Hai letto articoli sull’AI Act, scaricato checklist, seguito webinar e scoperto che dal 2 agosto 2026 sono diventate applicabili nuove disposizioni del Regolamento.
Magari hai anche cercato di capire cosa cambia dopo le modifiche introdotte dal Digital Omnibus e dopo la pubblicazione, a ridosso della scadenza, delle Linee Guida della Commissione europea sugli obblighi di trasparenza.
Eppure, alla fine, potresti essere rimasto con una domanda molto semplice:
Va bene, ma io adesso cosa devo fare?
Dal 2 agosto 2026 si applicano, infatti, gran parte delle disposizioni dell’AI Act, compresi gli obblighi di trasparenza previsti dall’art. 50 per determinati sistemi e utilizzi dell’intelligenza artificiale.
Il quadro, però, è diventato più articolato proprio nelle settimane precedenti alla scadenza.
Il Digital Omnibus on AI ha modificato alcune disposizioni del Regolamento e rinviato l’applicazione delle regole relative ai sistemi ad alto rischio. Il 20 luglio 2026 la Commissione europea ha inoltre pubblicato le Linee Guida definitive sull’art. 50, chiarendo l’ambito di applicazione degli obblighi di trasparenza e fornendo indicazioni ed esempi per provider e deployer.
Le informazioni online, quindi, non mancano. Anzi, probabilmente il problema è esattamente il contrario.
Ci sono articoli molto approfonditi, guide, checklist, schemi e documenti che promettono di spiegare come adeguarsi. Eppure, quando si prova a passare dalla teoria alla propria attività, non è sempre semplice capire quali indicazioni siano davvero applicabili e, soprattutto, come tradurle in cose da fare.
La sensazione può essere quella di trovare online tutto e il contrario di tutto: chi sostiene che servano nuovi documenti, chi parla di formazione, chi di policy aziendali, chi di registri, valutazioni e procedure.
Il punto è che molte di queste informazioni possono essere corrette e, allo stesso tempo, non essere la risposta giusta per la tua organizzazione.
Per capire cosa bisogna fare davvero, infatti, non basta conoscere gli obblighi previsti dall’AI Act. Bisogna incrociarli con il modo in cui l’intelligenza artificiale viene concretamente utilizzata: quali strumenti vengono impiegati, per quali attività, da chi, con quali dati e con quali conseguenze.
Ed è proprio qui che nasce buona parte della confusione.
In questo articolo cerchiamo quindi di capire perché è così difficile ottenere una risposta concreta partendo dalle informazioni disponibili online e quale percorso seguire per passare dal generico “dobbiamo adeguarci all’AI Act” a una lista ragionata di cose da fare.
Perché è così difficile capire cosa bisogna fare con l’AI Act?
Il primo motivo per cui le informazioni disponibili online possono creare più confusione che chiarezza è abbastanza semplice: la normativa sull’intelligenza artificiale è oggettivamente complessa.
L’AI Act non contiene una lista di adempimenti uguali per tutti. Costruisce invece un sistema nel quale gli obblighi cambiano a seconda del ruolo ricoperto, del sistema di intelligenza artificiale utilizzato, delle sue caratteristiche e, in molti casi, delle modalità con cui viene impiegato.
Questo significa che una regola letta in un articolo può essere perfettamente corretta, ma non necessariamente applicabile alla tua situazione.
A rendere le cose più complicate contribuisce anche la struttura stessa del Regolamento, composto da numerosi articoli, allegati e considerando, questi ultimi utilizzati per spiegare le ragioni delle disposizioni e fornire indicazioni utili alla loro interpretazione.
Quando un articolo o una guida cerca di condensare tutto questo in poche pagine, deve inevitabilmente semplificare. Ed è giusto che lo faccia: altrimenti, per comprendere un articolo divulgativo, sarebbe necessario essere già esperti della materia.
Il problema è che ogni semplificazione lascia necessariamente fuori qualcosa: eccezioni, condizioni, distinzioni o particolarità che possono diventare molto importanti quando dalla spiegazione generale si passa al caso concreto.
A questo si aggiunge una seconda difficoltà: l’AI Act disciplina una tecnologia che cambia molto velocemente.
Il legislatore europeo ha quindi cercato di costruire una normativa sufficientemente flessibile da poter essere applicata anche all’evoluzione futura dei sistemi di intelligenza artificiale. Il risultato è una disciplina basata su classificazioni, definizioni e criteri che devono essere interpretati alla luce delle caratteristiche dei singoli sistemi e del modo in cui vengono impiegati.
E l’AI Act, soprattutto, non vive da solo.
L’impiego dell’intelligenza artificiale può coinvolgere contemporaneamente altre normative: prima fra tutte il GDPR quando vengono trattati dati personali ma, a seconda dell’attività svolta e del contesto, possono entrare in gioco anche le norme sulla cybersicurezza, il diritto dei consumatori, il diritto d’autore e altre discipline di settore.
A complicare ulteriormente il quadro c’è poi il fattore tempo.
Dire, ad esempio, che dal 2 agosto 2026 si applica l’AI Act è corretto, ma non è sufficiente per capire cosa debba fare oggi una determinata organizzazione.
Dal 2 agosto sono diventate applicabili molte delle disposizioni del Regolamento, tra cui gli obblighi di trasparenza previsti dall’art. 50. Il Digital Omnibus ha però rinviato l’applicazione di importanti disposizioni relative ai sistemi ad alto rischio, mentre per alcuni obblighi sono previste specifiche disposizioni transitorie.
Questo significa che non basta chiedersi “questa regola esiste?”.
Bisogna anche capire se riguarda quella specifica situazione e da quando deve essere rispettata.
Per questo due articoli apparentemente in contrasto tra loro potrebbero non esserlo affatto: potrebbero semplicemente riferirsi a soggetti, sistemi, utilizzi o momenti diversi.
La complessità normativa, però, è soltanto una parte del problema.
Perché anche disponendo di una spiegazione perfetta dell’AI Act, rimarrebbe ancora da rispondere alla domanda più importante: come viene utilizzata concretamente l’intelligenza artificiale nella tua organizzazione?
Quello che fai (o non fai) con l’IA conta tantissimo
Un articolo trovato online non può sapere come la tua organizzazione utilizza concretamente l’intelligenza artificiale.
Prendiamo quattro aziende che, alla domanda “Utilizzate sistemi di intelligenza artificiale?”, rispondono tutte nello stesso modo:
“Sì, utilizziamo l’intelligenza artificiale”
Sembrerebbe la stessa situazione. In realtà, dietro questa risposta possono esserci scenari completamente diversi.
Azienda 1: l’IA serve per scrivere meglio
Un’azienda consente ai dipendenti di utilizzare ChatGPT per preparare la prima bozza di una presentazione, migliorare un testo, riassumere documenti non riservati o trovare idee per un post sui social.
I contenuti generati vengono sempre rivisti da una persona prima di essere utilizzati.
Azienda 2: nell’IA finiscono anche i dati dei clienti
Un’altra azienda utilizza apparentemente lo stesso strumento, ma i dipendenti vi caricano contratti, e-mail ricevute dai clienti, report, curriculum o altri documenti aziendali per ottenere riassunti, analisi o bozze di risposta.
In questo caso non conta più soltanto quale strumento viene utilizzato, ma anche quali informazioni vengono inserite al suo interno e cosa succede a quei dati.
Azienda 3: l’IA aiuta a prendere decisioni sulle persone
Una terza azienda utilizza sistemi di intelligenza artificiale nell’ambito delle risorse umane.
Ad esempio, li impiega per analizzare i curriculum ricevuti, individuare i candidati apparentemente più adatti a una posizione o supportare altre decisioni relative ai lavoratori.
Qui cambia ancora lo scenario: l’intelligenza artificiale non viene semplicemente utilizzata per produrre un testo, ma entra in un processo che può incidere concretamente sulle persone.
Diventa quindi importante capire, tra le altre cose, che ruolo svolge il sistema nella decisione finale e quale controllo viene esercitato dalle persone che lo utilizzano.
Azienda 4: l’IA parla direttamente con il cliente
Una quarta azienda utilizza invece un chatbot basato sull’intelligenza artificiale all’interno del proprio sito.
Il sistema risponde direttamente alle domande degli utenti, magari fornendo informazioni sui prodotti, assistenza durante l’acquisto o indicazioni successive alla vendita.
Anche in questo caso siamo davanti all’utilizzo dell’intelligenza artificiale, ma cambiano completamente il contesto, i soggetti coinvolti e le questioni da prendere in considerazione.
Tutte e quattro le aziende potrebbero quindi dire, correttamente:
“Usiamo l’intelligenza artificiale.”
E potrebbero persino utilizzare lo stesso fornitore.
Ma questo, da solo, ci dice pochissimo su quello che devono fare per essere in regola.
Bisogna andare più a fondo e chiedersi quali strumenti vengono utilizzati, chi li utilizza, per quali attività, quali dati vengono inseriti, come vengono impiegati gli output e quale controllo umano è previsto.
E c’è un’ulteriore difficoltà.
In molte organizzazioni nemmeno chi dovrebbe occuparsi della compliance ha una visione completa di tutti gli utilizzi dell’intelligenza artificiale.
Un dipendente può utilizzare autonomamente un sistema di intelligenza artificiale per riassumere un documento, un altro può sfruttare una funzione di IA già integrata nel software che usa ogni giorno, mentre un reparto può aver adottato uno strumento specifico senza che l’informazione sia stata condivisa con il resto dell’organizzazione.
Per questo, prima ancora di domandarsi “quali documenti dobbiamo preparare?”, bisognerebbe porsi una domanda precedente:
“Come stiamo usando davvero l’intelligenza artificiale?”
Quindi le checklist sull’AI Act non servono?
A questo punto potresti pensare che guide, questionari e checklist sull’AI Act servano a poco.
Non è così.
Una buona checklist può essere molto utile per orientarsi e, soprattutto, per capire quali domande bisogna porsi.
Può aiutarti, ad esempio, a verificare quali strumenti di intelligenza artificiale vengono utilizzati nella tua organizzazione, chi vi ha accesso, per quali attività vengono impiegati, quali dati vengono inseriti, se gli output vengono controllati prima di essere utilizzati e se esistono regole interne sul loro utilizzo.
Il limite nasce quando dalla domanda si vuole ricavare automaticamente anche la risposta.
Prendiamo una voce apparentemente molto semplice:
“I dipendenti utilizzano sistemi di intelligenza artificiale generativa?”
Rispondere “sì” non significa automaticamente che l’azienda debba predisporre un determinato documento o adottare una specifica procedura.
Bisognerà capire come vengono utilizzati quei sistemi.
Un conto è consentire l’utilizzo dell’IA per fare brainstorming su informazioni pubbliche. Un altro è utilizzarla per elaborare documenti contenenti dati personali o informazioni riservate. Un altro ancora è affidarsi ai suoi output per svolgere attività che possono incidere sui diritti o sugli interessi di altre persone.
La casella spuntata è la stessa.
Le conseguenze possono essere molto diverse.
Per questo una checklist può essere un ottimo punto di partenza, ma difficilmente può essere anche il punto di arrivo.
Ancora più attenzione merita un altro tipo di checklist: quella che indica direttamente i documenti che un’azienda dovrebbe avere per essere “a norma con l’AI Act”.
A seconda della situazione potrebbe essere necessario predisporre o aggiornare policy, procedure, informative, istruzioni o altra documentazione.
Ma non esiste un pacchetto di “documenti AI Act” che debba essere adottato indistintamente da tutte le organizzazioni.
Il ragionamento non dovrebbe partire da qui.
Prima vengono le attività, poi gli obblighi e solo alla fine i documenti.
Predisporre una policy senza sapere quali strumenti vengono effettivamente utilizzati rischia di produrre un documento molto bello che nessuno riesce ad applicare.
Prevedere genericamente che ogni output debba essere controllato da una persona serve a poco se non si stabilisce quando quel controllo è necessario e, in quel caso, chi deve effettuarlo, in quale momento e secondo quali criteri.
La compliance, insomma, non consiste nell’accumulare documenti.
Consiste nel costruire regole e procedure coerenti con quello che succede realmente all’interno dell’organizzazione.
Prima dei documenti viene la mappatura degli utilizzi dell’IA
Se vogliamo rispondere alla domanda “cosa dobbiamo fare concretamente?”, il primo passo non è aprire Word e iniziare a scrivere una policy sull’intelligenza artificiale.
Prima bisogna capire cosa sta già succedendo all’interno dell’organizzazione.
In altre parole, bisogna mappare gli utilizzi dell’intelligenza artificiale.
E attenzione: non significa semplicemente preparare un elenco degli strumenti utilizzati.
Sapere che in azienda vengono utilizzati ChatGPT, Copilot o Gemini è certamente utile, ma quello che interessa davvero è capire che cosa viene fatto con quegli strumenti.
Per ciascun utilizzo bisognerà ricostruire alcuni elementi essenziali: chi utilizza il sistema, per quale attività, quali informazioni gli vengono fornite e che cosa succede all’output prodotto.
Viene utilizzato come semplice spunto? Viene controllato e modificato da una persona? Oppure viene impiegato direttamente per comunicare con un cliente, produrre un documento o contribuire a prendere una decisione?
A questo bisogna aggiungere gli utilizzi meno evidenti: gli strumenti adottati autonomamente dai dipendenti e le funzionalità di IA progressivamente integrate nei software che l’organizzazione utilizzava già.
La mappatura serve quindi a costruire una fotografia sufficientemente attendibile di dove e come l’intelligenza artificiale entra nei processi dell’organizzazione.
Solo a quel punto ha senso chiedersi quali regole si applicano e cosa bisogna eventualmente modificare.
Quindi, cosa deve fare concretamente un’azienda che utilizza l’IA?
Possiamo finalmente tornare alla domanda dalla quale siamo partiti:
“Va bene, ma noi cosa dobbiamo fare concretamente?”
Non esiste una risposta uguale per tutti, ma esiste un percorso logico per arrivarci.
1. Mappare gli utilizzi dell’intelligenza artificiale
Il primo passaggio è ricostruire gli utilizzi dell’intelligenza artificiale presenti nell’organizzazione.
È la fotografia dalla quale parte tutto il resto.
2. Valutare quali regole si applicano
Una volta individuati gli utilizzi, bisogna valutarli dal punto di vista giuridico.
Qui iniziano ad avere un significato concreto le definizioni e le classificazioni dell’AI Act: bisogna capire quale ruolo ricopre l’organizzazione, quali caratteristiche presenta il sistema, quali disposizioni trovano applicazione e da quando devono essere rispettate.
Allo stesso tempo bisogna verificare se entrano in gioco altre normative, ad esempio in materia di protezione dei dati personali, diritto d’autore, tutela dei consumatori o rapporti di lavoro.
E può anche accadere che, rispetto a uno specifico utilizzo dell’intelligenza artificiale, il problema principale da affrontare non derivi affatto dall’AI Act, ma da un’altra normativa.
Pensiamo al dipendente che inserisce in un sistema di IA generativa documenti contenenti dati personali o informazioni riservate. Il fatto che sia coinvolta l’intelligenza artificiale non significa che ogni questione giuridica debba necessariamente trovare la propria risposta nell’AI Act.
Per questo la domanda da porsi non è più soltanto:
“Cosa prevede l’AI Act?”
ma:
“Quali regole si applicano a questo specifico utilizzo dell’intelligenza artificiale?”
3. Individuare ciò che manca
Solo dopo aver individuato le regole effettivamente applicabili possiamo confrontare ciò che l’organizzazione sta già facendo con ciò che dovrebbe fare.
E non è detto che si debba partire da zero.
Potrebbero esserci già procedure, informative, istruzioni, sistemi di autorizzazione o controlli che possono essere utilizzati o semplicemente aggiornati.
In altri casi potrebbero emergere delle lacune: potrebbe essere necessario stabilire quali informazioni non devono essere inserite in determinati sistemi, chi può utilizzare alcuni strumenti, quando è necessario verificare un output o quali informazioni devono essere fornite alle persone che interagiscono con un sistema di intelligenza artificiale.
Solo a questo punto comincia a delinearsi la vera lista delle cose da fare per quella specifica organizzazione.
4. Trasformare le regole in procedure concrete
Individuare una regola non basta: bisogna fare in modo che possa essere applicata.
Scrivere in una policy che “gli output dell’intelligenza artificiale devono essere sottoposti a controllo umano” serve relativamente a poco se poi nessuno sa quando quel controllo è necessario, chi deve effettuarlo e cosa deve verificare.
Lo stesso vale per la formazione, per le autorizzazioni all’utilizzo degli strumenti o per le regole relative ai dati che possono essere inseriti.
L’adeguamento dovrebbe quindi arrivare a stabilire, quando necessario, chi fa cosa, quando e secondo quali criteri.
5. Documentare le decisioni
Solo a questo punto arrivano i documenti.
Policy, procedure, istruzioni, informative, valutazioni e gli altri documenti eventualmente necessari servono a formalizzare ciò che è stato deciso e a renderlo concretamente applicabile all’interno dell’organizzazione.
Non sono quindi documenti standard da compilare perché qualcuno ha detto che “servono per l’AI Act”.
Sono il risultato dell’analisi svolta prima.
6. Verificare periodicamente cosa è cambiato
Infine bisogna ricordare che la fotografia fatta oggi potrebbe non essere più corretta tra sei mesi.
Possono essere adottati nuovi strumenti, cambiare quelli già utilizzati o comparire nuove funzionalità di intelligenza artificiale all’interno dei software.
Serve quindi un meccanismo, proporzionato alle dimensioni e alla complessità dell’organizzazione, che permetta di intercettare questi cambiamenti e valutarli.
Dalla domanda generica alla risposta concreta
Alla fine, il percorso può essere riassunto così:
mappare → valutare → individuare ciò che manca → organizzare → documentare → verificare nel tempo.
Le informazioni disponibili online possono aiutarti a conoscere le regole, capire quali problemi potrebbero presentarsi e, soprattutto, individuare le domande giuste.
Quello che non possono fare è conoscere quello che succede nella tua organizzazione.
Per arrivare alla risposta “noi dobbiamo fare queste cose” bisogna mettere insieme le regole applicabili con la realtà concreta dell’attività: gli strumenti, le finalità, i dati coinvolti, le persone, i processi e il modo in cui vengono impiegati i risultati prodotti dall’intelligenza artificiale.
È anche per questo che, quando la situazione richiede una valutazione personalizzata, il supporto professionale non serve semplicemente a spiegare cosa dice l’AI Act.
Serve a fare qualcosa di molto più pratico: capire quali regole riguardano davvero l’organizzazione e trasformarle in decisioni, procedure e documenti concretamente applicabili.
Avv. Frida Del Din (articolo scritto con l’ausilio strumentale di intelligenza artificiale)
