L’intelligenza artificiale ha superato lo stadio di mera sperimentazione tecnologica per consolidarsi quale asset portante della trasformazione dei modelli aziendali.

Ciononostante, la volontà delle imprese di integrare tali sistemi nei propri flussi di lavoro deve oggi misurarsi con un quadro normativo articolato, trovando spesso un punto di criticità nelle verifiche di conformità relative alla protezione dei dati ed alla salvaguardia dei diritti e delle libertà fondamentali.

L’adozione di queste tecnologie non può infatti prescindere da un perimetro di liceità “rafforzata”, che impone il coordinamento, soprattutto tra il GDPR (Regolamento UE 2016/679), l’ AI Act (Regolamento UE 2024/1689), e non solo: ad esempio, quando le soluzioni sono dirette ai dipendenti, anche le tutele nazionali quali lo Statuto dei Lavoratori. 

L’AI ACT (Regolamento UE 2024/1689)

L’AI Act adotta un approccio regolatorio basato sul rischio che l’utilizzo di un sistema di intelligenza artificiale pregiudichi la salute e la sicurezza o i diritti fondamentali delle persone, tenendo conto, tra l’altro, sia della gravità del possibile danno sia della probabilità che si verifichi. La disciplina distingue, in particolare, tra pratiche di IA vietate perché caratterizzate da un rischio inaccettabile, sistemi ad alto rischio e sistemi a rischio minimo o nullo. A ciascuna categoria corrisponde un diverso livello di regolamentazione: dai divieti per gli utilizzi ritenuti incompatibili con i diritti fondamentali e i valori dell’Unione Europea, fino a obblighi più circoscritti.

L’AI Act è entrato in vigore nel 2024 e l’articolo 113 ha fissato al 2 agosto 2026 la data generale di applicazione. Il quadro è tuttavia in evoluzione: ad esempio, il recente Digital Omnibus (Regolamento UE 2026/1744), tra le molte novità, ha introdotto una maggiore flessibilità nella transizione, posticipando al 2 dicembre 2027 e al 2 agosto 2028 alcuni adempimenti. L’obiettivo è consentire alle imprese di adeguarsi in modo più graduale, anche in attesa della definizione di standard tecnici e strumenti di governance più consolidati.

Ma attenzione: molti obblighi sono già pienamente operativi. 

Tra questi, assume particolare rilievo l’articolo 4 sull’AI literacy, che impone ai fornitori ed ai deployer di adottare misure proporzionate, documentate e coerenti con il proprio contesto operativo, a sostegno dello sviluppo dell’alfabetizzazione in materia di IA del loro personale nonché di qualsiasi altra persona che si occupa del funzionamento e dell’utilizzo dei sistemi di IA per loro conto.

E poi c’è l’articolo 50, dedicato alla trasparenza: gli utenti devono essere informati quando interagiscono con un sistema di IA e i contenuti generati o manipolati artificialmente devono essere riconoscibili come, ad esempio, nel caso dei deepfake e dei contenuti destinati a informare il pubblico su questioni di interesse generale, nei casi previsti dal Regolamento.

Dalla teoria alla pratica: un caso affrontato dal Garante

È proprio questo approccio basato sul rischio a rendere particolarmente interessante un recente intervento del Garante per la protezione dei dati personali. Il caso dimostra, infatti, che la compliance sull’IA non può fermarsi alla verifica astratta delle caratteristiche tecniche di un sistema, ma deve considerare come quella tecnologia viene concretamente utilizzata e quali effetti può produrre sulle persone.

Nel provvedimento n. 342 del 2026, l’Autorità si è occupata di un sistema di intelligenza artificiale in grado di analizzare le comunicazioni dei lavoratori su piattaforme come Slack e Microsoft Teams per individuare eventuali segnali di stress. Il software era stato progettato con diverse misure di tutela: il datore di lavoro non poteva accedere ai dati individuali del proprio personale e gli eventuali report messi a sua disposizione erano elaborati con esiti in forma aggregata. Quindi, l’applicativo appariva sotto il profilo tecnico particolarmente attento alla tutela della privacy.

Eppure il Garante, pur riconoscendo che con l’utilizzo del plug in fino a quel momento non era stata commessa alcuna violazione in termini di protezione dei dati personali, ha avvertito di un rischio tutt’altro che teorico: in un’azienda di piccole dimensioni, anche un report apparentemente anonimo riferito a un numero non elevato di lavoratori potrebbe consentire, attraverso deduzioni e informazioni già disponibili, di identificare le persone interessate. Aggregare i dati, talvolta, non significa necessariamente renderli completamente anonimi.

Questo ci insegna una lezione fondamentale: la sicurezza non è un modulo da compilare, ma un’analisi che va calata nella realtà specifica di ogni ufficio.

Da dove cominciare?

Da dove partire, allora? 

Prima di tutto, occorre capire che cosa già si sta utilizzando. 

Quali sistemi di IA utilizza l’azienda? Chi li utilizza e per quali finalità? Quali dati vengono inseriti? E, soprattutto, quali decisioni vengono supportate o automatizzate? Questa prima mappatura consente di individuare i sistemi rilevanti e di valutarne i rischi, anche per capire quali obblighi possono derivare ad esempio dall’AI Act e, quando vi sono trattamenti di dati personali, dal GDPR.

Conoscere i sistemi però non basta. Occorre poi costruire intorno all’IA un sistema di regole e responsabilità: formazione differenziata in funzione dei ruoli, procedure interne e policy aziendali, documentazione delle valutazioni e delle scelte effettuate, nonché la predisposizione delle necessarie informative. E occorre prevedere meccanismi di supervisione e monitoraggio che permettano di verificare nel tempo il comportamento dei sistemi, intercettare anomalie e intervenire quando cambiano i rischi.

C’è poi un altro punto spesso sottovalutato: il rapporto con i fornitori di tali tecnologie. Responsabilità e garanzie di conformità, trasparenza e tracciabilità del funzionamento del

sistema, trattamento e trasferimento dei dati personali, utilizzo dei dati per l’addestramento dei modelli, misure di sicurezza e gestione degli aggiornamenti, sono tra gli aspetti che meritano una valutazione specifica e non possono essere semplicemente affidati alle condizioni standard del fornitore.

Sono solo alcuni dei tasselli di un percorso molto più ampio: detto ciò, il messaggio di fondo è semplice, la compliance non è il controllo da fare quando il progetto è già pronto. È una componente del progetto, da costruire fin dalla sua ideazione, per orientare l’innovazione.

Durante il Master AI Super Power avremo modo di approfondire alcune tra le questioni normative legate all’utilizzo dell’intelligenza artificiale, per acquisire una maggiore consapevolezza delle opportunità e dei profili da considerare quando si sceglie di introdurla o svilupparla nelle proprie attività.

Avv. Regina Casolari