Aggiornato a Novembre 2025
L’intelligenza artificiale è ormai una presenza stabile nei processi aziendali. Per anni, però, è mancato un quadro che ne definisse i limiti. Con l’AI Act europeo, in vigore dal 2024, e con la legge italiana 132 del 2025, arrivano finalmente regole precise: cosa è consentito, cosa no, e in quali condizioni. Le aziende devono ora trattare l’AI come parte del proprio sistema di gestione, non come un esperimento tecnico isolato. Questo implica conoscere i dati che alimentano i modelli, documentare le decisioni automatizzate e formare chi li utilizza. Così si riducono i rischi e si costruisce fiducia verso clienti, partner e istituzioni. Se un'azienda non inizia a considerare seriamente la normativa dell'AI ACT il rischio non è solo quello di ricevere una multa salata - che già sarebbe un grande problema - ma anche non partire con il piede giusto in un cambiamento che ha tutti i connotati di una rivoluzione; sì, perché l'AI-ACT prevede obbligo di formazione per i propri dipendenti e questa è un'occasione da cogliere per iniziare a introdurre l'AI in azienda.
Nell'articolo parleremo di:
- Quando entra in vigore l'AI ACT (spoiler: è già attivo)
- Quando arriva in Italia
- Chi si occupa di intelligenza artificiale in Italia
- Cosa prevede l'AI Act
- Cosa devono fare le aziende
- Quali sono i rischi per chi non si adegua
Un nuovo scenario per l’intelligenza artificiale
L’intelligenza artificiale si configura a tutti gli effetti come parte del funzionamento quotidiano delle imprese. La troviamo sempre più spesso per automatizzare processi, elaborare dati, gestire attività di marketing, logistica, risorse umane e produzione.
La velocità con cui si è diffusa ha tuttavia lasciato un vuoto normativo. Per anni non sono esistite regole su chi fosse responsabile delle decisioni automatizzate, su come garantire trasparenza o protezione delle persone coinvolte.
Il Regolamento europeo sull’intelligenza artificiale (AI Act) e la legge italiana n.132 del 2025 si pongono l'obiettivo di colmare questa distanza orientando l'innovazione. Quello che il normatore intende fare è definire limiti chiari, criteri di sicurezza e obblighi di controllo. Per le imprese si paventa uno scenario tanto chiaro quanto delicato poiché l’AI diventa un vantaggio solo quando è gestita come parte della propria strategia, con strumenti di governo, non come un automatismo lasciato a se stesso. O lo si affronta con criterio e in maniera strutturata anche - e forse diremmo, prima di tutto - dal punto di vista legale e normativo oppure è difficile pensare di poterne sfruttare i vantaggi.
Quando entrerà in vigore l’AI Act
L’AI Act è entrato in vigore il 1° agosto 2024. I suoi effetti, però, si sono distribuiti nel tempo. Partiamo dalla fine, ovvero da ciò che scatterà - senza proroghe - dal 2 agosto 2026: per glialgoritmi che incidono su ambiti sensibili come salute, credito, istruzione o sicurezza, serviranno valutazioni di conformità, audit interni e una supervisione umana obbligatoria. Alcuni articoli online parlano di possibili rinvii. Non ci sono. La Commissione europea ha confermato che le scadenze restano valide e che le imprese devono prepararsi in anticipo.
Ma quando è iniziata l'introduzione dell'AI Act? Le prime norme operative sono scattate nel febbraio 2025. Hanno vietato alcuni usi considerati a rischio inaccettabile: tra questi, il riconoscimento biometrico in tempo reale negli spazi pubblici e il social scoring, cioè la classificazione dei cittadini in base ai comportamenti. Dal 2 agosto 2025 è entrata in vigore la seconda fase, dedicata ai modelli di intelligenza artificiale generali — le tecnologie alla base di molte applicazioni, dai chatbot ai generatori di immagini. Chi li sviluppa deve ora rendere trasparenti i dati di addestramento, documentare i controlli di sicurezza e garantire il rispetto del diritto d’autore.
La cadenza di queste disposizioni lancia un segnale molto chiaro alle aziende: per quanto in passato la Commissione europea non sia stata esattamente celere (pensiamo ai tempi biblici del tema GDPR rispetto all'effettiva digitalizzazione delle imprese), oggi il fenomeno AI è compreso e considerato da gestire, prima di tutto per la velocità dei cambiamenti che comporta, ma anche per l'inserimento strutturale nei processi e per l'impatto sul mondo del lavoro e delle professioni.
Quando arriva l’AI in Italia
Oggi con l'avvento di ChatGPT, Claude e Gemini disponibili al grande pubblico e su larga scala si ha l'impressione che l'AI sia una novità assoluta. A bene vedere però
l'intelligenza artificiale è presente in Italia da anni: nei prodotti, nei servizi e nei processi delle imprese. La novità è che ora entra anche nel diritto nazionale mentre prima non era mai stato sotto l'occhio del legislatore.
Con la legge n.132 del 2025, in vigore dal 10 ottobre, l’Italia recepisce l’AI Act europeo e ne adatta i principi al proprio contesto. È uno dei primi Paesi europei a farlo. La norma italiana recepisce le regole europee e le rende operative. Introduce obblighi di trasparenza verso clienti e lavoratori, responsabilità chiare per i danni causati da algoritmi e misure contro abusi come i deepfake o la manipolazione online. Prevede anche formazione obbligatoria per chi usa sistemi di intelligenza artificiale nelle aziende e nelle amministrazioni pubbliche.
Se da un lato questo può scoraggiare le imprese ad adottare strumenti di AI, accanto agli obblighi la legge apre una fase di investimento: incentivi per startup, spazi di sperimentazione e fondi destinati a progetti che usano l’AI in modo tracciabile e verificabile. Se vista da questa prospettiva l'AI Act non è solo una legge da cui tutelarsi, ma è anche un'occasione preziosa per le aziende per unire anche un aspetto formativo e di conseguenza di utilizzo di queste tecnologie che possono sbloccare potenziale nei processi aziendali e nelle attività quotidiane dei lavoratori. In altre parole: i fondi messi a disposizione possono essere un punto di ingresso per l'AI in azienda.
Chi si occupa di intelligenza artificiale in Italia
1) L’Agenzia per la Cybersicurezza Nazionale (ACN) che ha il compito di vigilare su rischi informatici e vulnerabilità.
2) L’Agenzia per l’Italia Digitale (AgID) che elabora linee guida, promuove progetti di sperimentazione e gestisce i sandbox regolatori, ambienti protetti dove le imprese possono testare soluzioni AI con l’affiancamento delle autorità.
3) Garante per la protezione dei dati personali, che interviene in tutti i casi in cui l’intelligenza artificiale si inserisca in processi che prevendono il trattamenti di dati personali, profilazione o decisioni automatizzate.
4) La Presidenza del Consiglio – Dipartimento per la Trasformazione Digitale che coordina la strategia nazionale per l’AI, ponendosi come coordinatore di alto livello. Su questo, si noti come l'AI sia davvero entrata nell'agenda delle autorità nazioni. Anche per questo crediamo sia un mito da sfatare quello che prevederebbe proroghe alla norma di legge.
Ma perché così tanti enti e riferimenti? Perché non nominare un unico ente (pensiamo a quanto fatto per il GDPR) responsabile? Perché questo sistema a più livelli è pensato per bilanciare innovazione e tutela, con l’obiettivo di creare un ambiente in cui le imprese possano innovare senza incorrere in rischi legali o reputazionali.
Cosa prevede l’AI Act
Nel perimetro della legge AI-ACT, ogni tecnologia viene valutata secondo il rischio che comporta per l'essere umano. Comprendere questo punto è cruciale per interpretare correttamente la norma e soprattutto prendere le giuste decisioni.
Alcuni usi dell'AI sono esclusi del tutto: classificazione dei cittadini, sorveglianza biometrica di massa, manipolazione dei comportamenti. Il motivo? Sono considerati a rischio inaccettabile e restano fuori legge.
Altri sistemi, invece, potranno essere utilizzati solo con una serie di accorgimenti. È il caso degli algoritmi che influenzano decisioni su lavoro, credito o salute. Chi li impiega dovrà redigere adeguata documentazione che ne descriva nel dettaglio il funzionamento, ma anche controllare i dati di addestramento dell'AI, prevenire distorsioni ed effettuare una manutenzione di questi sistemi. Non sarà dunque contemplato uno sviluppo di un software e poi dimenticarsi di moniotare e aggiornare il sistema.
Le applicazioni a rischio limitato — come i chatbot o generatori di testi e immagini — richiedono soltanto trasparenza: l’utente deve sapere quando parla con una macchina (dunque chiunque sviluppi un chatbot o inserisca un LLM in un flusso di conversazione con il cliente deve obbligatoriamente comunicare che si sta interagendo con un assistente virtuale!). Tutto il resto, dai sistemi interni di analisi ai modelli predittivi a bassa esposizione, resta libero, purché usato con criteri di correttezza e tracciabilità.
La legge italiana 132/2025: un’AI più umana e responsabile
La legge italiana integra e rafforza l’AI Act, traducendone i principi in misure concrete. Impone alle imprese e ai datori di lavoro un dovere di trasparenza: chi utilizza sistemi di intelligenza artificiale per valutare, assumere o gestire persone deve dichiararlo esplicitamente. Non è più accettabile che un algoritmo decida in silenzio.
Un altro pilastro è la supervisione umana. L’intelligenza artificiale può supportare ma non sostituire il giudizio umano, soprattutto nei contesti più delicati come il lavoro, la sanità, la giustizia o la pubblica amministrazione. Le decisioni finali devono restare di competenza umana e verificabili.
La legge prevede inoltre nuove tutele penali, introducendo il reato di diffusione di contenuti falsi generati con AI (i cosiddetti deepfake) e aggravando le pene per chi utilizza l’intelligenza artificiale per commettere frodi o manipolazioni. Allo stesso tempo, promuove la formazione e l’alfabetizzazione digitale come strumenti di prevenzione: la conoscenza diventa parte della compliance.
Cosa devono fare le aziende
Le imprese che usano o intendono usare l’intelligenza artificiale devono cominciare da una domanda semplice: dove e come la sto utilizzando?
Mappare i casi d’uso è il primo passo per capire se e quanto si ricade nelle regole dell’AI Act. A seguire, serve valutare il livello di rischio di ciascun sistema, aggiornare le politiche interne, formare le persone coinvolte e introdurre controlli umani nei processi automatizzati.
La legge introduce anche un concetto di “alfabetizzazione obbligatoria” sull’AI: non è più accettabile che chi usa strumenti basati su algoritmi lo faccia senza comprenderne le logiche di base. Le aziende dovranno quindi prevedere corsi, linee guida interne e programmi di aggiornamento per rendere il personale consapevole dei limiti e dei rischi dell’intelligenza artificiale.
Infine, un aspetto spesso sottovalutato è la responsabilità condivisa con i fornitori. Le aziende che acquistano software o servizi AI devono verificare che anche i propri partner rispettino le regole: in caso di non conformità, infatti, la responsabilità può ricadere anche sull’utilizzatore finale.
Per le aziende italiane è quindi già il momento di chiedere un supporto legale specifico per l'intelligenza artificiale, per potersi tutelare in primo luogo, ma anche per poter iniziare a sfruttare in sicurezza l'enorme potenziale che l'AI può portare ai processi e ai sistemi aziendali.
Rischi, sanzioni e opportunità
Come è accaduto per il GDPR, che prevede multe fino al 4% del fatturato aziendale annuo in caso di mancato rispetto della normativa, così l’AI Act introduce multe e anche pesanti: fino a 35 milioni di euro o il 7% del fatturato globale in caso di violazioni gravi. Su questo tema però ci sentiamo in dovere che, prima di un problema di soldi, il non rispetto della legge sull'AI può portare a non gestire queste tecnologie nel modo corretto e danneggiare prima di tutto il brand dell'azienda, i suoi dipendenti, i suoi processi. Sappiamo infatti che gli LLM possono sbagliare, possono avere allucinazioni e vanno quindi monitorati e gestiti in maniera adeguata, per evitare che arrechino danni ai processi in sui vengono inseriti.
Altro punto importante è l'autorevolezza: se l'azienda gestisce in maniera corretta e proficua la formazione e gli adempimenti legali darà segnali di autorevolezza, credibilità e professionalità.
Fonti autorevoli
- Commissione europea, “Artificial Intelligence Act”, 2024
- Eur-Lex, Regolamento (UE) 2024/1689
- Gazzetta Ufficiale, “Legge 23 settembre 2025 n.132”
- Agenzia per la Cybersicurezza Nazionale (ACN), sezione “AI e sicurezza”
- Agenzia per l’Italia Digitale (AgID), linee guida su AI e PA, ottobre 2025
- Garante Privacy, “Intelligenza artificiale e tutela dei dati”, 2025
- Il Sole 24 Ore, “AI Act all’italiana: le nuove regole per imprese e professionisti”, ottobre 2025
- Agenda Digitale, “AI Act: le scadenze e gli obblighi per le aziende”, 2025
- Wired Italia, “Cosa cambia per le imprese con la legge italiana sull’AI”, 2025
