AI Act: cosa cambia per chi usa l'intelligenza artificiale al lavoro

Il regolamento europeo sull'intelligenza artificiale, l'AI Act (regolamento UE 2024/1689), è la prima legge organica al mondo su questa tecnologia. Spesso viene presentato come una norma per le grandi aziende che sviluppano modelli di AI. In realtà riguarda anche chi li utilizza: un'impresa che adotta un assistente per l'ufficio, un ente che usa un software per valutare le domande, uno studio che si affida a strumenti di analisi dei documenti.

L'approccio per livelli di rischio

L'AI Act non regola l'intelligenza artificiale in generale, ma i suoi usi, in base al rischio:

• pratiche vietate, come alcune forme di manipolazione, di sfruttamento delle vulnerabilità delle persone o di punteggio sociale;
• sistemi ad alto rischio, ad esempio quelli usati nella selezione e gestione del personale, nell'accesso a servizi pubblici essenziali, nell'istruzione o nella valutazione del credito, soggetti a requisiti stringenti;
• obblighi di trasparenza, ad esempio informare le persone quando interagiscono con un sistema di AI o quando un contenuto è stato generato artificialmente;
• rischio minimo, per la grande maggioranza degli usi, senza obblighi specifici oltre a quelli generali.

Gli obblighi per chi usa l'AI

Nel linguaggio del regolamento, l'organizzazione che usa un sistema di AI sotto la propria autorità è un deployer. Tra i suoi compiti principali:

Competenze del personale. Il regolamento chiede a chi usa sistemi di AI di adottare misure per garantire un livello sufficiente di alfabetizzazione in materia di AI del proprio personale. Il Digital Omnibus del 2026 ha reso questo obbligo meno rigido rispetto alla versione originaria, ma il principio resta: chi usa questi strumenti deve saperlo fare.

Uso conforme. Per i sistemi ad alto rischio, seguire le istruzioni del fornitore, assicurare la sorveglianza umana da parte di persone competenti, monitorare il funzionamento, conservare i registri generati e informare le persone interessate quando previsto.

Trasparenza. Informare le persone quando interagiscono con un sistema di AI o quando sono esposte a determinati contenuti generati, nei casi previsti.

Il calendario

Il regolamento è entrato in vigore nell'agosto 2024 con un'applicazione graduale. I divieti e l'obbligo di alfabetizzazione si applicano dal 2 febbraio 2025, le regole sui modelli di AI per finalità generali dal 2 agosto 2025.

Nel 2026 il Digital Omnibus ha modificato il calendario. Secondo le ricostruzioni disponibili, gli obblighi di trasparenza verso le persone si applicano dal 2 agosto 2026, mentre per i sistemi ad alto rischio le scadenze sono state spostate al 2 dicembre 2027 per quelli autonomi e al 2 agosto 2028 per quelli integrati in prodotti già regolati. Trattandosi di un quadro in evoluzione, prima di pianificare conviene verificare le date sul testo ufficiale.

La legge italiana

L'Italia ha affiancato all'AI Act la legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025. Tra i punti rilevanti per le organizzazioni:

• i datori di lavoro devono informare i lavoratori quando utilizzano sistemi di AI;
• i professionisti devono usare l'AI in modo strumentale e informare i clienti;
• nella pubblica amministrazione l'AI supporta l'attività amministrativa, ma la decisione e la responsabilità restano della persona;
• è stato introdotto un nuovo reato per la diffusione illecita di contenuti falsi generati o alterati con l'AI.

Da dove partire

1. Censire gli strumenti di AI usati nell'organizzazione, compresi quelli adottati spontaneamente dal personale.
2. Classificare gli usi: la maggior parte sarà a rischio minimo, ma alcuni, come quelli legati al personale, possono essere ad alto rischio.
3. Formare chi usa questi strumenti.
4. Adottare una policy sull'uso dell'AI, coordinata con privacy e sicurezza informatica.
5. Informare lavoratori e, quando previsto, clienti e cittadini.

Per i sistemi potenzialmente ad alto rischio conviene un parere qualificato: le regole sono dettagliate e in evoluzione.