Dal 2 agosto 2026 entra in una nuova fase l’applicazione dell’AI Act, il Regolamento europeo sull’intelligenza artificiale: si rafforza il sistema di vigilanza e diventano applicabili ulteriori obblighi di trasparenza per determinati sistemi e contenuti generati o manipolati mediante IA.

Per aziende, enti, associazioni e studi professionali, questa scadenza rappresenta anche l’occasione per verificare un fenomeno già ampiamente diffuso: l’intelligenza artificiale è spesso presente nelle attività quotidiane anche quando non è stata introdotta attraverso una decisione formale dell’organizzazione.

Intelligenza artificiale in azienda e shadow AI

Accanto ai sistemi adottati ufficialmente, nelle organizzazioni sono sempre più diffusi strumenti utilizzati direttamente dai lavoratori, come ChatGPT e altri assistenti generativi, applicazioni per registrare e trascrivere riunioni, software di traduzione o elaborazione di testi e immagini e funzionalità accessibili tramite smartphone o account personali.

Quando queste soluzioni vengono impiegate senza una preventiva valutazione o autorizzazione aziendale si parla di shadow AI. Il loro utilizzo può rispondere a esigenze operative del tutto ordinarie, come sintetizzare un documento, preparare una presentazione o velocizzare la redazione di un contenuto. In assenza di regole e controlli, tuttavia, dati personali, contratti, progetti, informazioni commerciali e contenuti appartenenti al know-how aziendale possono essere trasferiti verso servizi esterni, con rischi per la riservatezza, la sicurezza informatica, l’affidabilità dei risultati e i diritti delle persone coinvolte.

In questo scenario assume rilievo anche il concetto di insider threat, o minaccia interna. Tradizionalmente associato a comportamenti intenzionali o fraudolenti, può riguardare anche azioni compiute in buona fede da lavoratori e collaboratori che utilizzano strumenti di IA senza conoscerne pienamente le implicazioni. Per questo le organizzazioni sono chiamate a individuare le soluzioni utilizzate al proprio interno e a definire regole chiare per governarne l’impiego.

Obblighi AI Act per le aziende che utilizzano sistemi di IA

L’AI Act introduce obblighi differenti in base al livello di rischio dei sistemi e alle modalità con cui vengono utilizzati. Nella maggior parte dei casi, le aziende che impiegano strumenti sviluppati da soggetti terzi assumono il ruolo di deployer, cioè di organizzazioni che utilizzano un sistema di IA sotto la propria responsabilità.

La normativa europea si affianca alla legge italiana 23 settembre 2025, n. 132, entrata in vigore il 10 ottobre 2025, che richiama i principi di trasparenza, sicurezza, accuratezza, protezione dei dati personali, riservatezza, non discriminazione, supervisione umana e cybersicurezza.

Ogni organizzazione dovrebbe intervenire su quattro aspetti essenziali:

• Mappare gli strumenti utilizzati, compresi quelli impiegati tramite account o dispositivi personali, individuando utenti, finalità, dati inseriti e possibili conseguenze sulle persone.
• Formare il personale, affinché conosca le potenzialità e i limiti dell’IA, protegga dati e informazioni riservate e verifichi l’attendibilità dei risultati.
• Adottare una policy aziendale, stabilendo quali strumenti possono essere utilizzati, quali informazioni non devono essere inserite e quando è necessaria un’autorizzazione.
• Definire misure organizzative e di controllo, individuando responsabilità, procedure e verifiche adeguate alle caratteristiche e ai rischi dell’organizzazione.

Particolare attenzione deve essere riservata all’utilizzo dell’IA nei rapporti di lavoro. Quando un sistema viene impiegato per selezionare candidati, valutare lavoratori, assegnare mansioni o monitorare l’attività, devono essere garantite trasparenza, protezione dei dati e supervisione umana.

Scadenze AI Act dal 2026 al 2028

L’AI Act prevede un’applicazione graduale dei propri obblighi. Dopo le disposizioni già operative, le principali scadenze da considerare sono:

• 2 agosto 2026: si rafforza il sistema di vigilanza e diventano applicabili ulteriori obblighi di trasparenza. Nei casi previsti, le persone dovranno essere informate quando interagiscono con un sistema di IA, quando sono sottoposte a sistemi di riconoscimento delle emozioni o di categorizzazione biometrica e quando determinati contenuti, come deepfake o testi destinati a informare il pubblico su questioni di interesse pubblico, sono stati generati o manipolati mediante l’intelligenza artificiale.
• 2 dicembre 2027: diventano applicabili le principali disposizioni sui sistemi di IA ad alto rischio previsti dall’Allegato III, tra cui possono rientrare alcune applicazioni utilizzate nella gestione del personale, nell’istruzione, nell’accesso ai servizi essenziali e nella valutazione del merito creditizio.
• 2 agosto 2028: diventano applicabili le disposizioni sui sistemi di IA ad alto rischio incorporati in prodotti soggetti alla normativa europea di armonizzazione.

Sistemi di IA ad alto rischio e obblighi per le organizzazioni

Gli obblighi più rigorosi si applicano alle organizzazioni che utilizzano sistemi classificati come ad alto rischio. Possono rientrare in questa categoria, in base alle caratteristiche e alla finalità concreta del sistema, alcune applicazioni utilizzate nella selezione e gestione del personale, nell’istruzione, nell’accesso a servizi essenziali, nella valutazione del merito creditizio, nelle assicurazioni, nelle infrastrutture critiche, nella biometria e in determinati ambiti pubblici.

In questi casi non è sufficiente adottare una policy generale. L’organizzazione deve utilizzare il sistema secondo le istruzioni del fornitore, assicurare una supervisione umana effettiva, monitorarne il funzionamento, conservare le registrazioni disponibili e intervenire tempestivamente in presenza di errori, anomalie o incidenti.

Deve inoltre informare i lavoratori quando il sistema è utilizzato sul luogo di lavoro e, nei casi previsti, le persone interessate quando l’IA contribuisce ad adottare decisioni che le riguardano. Potrebbe essere necessaria anche una valutazione d’impatto sui diritti fondamentali, da coordinare con gli adempimenti previsti dalla normativa sulla protezione dei dati.

Perché intervenire adesso

La gestione dell’IA richiede regole chiare e un adeguato presidio organizzativo. Ogni organizzazione deve conoscere gli strumenti utilizzati, le finalità perseguite, i dati trattati, i soggetti coinvolti e i controlli adottati.

Per questo è opportuno avviare per tempo le attività necessarie: la mappatura degli strumenti, la formazione del personale, l’adozione delle policy e la valutazione dei rischi costituiscono già oggi elementi essenziali di una corretta governance dell’intelligenza artificiale.

Spazio88 supporta aziende, enti e professionisti nella mappatura degli strumenti di IA, nella classificazione dei sistemi e dei relativi rischi, nella predisposizione delle policy, nella formazione del personale e nell’adozione delle misure organizzative necessarie per un utilizzo sicuro, responsabile e conforme dell’intelligenza artificiale.