Intelligenza artificiale: obblighi per imprese e professionisti

In breve

• Il Regolamento europeo sull’intelligenza artificiale (AI Act, Reg. UE 2024/1689) si applica in via generale dal 2 agosto 2026. Riguarda anche chi si limita a usare strumenti di intelligenza artificiale, come un chatbot sul sito, un software di selezione del personale o un generatore di testi e immagini.
• Il Digital Omnibus (Reg. UE 2026/1744) ha rinviato soltanto gli obblighi per i sistemi “ad alto rischio”, al 2 dicembre 2027 e al 2 agosto 2028. Restano in vigore i divieti, l’obbligo di formare il personale e gli obblighi di trasparenza.
• In Italia la legge 132/2025, in vigore dal 10 ottobre 2025, aggiunge regole proprie: i professionisti devono informare i clienti degli strumenti di intelligenza artificiale che usano e i datori di lavoro devono informarne i lavoratori.

Le scadenze

• 2 febbraio 2025: pratiche vietate (art. 5) e formazione del personale sull’intelligenza artificiale (art. 4).
• 2 agosto 2025: regole per i modelli di intelligenza artificiale per finalità generali, a carico dei fornitori.
• 10 ottobre 2025: entrata in vigore della legge italiana 132/2025.
• 2 agosto 2026: applicazione generale dell’AI Act, compresi gli obblighi di trasparenza (art. 50).
• 2 dicembre 2026: ulteriori divieti e fine del periodo transitorio per la marcatura dei contenuti generati.
• 2 dicembre 2027: sistemi ad alto rischio dell’Allegato III, per esempio selezione del personale e valutazione del merito di credito.
• 2 agosto 2028: sistemi ad alto rischio legati a prodotti regolati (Allegato I), per esempio componenti di sicurezza dei macchinari.

Cosa riguarda la maggior parte delle imprese

La maggior parte delle imprese non produce intelligenza artificiale, ma la usa. Per chi la usa gli obblighi principali sono questi.

• Formazione del personale (art. 4 AI Act). Chi usa sistemi di intelligenza artificiale deve adottare misure per sviluppare le competenze di chi li utilizza. Dopo il Digital Omnibus l’obbligo è di adottare misure adeguate, non di garantire un risultato, ma resta in vigore e conviene documentarlo.
• Trasparenza (art. 50 AI Act), dal 2 agosto 2026. Chi parla con un chatbot deve sapere che si tratta di un sistema di intelligenza artificiale, se non è evidente. Immagini, audio e video realistici generati o modificati (deepfake) vanno dichiarati. Lo stesso vale per i testi generati e pubblicati per informare il pubblico su questioni di interesse pubblico, salvo revisione umana con responsabilità editoriale.
• Informazione ai lavoratori (art. 11 legge 132/2025). Il datore di lavoro deve informare i lavoratori dell’uso dell’intelligenza artificiale nei casi e con le modalità dell’art. 1-bis del d.lgs. 152/1997.
• Protezione dei dati personali. Inserire dati di clienti o dipendenti in uno strumento di intelligenza artificiale è un trattamento soggetto al GDPR, che può richiedere una valutazione d’impatto.
• Contratti con i fornitori. Il contratto deve chiarire chi è “fornitore” e chi “utilizzatore” (deployer), come vengono usati i dati, quali garanzie e quali responsabilità.
• Produttori di macchinari. Chi integra componenti di intelligenza artificiale con funzioni di sicurezza nei propri prodotti rientra tra i sistemi ad alto rischio dal 2 agosto 2028: i progetti avviati oggi devono già tenerne conto.

Professionisti: l’art. 13 della legge 132/2025

Commercialisti, consulenti del lavoro, ingegneri, architetti, medici e avvocati sono tenuti a due regole.

• L’intelligenza artificiale può essere usata solo per attività strumentali e di supporto, e il lavoro intellettuale del professionista deve restare prevalente.
• Il cliente deve essere informato degli strumenti di intelligenza artificiale usati, con linguaggio chiaro, semplice ed esaustivo.

In pratica serve un’informativa da consegnare al cliente o una clausola nel conferimento dell’incarico, oltre a regole interne su quali strumenti usare e quali dati inserirvi.

Chi controlla e le sanzioni

In Italia le autorità per l’intelligenza artificiale sono l’AgID e l’Agenzia per la cybersicurezza nazionale (ACN), che ha i poteri di vigilanza e sanzionatori. Restano ferme le competenze del Garante per la protezione dei dati personali.

L’AI Act prevede sanzioni fino a 35 milioni di euro o al 7% del fatturato mondiale per le pratiche vietate, e fino a 15 milioni o al 3% per gli altri obblighi. Per le piccole e medie imprese si applica l’importo minore tra i due.

Cosa fa lo studio

L’Avv. Pier Giorgio Ometto, che ha conseguito il Master «Intelligenza artificiale e diritto», assiste imprese e professionisti in queste attività:

• mappatura degli strumenti di intelligenza artificiale usati e loro classificazione secondo l’AI Act;
• regole interne sull’uso dell’intelligenza artificiale, anche generativa, e piano di formazione del personale;
• informative ai clienti per i professionisti (art. 13 legge 132/2025), ai lavoratori (art. 11) e al pubblico (art. 50 AI Act);
• contratti con i fornitori di software e di servizi di intelligenza artificiale;
• protezione dei dati personali nei progetti che usano l’intelligenza artificiale;
• per i produttori di macchinari, impostazione del percorso verso gli obblighi del 2028.

Domande frequenti

Fonti

• Legge 23 settembre 2025, n. 132, testo su Normattiva (artt. 11, 13 e 20)
• Regolamento (UE) 2024/1689 (AI Act), testo su EUR-Lex (artt. 4, 5, 50, 99 e 113)
• Regolamento (UE) 2026/1744 (Digital Omnibus sull’intelligenza artificiale), pubblicato nella Gazzetta ufficiale dell’UE il 24 luglio 2026, in vigore dal 27 luglio 2026