Normative AI: AI Act, GDPR e regole europee per le aziende

Un'azienda che usa l'intelligenza artificiale in Europa deve fare i conti con più norme insieme: l'AI Act, il GDPR, la legge italiana sull'IA e una serie di regole su dati e sicurezza informatica che toccano l'AI anche senza nominarla. In questa sezione le mettiamo in fila, con le date aggiornate a ottobre 2026 e con un taglio pratico: cosa vale già oggi, cosa arriverà e cosa deve fare concretamente una PMI.

Le norme in gioco

Conviene pensarle a strati. Ognuna guarda l'AI da un punto di vista diverso, e la stessa applicazione può ricadere in più di una.

Le date che contano

Cos'è l'AI Act

L'AI Act (Regolamento UE 2024/1689) è la legge europea sull'intelligenza artificiale, il primo quadro normativo organico al mondo dedicato all'AI. Essendo un regolamento si applica direttamente in tutti gli Stati membri, senza bisogno di una legge di recepimento. È entrato in vigore il 1° agosto 2024 e diventa applicabile per gradi: le scadenze del 2026 e degli anni successivi sono nella tabella qui sopra. Riguarda chi sviluppa sistemi AI (fornitori), chi li usa in ambito professionale (deployer), importatori e distributori, anche con sede fuori dall'UE se il sistema è usato nell'Unione.

Il testo ufficiale in italiano, consultabile e scaricabile in PDF, è pubblicato su EUR-Lex. Le modifiche introdotte nel 2026 dal Digital Omnibus sono contenute nel Regolamento UE 2026/1744, che va letto insieme al testo originale.

L'approccio basato sul rischio

L'AI Act non vieta né autorizza l'intelligenza artificiale in blocco: classifica i sistemi in base all'uso che se ne fa. Pochi usi sono vietati; alcuni, come la selezione del personale o la valutazione del merito di credito, sono ad alto rischio e richiedono documentazione, supervisione umana e controlli; altri hanno solo obblighi di trasparenza; la grande maggioranza degli usi aziendali, come un assistente che risponde sui manuali interni, è a rischio minimo.

Il primo passo per qualsiasi azienda è quindi capire in quale fascia cade ciascuno strumento che usa. Lo spieghiamo con esempi nella guida AI Act: livelli di rischio e classificazione dei sistemi AI.

Fornitore o deployer?

Gli obblighi dipendono anche dal ruolo. Il fornitore è chi sviluppa un sistema AI e lo immette sul mercato o lo mette in servizio con il proprio nome. Il deployer è chi lo usa nella propria attività professionale. Una PMI che adotta un software di terzi è di solito deployer; diventa fornitore se sviluppa un sistema in proprio, se ci mette il proprio marchio, o se lo modifica in modo sostanziale o ne cambia la finalità facendolo diventare ad alto rischio.

Gli obblighi che valgono già per tutti

Due obblighi riguardano praticamente ogni azienda che usa l'AI, a prescindere dal livello di rischio:

• Alfabetizzazione AI (art. 4). Chi usa sistemi AI deve adottare misure per far crescere le competenze del personale che li utilizza. Dopo il Digital Omnibus la norma è più flessibile, ma resta in vigore. Come impostarla: Alfabetizzazione AI: l'obbligo di formazione dell'art. 4.
• Trasparenza (art. 50). Chatbot, voicebot, contenuti sintetici e deepfake devono essere riconoscibili come tali. Chi deve fare cosa, con esempi: AI Act art. 50: trasparenza per chatbot e contenuti AI.

A questi si aggiungono i divieti dell'art. 5, che per un'azienda ordinaria si traducono soprattutto in un punto da ricordare: il riconoscimento delle emozioni sul luogo di lavoro è vietato, salvo motivi medici o di sicurezza.

GDPR e intelligenza artificiale

L'AI Act non sostituisce il GDPR: i due si sommano. Quando un sistema AI elabora dati personali, valgono le regole di sempre, con alcuni punti che con l'AI diventano critici:

• Base giuridica e finalità: i dati raccolti per uno scopo non possono essere riusati liberamente per un altro, ad esempio per addestrare un modello.
• DPIA: la valutazione d'impatto è spesso necessaria quando l'AI tratta dati su larga scala, valuta persone o usa dati particolari.
• Trasferimenti extra-UE: molti servizi AI in cloud elaborano i dati fuori dall'Unione, con le relative garanzie da verificare.
• Decisioni automatizzate (art. 22): le decisioni con effetti significativi sulle persone non possono basarsi solo su un trattamento automatizzato, salvo eccezioni e con garanzie.
• Registri e conservazione: anche le conversazioni con un assistente AI possono contenere dati personali e vanno gestite.

Approfondimento completo, con il confronto tra cloud e on-premise: AI e GDPR in azienda: DPIA, AI Act e dati extra-UE. Il Digital Omnibus ha proposto anche modifiche al GDPR, ad esempio sull'uso dei dati personali per addestrare modelli, ma a ottobre 2026 quella parte è ancora in discussione tra Parlamento e Consiglio e non è in vigore.

La legge italiana: Legge 132/2025

La Legge 23 settembre 2025, n. 132 affianca l'AI Act con regole nazionali. Per le aziende i punti principali sono tre: il datore di lavoro deve informare i lavoratori quando usa sistemi di AI; nelle professioni intellettuali l'AI può essere solo uno strumento di supporto e il cliente va informato; in sanità la decisione resta sempre al medico. La legge designa AgID e ACN come autorità nazionali per l'intelligenza artificiale e introduce il reato di diffusione illecita di contenuti falsificati con l'AI (deepfake). I decreti attuativi su vigilanza, sanzioni e formazione sono in corso di adozione. Il dettaglio è nell'articolo AI Act, Digital Omnibus e Legge 132/2025.

Le altre norme europee che toccano l'AI

Un sistema AI è anche un software, un insieme di dati e spesso un servizio cloud. Per questo entrano in gioco norme nate per altri scopi: la NIS2 sulla sicurezza informatica, il Data Act sull'accesso ai dati e sul cambio di fornitore cloud, il Cyber Resilience Act sulla sicurezza dei prodotti digitali. Cosa chiedono e come si incrociano con l'AI: Data Act, NIS2 e Cyber Resilience Act: cosa c'entra l'AI.

Le sanzioni

Per le grandi imprese vale l'importo più alto tra cifra fissa e percentuale. Per le PMI, e dopo il Digital Omnibus anche per le small mid-cap (meno di 750 dipendenti), l'AI Act prevede invece l'importo più basso. Le autorità possono inoltre usare misure diverse dalle multe, come avvertimenti e prescrizioni.

Da dove partire: cinque passi

• Inventario: elencare tutti gli strumenti AI usati in azienda, compresi gli abbonamenti personali dei dipendenti.
• Classificazione: per ogni strumento, ruolo dell'azienda (fornitore o deployer) e livello di rischio.
• Dati: quali dati personali o riservati entrano nel sistema, dove vengono elaborati, con quale base giuridica.
• Persone: una policy d'uso dell'AI, la formazione per profilo e l'informativa ai lavoratori.
• Documentazione: tenere traccia delle scelte fatte, così da poterle mostrare a un cliente, a un revisore o a un'autorità.

La versione operativa, in 29 punti, è la checklist AI Act e GDPR per DPO e uffici legali.

Perché l'architettura del sistema conta

Nessuna scelta tecnica esonera dagli obblighi. Ma dove gira l'AI cambia molto la fatica necessaria per rispettarli. Con un sistema installato in azienda i dati non escono dalla rete, non ci sono trasferimenti extra-UE da giustificare, i registri delle conversazioni sono sotto il controllo diretto dell'azienda e il modello non cambia senza che qualcuno lo decida. Sono tutti elementi che semplificano la DPIA, la documentazione richiesta dall'AI Act e la gestione dei fornitori prevista dalla NIS2.

Le guide di questa sezione