La domanda che ci arriva più spesso sull'AI Act è quale software vada certificato. Il regolamento europeo sull'intelligenza artificiale, però, classifica gli usi, non i prodotti: lo stesso gestionale può essere del tutto libero in una funzione e soggetto a obblighi pesanti in un'altra, a seconda di cosa gli si fa fare.
Questo cambia il modo di affrontarlo. Non si parte dall'elenco dei programmi installati, si parte dall'elenco delle cose che l'azienda fa fare all'intelligenza artificiale.
Il principio che semplifica tutto
Un gestionale che tiene anagrafiche, documenti e scadenze non pone alcun problema, per quanta AI ci sia dentro. Lo stesso gestionale che comincia a selezionare candidati, a valutare le persone o a monitorarne le prestazioni entra in una categoria completamente diversa, con obblighi seri.
La conseguenza pratica è che l'analisi va fatta funzione per funzione. Ed è una buona notizia: nella maggior parte delle aziende gli usi delicati sono pochi, identificabili e spesso nemmeno attivi.
Già obbligatorio: la competenza delle persone
L'obbligo che sorprende di più è anche il più semplice, ed è in vigore dal 2 febbraio 2025: chi mette l'intelligenza artificiale in mano ai propri collaboratori deve assicurarsi che sappiano usarla. Non riguarda la tecnologia, riguarda le persone.
Non serve un percorso accademico. Serve poter dimostrare di aver fatto qualcosa di strutturato:
- un piano di formazione proporzionato a come l'AI viene usata in azienda;
- contenuti tracciabili, anche brevi, su cosa lo strumento fa e su cosa non è affidabile;
- un registro di chi è stato formato e quando.
Molte aziende questo obbligo lo stanno già soddisfacendo senza saperlo, perché hanno fatto formazione interna quando hanno introdotto gli strumenti. Manca solo la prova. Metterla insieme è lavoro di ore.
Da agosto 2026: dire che è intelligenza artificiale
La seconda ondata riguarda la trasparenza, ed è quella che tocca più aziende perché tocca tutto ciò che è rivolto all'esterno.
Chi parla con un assistente automatico deve sapere che sta parlando con un assistente automatico. Vale per i chatbot sul sito, e vale in modo ancora più netto per gli assistenti vocali al telefono, dove la dichiarazione va fatta in apertura di chiamata e non in fondo a una pagina di note legali.
Poi ci sono i contenuti. Immagini, video, voci e testi generati o modificati con l'AI vanno riconoscibili come tali quando è previsto. Su questo l'Italia si è mossa prima dell'Europa: la legge 132 del 2025 ha introdotto un reato specifico per la diffusione ingannevole di contenuti generati o alterati con l'intelligenza artificiale, con pene detentive. Non è una questione di etichette burocratiche: è materia penale, e riguarda chiunque pubblichi.
La cosa utile da capire è che dichiararlo non toglie valore al contenuto. Toglie il rischio, e in molti settori aggiunge credibilità.
Da dicembre 2027: solo se fate certe cose
Gli obblighi pesanti, quelli veri, riguardano i sistemi ad alto rischio e arrivano più avanti. L'elenco è definito, e per le aziende che non producono dispositivi medici o infrastrutture critiche si riduce quasi sempre a un capitolo solo: il lavoro.
Rientrano l'uso dell'AI per selezionare o scremare candidati, per decidere promozioni o cessazioni, per assegnare compiti sulla base di comportamenti, per valutare o monitorare le prestazioni delle persone. Rientra anche l'uso per decidere l'accesso a servizi essenziali come il credito.
Se l'azienda fa una di queste cose, gli obblighi sono impegnativi: gestione del rischio documentata, qualità dei dati, documentazione tecnica, registrazione degli eventi, sorveglianza umana progettata dentro al sistema, istruzioni d'uso. Se non le fa, non si applicano.
Il consiglio pratico è tenere questi usi separati e riconoscibili nei propri sistemi. Un modulo che oggi non è attivo ma che domani potrebbe esserlo va marcato adesso, quando costa niente, non quando qualcuno chiede di accenderlo il mese prossimo.
Chi sviluppa e chi usa: due ruoli diversi
Il regolamento distingue chi realizza un sistema di AI da chi lo utilizza, e assegna obblighi diversi ai due. La distinzione conta perché evita di prendersi responsabilità che non sono proprie.
Chi usa modelli generalisti come quelli dei grandi fornitori internazionali non eredita gli obblighi di quei fornitori: restano loro. All'azienda serve conservare la documentazione e le condizioni d'uso del modello che utilizza, e poter dimostrare di aver scelto un fornitore che quella documentazione la produce. È un adempimento d'archivio, non un progetto.
Le tre mosse che coprono quasi tutto
Se dovessimo indicare da dove partire domani mattina, sarebbe questo, in quest'ordine.
- L'inventario. Una pagina con l'elenco degli usi dell'intelligenza artificiale in azienda: dove, per fare cosa, con quale strumento, chi lo usa. Senza inventario non si può classificare niente, e con l'inventario ci si accorge quasi sempre che la situazione è più semplice del previsto.
- La formazione, messa per iscritto. Chiude un obbligo già in vigore con lo sforzo più basso di tutti.
- Le dichiarazioni di trasparenza. Chatbot, assistenti vocali, contenuti generati. Da fare prima di agosto 2026, e sono modifiche di poche righe nei punti giusti.
Cosa non serve fare
Non serve fermare i progetti in attesa di chiarimenti. Non serve una certificazione per usare un assistente conversazionale. Non serve trattare ogni automazione come se fosse un sistema ad alto rischio: è il modo più veloce per rendere impraticabile qualcosa che il regolamento consente senza problemi.
L'AI Act è scritto per distinguere, e la distinzione è a vostro favore in quasi tutti gli usi aziendali ordinari. Il rischio concreto, oggi, non è la sanzione: è rinunciare a strumenti utili per un timore che l'analisi di mezza giornata avrebbe chiarito.
Il regolamento non chiede di usare meno intelligenza artificiale. Chiede di sapere dove la si sta usando.
Questa è una guida di orientamento e non sostituisce un parere legale: la classificazione dipende dall'uso concreto, e nei casi delicati va verificata con un professionista.
Se volete capire in quale categoria ricadono davvero i vostri sistemi, scriveteci a info@fodisrl.it. Partiamo dall'inventario: è mezza giornata, e da lì in poi si ragiona su fatti.