cosa devo documentare, in pratica?

Bastano tre cose per partire, e nessuna richiede un ufficio legale.

• Un registro degli usi: quali strumenti AI girano in azienda, chi li ha approvati e per fare cosa.
• Una nota di trasparenza: dove il cliente o il dipendente incontra l’AI, deve poterlo sapere.
• Un punto di contatto umano: chi rivede gli output prima che diventino decisioni.

E il diritto d’autore, com’è finita?

Resta il capitolo più mobile. I fornitori di modelli devono pubblicare una sintesi «sufficientemente dettagliata» dei dati di addestramento e rispettare l’opt-out di chi non vuole essere usato per il training, previsto dalla direttiva europea del 2019. Cosa significhi «sufficientemente dettagliata» lo dirà la prassi: le prime sintesi pubblicate sono state giudicate vaghe da editori e associazioni di autori. Per chi usa i modelli il rischio è indiretto ma reale, e verificare che il fornitore dichiari una provenienza dei dati fa parte della due diligence.

Non serve un ufficio legale per iniziare. Serve sapere quali strumenti girano in azienda e chi ne risponde.

Un responsabile della protezione dati, giugno 2026

Quanto rischio se non mi adeguo?

Le sanzioni sono pensate per fare male alle grandi aziende, non per chiudere le piccole. Il massimale più alto, 35 milioni di euro o il 7% del fatturato mondiale, vale solo per gli usi vietati, come il punteggio sociale. Per la violazione degli obblighi sui modelli generativi si arriva a 15 milioni o al 3% del fatturato; per informazioni false alle autorità, fino a 7,5 milioni. Per le PMI e le startup i tetti sono ridotti. E c’è un margine: nei primi mesi l’impianto sanzionatorio è in rodaggio, con le autorità nazionali orientate più ad accompagnare che a colpire.

Da dove comincio, questa settimana?

Dal registro. Prima di leggere altro regolamento, metti su un foglio l’elenco degli strumenti AI che la tua azienda usa già: quasi sempre sono più di quanti pensi. Accanto a ciascuno segna chi l’ha introdotto e per quale scopo. È il documento che ti chiederanno per primo, ed è anche quello che, una volta compilato, rende evidente da solo dove serve una nota di trasparenza e dove basta lasciare le cose come stanno. Il resto (policy, contatti, verifiche) si costruisce sopra questa lista.