AI Act e GDPR: cosa deve sapere un'impresa che usa strumenti di AI

Questa guida riguarda temi in cui un errore costa, quindi lavoro solo su fonti ufficiali e scrivo la data di verifica: il 22 ottobre 2026. Non è consulenza legale. Le norme sull’AI cambiano in fretta, e quest’anno le date dell’AI Act sono già state spostate una volta, a luglio. Prima di prendere una decisione con conseguenze, controlla la fonte e, se serve, senti un professionista.

In aula i titolari di PMI mi fanno quasi sempre due domande. «Devo preoccuparmi dell’AI Act se non costruisco intelligenza artificiale?» E: «Il GDPR vale anche quando uso ChatGPT?». Rispondo subito: un po’ per l’AI Act, sì per il GDPR.

Fornitore o utilizzatore: in quale ruolo sei?

Il Regolamento (UE) 2024/1689, noto come AI Act, divide i soggetti per ruolo. Il fornitore (provider) sviluppa un sistema di AI e lo mette sul mercato. L’utilizzatore (deployer) lo usa sotto la propria responsabilità nell’attività professionale o d’impresa.

Prendiamo un B&B di Ortigia che usa un assistente AI per rispondere alle email degli ospiti: è un utilizzatore. Una software house di Catania che costruisce quell’assistente è un fornitore. Gli obblighi più pesanti gravano sulla seconda.

Se fai sviluppare o personalizzi uno strumento e lo offri a nome tuo, il confine si sposta. In quel caso chiedi per iscritto al fornitore chi risponde di cosa: lo stabilisce il contratto.

Tema	Chi usa l’AI (deployer)	Chi la sviluppa (provider)
Alfabetizzazione (art. 4)	Misure per il personale e per chi lavora per suo conto	Stesso obbligo, per il proprio personale
Pratiche vietate (art. 5)	Non può usarle	Non può metterle sul mercato
Chatbot (art. 50, par. 1)	Nella pratica, conviene dirlo ai clienti	Deve progettare il sistema in modo che le persone sappiano di parlare con una macchina
Marcatura dei contenuti sintetici (art. 50, par. 2)	Nessun obbligo diretto	Deve marcare audio, immagini, video e testo in formato leggibile da una macchina
Deepfake e testi di interesse pubblico (art. 50, par. 4)	Deve dichiararli quando li pubblica	Marca gli output, come sopra
Alto rischio (art. 26 e requisiti del Capo III)	Uso conforme, sorveglianza umana, log, informazione ai lavoratori	Requisiti di progettazione, documentazione e conformità

Quali date conviene segnare dopo il Digital Omnibus?

Il calendario ufficiale è sulle pagine della Commissione europea e dell’AI Act Service Desk. Le date sono state modificate dal Digital Omnibus on AI, il Regolamento (UE) 2026/1744, pubblicato in Gazzetta ufficiale dell’UE il 24 luglio 2026 e in vigore dal 27 luglio 2026. Il testo legislativo definitivo è nel documento PE-CONS 30/26 del Consiglio dell’UE.

Data	Cosa si applica	Per un’impresa che usa l’AI
1 agosto 2024	Entrata in vigore dell’AI Act	Nessun obbligo operativo
2 febbraio 2025	Disposizioni generali, compresa l’alfabetizzazione (art. 4), e divieti (art. 5)	Formazione del personale e divieti da conoscere
2 agosto 2025	Regole sui modelli di AI per finalità generali e sulla governance	Riguardano soprattutto chi sviluppa i modelli
2 agosto 2026	Applicazione generale, avvio dei poteri di controllo, trasparenza (art. 50)	Chatbot, deepfake, testi di interesse pubblico
2 dicembre 2026	Nuovi divieti (immagini intime sintetiche non consensuali, materiale pedopornografico generato con AI); termine per la marcatura (art. 50, par. 2) dei sistemi già sul mercato prima del 2 agosto 2026	Verifica che il generatore di contenuti che usi marchi gli output
2 agosto 2027	Ogni Stato membro ha almeno uno spazio di sperimentazione normativa operativo	Nessun obbligo per te
2 dicembre 2027	Alto rischio dell’allegato III (per esempio impiego e gestione dei lavoratori), prima fissato al 2 agosto 2026	Conta se usi AI per selezionare o valutare il personale
2 agosto 2028	Alto rischio dei sistemi incorporati in prodotti regolati (allegato I)	Riguarda soprattutto i produttori

Una nota di metodo: le pagine web della Commissione sono sintesi senza valore legale. Il testo che fa fede è quello pubblicato in Gazzetta ufficiale dell’UE.

Cosa devi fare per l’alfabetizzazione e per i divieti?

Sull’alfabetizzazione in materia di AI l’obbligo è leggero e va documentato con buon senso. L’articolo 4 è stato riscritto dal Digital Omnibus: nel testo approvato fornitori e utilizzatori devono prendere misure per sostenere lo sviluppo dell’alfabetizzazione del personale e delle altre persone che usano i sistemi per loro conto, tenendo conto di conoscenze, esperienza, formazione e contesto d’uso. L’obbligo non richiede di garantire un livello specifico a ogni persona. La Commissione europea e gli Stati membri devono sostenere le PMI, e la Commissione deve pubblicare esempi pratici.

Per un’impresa vuol dire spiegare a chi lavora cosa può fare lo strumento e cosa no, quali dati non inserire e chi controlla il risultato. Tenere traccia di quella formazione è una scelta ragionevole, anche se il testo non prescrive un formato.

L’articolo 5 elenca le pratiche vietate, in vigore dal 2 febbraio 2025. Per quasi tutte le PMI sono casi lontani: raccolta indiscriminata di immagini facciali, valutazione dei cittadini con punteggi sociali, identificazione biometrica in tempo reale per la polizia. Ce n’è uno che può avvicinarsi a un datore di lavoro: i sistemi che deducono le emozioni delle persone sul luogo di lavoro, vietati salvo motivi medici o di sicurezza. Se un software promette di «capire l’umore» di chi lavora al banco o in reception, fermati e chiedi.

Devi dichiarare quando un contenuto è fatto con l’AI?

Dipende dal contenuto e dal ruolo. L’articolo 50 si applica dal 2 agosto 2026 e, per chi usa strumenti altrui, conta soprattutto questo:

• un chatbot che interagisce con le persone deve essere progettato in modo che sappiano di parlare con una macchina, a meno che non sia ovvio. L’obbligo è del fornitore; se lo strumento è altrui, dillo comunque ai clienti in chiaro;
• i fornitori di sistemi che generano audio, immagini, video o testo sintetici devono marcare gli output in formato leggibile dalle macchine;
• chi pubblica un deepfake (audio, video o immagine falsi ma realistici) deve dichiarare che è generato o manipolato artificialmente, con regole più leggere per opere evidentemente artistiche, creative o satiriche;
• chi pubblica testi generati dall’AI per informare il pubblico su questioni di interesse pubblico deve dichiararlo, salvo revisione umana con responsabilità editoriale.

Un post promozionale di una cantina non è, di per sé, un testo su una «questione di interesse pubblico». Una foto sintetica che mostra una persona o un luogo reali in modo che sembri autentica è invece una zona da verificare. Nel dubbio dichiara l’uso dell’AI: costa una riga.

Quando scatta l’alto rischio e cosa cambia per te?

L’allegato III comprende, tra gli altri, i sistemi usati per l’occupazione e la gestione dei lavoratori. Una PMI che usasse un software per ordinare i curriculum o valutare le prestazioni del personale potrebbe rientrare in questa categoria.

Per chi li usa, l’articolo 26 prevede, tra l’altro, uso conforme alle istruzioni, sorveglianza umana affidata a persone competenti, conservazione dei log (i registri di funzionamento) sotto il proprio controllo per almeno sei mesi, e informazione ai lavoratori e ai loro rappresentanti prima dell’uso sul posto di lavoro. Questi obblighi si applicano dal 2 dicembre 2027, non prima.

Se oggi stai valutando uno strumento di questo tipo, la domanda al fornitore è una: come lo classificate ai sensi dell’AI Act? Pretendi una risposta scritta, e metti nel contratto chi aggiorna il sistema quando le regole cambiano.

Cosa aggiunge la legge italiana sull’AI?

La legge 23 settembre 2025, n. 132 («Disposizioni e deleghe al Governo in materia di intelligenza artificiale») è stata pubblicata in Gazzetta Ufficiale n. 223 del 25 settembre 2025 ed è in vigore dal 10 ottobre 2025. È una legge quadro: non sostituisce l’AI Act, lo affianca con principi e regole di settore. Quelle che interessano le imprese:

• art. 3: l’uso dell’AI avviene nel rispetto dei diritti fondamentali, con trattamento lecito, corretto e trasparente dei dati personali;
• art. 4: l’accesso a tecnologie di AI da parte dei minori di 14 anni richiede il consenso di chi esercita la responsabilità genitoriale, e chi offre servizi con AI a un pubblico giovane deve tenerne conto;
• art. 11: sul lavoro l’AI deve essere sicura, affidabile e trasparente, e il datore di lavoro informa il lavoratore dell’uso, nei casi e nei modi previsti dall’art. 1-bis del d.lgs. 152/1997;
• art. 13: per le professioni intellettuali l’AI ha funzione di supporto e il cliente va informato in modo chiaro;
• art. 20: AgID e ACN sono designate autorità nazionali per l’intelligenza artificiale.

La legge contiene anche deleghe al Governo: i decreti attuativi, quando arrivano, vanno cercati in Gazzetta Ufficiale. Per lo studio professionale, gli effetti pratici dell’art. 13 sono in AI negli studi professionali.

Il GDPR vale anche quando usi l’AI?

Il GDPR non è cambiato e si applica anche all’AI. Quando nello strumento entra un dato personale, per il GDPR (il regolamento europeo sulla protezione dei dati personali) hai fatto un trattamento. Prendiamo un piccolo hotel che incolla le email degli ospiti per avere bozze di risposta: dentro ci sono nomi, date di soggiorno e spesso esigenze alimentari o di mobilità, dati che possono rivelare informazioni sulla salute, cioè una categoria particolare.

Da verificare, in ordine:

1. Base giuridica (art. 6) e finalità: perché tratti quei dati e se il nuovo strumento rientra nella finalità dichiarata.
2. Informativa (artt. 13 e 14): gli ospiti sanno che usi strumenti automatizzati?
3. Fornitore come responsabile del trattamento (art. 28): serve un contratto, e le versioni gratuite e personali spesso non lo prevedono.
4. Trasferimenti extra SEE (artt. 44 e seguenti): il Garante per la protezione dei dati personali indica come strade le decisioni di adeguatezza, come l’EU-US Data Privacy Framework del 10 luglio 2023 per le imprese statunitensi certificate, o le clausole contrattuali tipo. Le deroghe dell’art. 49 sono eccezioni.
5. Valutazione d’impatto (art. 35): serve quando il trattamento può comportare un rischio elevato; criteri ed elenco sono nella pagina del Garante.

Sul rapporto tra GDPR e modelli di AI il Comitato europeo per la protezione dei dati ha adottato il parere 28/2024, il 18 dicembre 2024: se un modello addestrato con dati personali sia anonimo va valutato caso per caso. Per te, utilizzatore, la conseguenza pratica è una: chiedi al fornitore cosa fa dei dati che inserisci e se li usa per addestrare i suoi modelli.

Quando serve un professionista, e quanto costa farsi aiutare?

Per leggere le condizioni del fornitore e scrivere una regola interna basta un pomeriggio. Chiamerei un avvocato o un consulente privacy in questi casi: dati sanitari o altre categorie particolari in grandi volumi, strumenti per selezionare o valutare il personale, chatbot che prendono decisioni che incidono sui clienti, fornitori extra UE senza garanzie chiare, qualsiasi dubbio sull’obbligo di dichiarare l’uso dell’AI.

Il costo è reale. Una consulenza ben fatta richiede tempo e denaro e rende poco se arrivi senza sapere cosa usi. Prepara l’elenco degli strumenti, dei dati che entrano e dei fornitori: è metà del lavoro, e lo puoi fare da solo.

Se vuoi inserire l’AI in azienda prima di arrivare ai nodi legali, parti da AI per le PMI siciliane: da dove cominciare. Sul territorio, formazione e consulenza si trovano anche tramite gli eventi, e le aziende siciliane che lavorano con l’AI sono in elenco. Per i compiti di segreteria e amministrazione ci sono i prompt per gli studi professionali, pensati per lavorare senza dati reali, e per le strutture ricettive i prompt per l’ospitalità.