L’EU AI Act (Regolamento UE 2024/1689) è la prima normativa organica al mondo sullo sviluppo e l’uso dell’intelligenza artificiale. Tocca aziende, professionisti e sviluppatori: obblighi già operativi e sanzioni molto alte. Per un post LinkedIn o un pezzo divulgativo è oro — a patto di spiegare il rischio del caso d’uso, non “la magia” del modello.
1. Il concetto chiave: approccio basato sul rischio
La regola d’oro: la legge non valuta la tecnologia in sé, ma il caso d’uso e l’impatto potenziale sui diritti fondamentali. Lo stesso motore di chat può essere “rischio limitato” se è un assistente generico, e “alto rischio” se decide assunzioni o credito.
2. I quattro livelli di rischio
Rischio inaccettabile — VIETATO
Social scoring, manipolazione comportamentale subliminale, riconoscimento delle emozioni in luoghi di lavoro e scuole, scraping facciale indiscriminato, categorizzazione biometrica su dati sensibili.
Pratiche vietate dal 2 febbraio 2025.
Alto rischio — rigidamente regolamentato
IA per selezione/valutazione del personale (HR), credit scoring, biometria, infrastrutture critiche, dispositivi medici, valutazione scolastica/accademica.
Obblighi: valutazione di conformità, tracciabilità dei dati, gestione del rischio, marcatura CE, supervisione umana, registrazione in banche dati UE.
Rischio limitato — obblighi di trasparenza
Chatbot, generazione di testo/immagini/audio, deepfake.
Art. 50: dichiarare che l’utente parla con un’IA; watermark / metadati leggibili da macchina sui contenuti sintetici.
Rischio minimo — nessun vincolo specifico
Filtri anti-spam, videogiochi con IA e usi a basso impatto.
Nessun obbligo aggiuntivo tipico dell’AI Act (restano GDPR e altre norme).
3. Due dettagli che molti ignorano
AI literacy — Art. 4
Dal 2 febbraio 2025 chi fa usare sistemi di IA al personale (il “deployer”) deve garantire un livello adeguato di competenze e formazione. Non basta “abbiamo ChatGPT”: serve che le persone capiscano limiti, rischi e buone pratiche.
Sanzioni + effetto GDPR
Multe fino a 35 milioni € o 7% del fatturato globale per pratiche vietate; fino a 15 milioni € o 3% per altre violazioni. Si cumulano con il GDPR se c’è anche trattamento illecito di dati personali.
4. Cosa aggiungere (spesso manca nei post)
Provider vs deployer. Chi sviluppa o mette in commercio un sistema (provider) ha obblighi diversi da chi lo usa in azienda (deployer). Se “solo” usi ChatGPT/Gemini per lavoro, sei tipicamente deployer: istruzioni al personale, uso corretto, trasparenza verso gli utenti finali quando serve.
GPAI — modelli per finalità generali. I grandi modelli (stile GPT, Claude, Gemini) hanno obblighi extra di documentazione, sintesi su dati di training / copyright, e misure aggiuntive se sono a “rischio sistemico”.
Trasparenza (Art. 50). Chatbot e contenuti sintetici: l’utente deve sapere che parla con un’IA; deepfake e media generati devono essere riconoscibili (watermark/metadati), con eccezioni limitate (es. arte, ricerca, sicurezza).
Non sostituisce il GDPR. Se carichi CV, mail clienti o dati sanitari in una chat consumer, restano privacy, base giuridica e trasferimenti extra-UE. Spesso il tema “AI Act + GDPR” è più rilevante del modello in sé.
Diritti delle persone. Su sistemi ad alto rischio: spiegabilità, reclamo, sorveglianza umana — non “l’algoritmo ha deciso e basta”.
5. Timeline essenziale
2 feb 2025
Divieti (rischio inaccettabile) + obbligo di AI literacy (Art. 4) per chi fa usare l’IA al personale.
2 ago 2025
Obblighi per modelli di IA per finalità generali (GPAI): documentazione, copyright summary, policy, trasparenza.
2 ago 2026
Piena applicazione di gran parte delle regole sui sistemi ad alto rischio (conformità, CE, sorveglianza).
2 ago 2027
Ulteriori scadenze per alcuni sistemi ad alto rischio già sul mercato / casi particolari.
Date indicative del regolamento; verifica sempre i testi ufficiali e le linee guida della Commissione / autorità nazionali.
6. Checklist se usi ChatGPT (o simili) in azienda
- Mappa i casi d’uso: mail innocue ≠ screening CV o scoring clienti.
- Forma il personale (AI literacy): cosa può inventare, cosa non incollare, come verificare.
- Preferisci piani enterprise / Workspace con contratti e controlli, non account personali “a nascoste”.
- Se esponi un chatbot al pubblico: dichiara che è un’IA.
- Se pubblichi immagini/audio sintetici rilevanti: valuta watermark / disclosure.
- Per HR, credito, biometria, scuola: fermati e parla con legale / compliance prima di “provare lo strumento”.
Da ricordare: l’AI Act non vieta ChatGPT. Regola come e per cosa lo usi — e chiede competenze minime a chi lo fa usare in azienda.
Questo articolo è divulgativo e non costituisce consulenza legale.