L’AI Act è il regolamento europeo che disciplina lo sviluppo e l’uso dei sistemi di intelligenza artificiale (IA). Riguarda sia chi sviluppa questi sistemi sia le organizzazioni che li utilizzano e comprende un obbligo che interessa direttamente la formazione del personale.
Cos’è l’AI Act
L’AI Act è il Regolamento (UE) 2024/1689. Si applica direttamente in tutti gli Stati membri, Italia compresa, senza bisogno di una legge di recepimento. Le sue disposizioni diventano applicabili in momenti diversi. Il calendario è stato modificato dal Regolamento (UE) 2026/1744, detto Omnibus digitale sull’IA, che ha introdotto semplificazioni e ha rivisto in particolare i tempi per i sistemi ad alto rischio. Per le scadenze si rimanda alle fonti ufficiali della Commissione.
L’approccio basato sul rischio
Il regolamento si applica ai sistemi che rientrano nella definizione di sistema di IA e gradua le regole in base al livello di rischio.
Rischio inaccettabile: sono vietate le pratiche che presentano un rischio inaccettabile per salute, sicurezza o diritti fondamentali, ad esempio i sistemi usati per rilevare le emozioni dei dipendenti sul lavoro, salvo motivi medici o di sicurezza.
Alto rischio: riguarda i sistemi usati in ambiti sensibili, come l’occupazione o le attività di contrasto. Devono rispettare requisiti specifici, tra cui gestione del rischio, qualità dei dati, documentazione e supervisione umana.
Rischio limitato: per alcuni sistemi valgono obblighi di trasparenza. I chatbot devono informare l’utente di non essere una persona, e i contenuti generati o manipolati artificialmente, come i deepfake, devono essere riconoscibili come tali.
Rischio minimo: gli altri sistemi di IA non sono regolamentati dall’AI Act e possono essere usati senza requisiti specifici.
I modelli di IA per finalità generali, come quelli alla base degli assistenti generativi, sono regolati da norme dedicate, che riguardano i loro fornitori.
A chi si applica
Il regolamento individua più figure lungo la filiera. Il fornitore sviluppa un sistema di IA, o lo fa sviluppare, e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio. Il deployer, in italiano utilizzatore, è la persona fisica o giuridica, l’autorità pubblica o l’organismo che usa un sistema di IA sotto la propria autorità, esclusi gli usi personali non professionali. Sono previsti ruoli e obblighi anche per importatori e distributori.
L’ambito territoriale è ampio. Il regolamento si applica a soggetti pubblici e privati dentro e fuori l’Unione europea, purché il sistema sia immesso sul mercato dell’Unione, sia utilizzato nell’Unione o il suo utilizzo abbia effetti su persone che si trovano nell’Unione.
Un’azienda che non sviluppa IA rientra nel perimetro come deployer quando usa questi sistemi nella propria attività, ad esempio un assistente generativo per scrivere o tradurre testi. Il regolamento non esclude le organizzazioni in base alla dimensione e prevede alcune semplificazioni per le PMI e per le piccole imprese a media capitalizzazione.
L’alfabetizzazione sull’IA
Tra le disposizioni generali figura l’articolo 4, dedicato all’alfabetizzazione in materia di IA (AI literacy). Il termine indica le competenze, le conoscenze e la comprensione che consentono un uso informato dei sistemi di IA e la consapevolezza di opportunità e rischi.
Nella formulazione introdotta dal Regolamento (UE) 2026/1744, fornitori e deployer adottano misure volte a sostenere lo sviluppo dell’alfabetizzazione del proprio personale e di chiunque si occupi del funzionamento e dell’utilizzo dei sistemi per loro conto. Le misure tengono conto di conoscenze tecniche, esperienza, istruzione e formazione delle persone e del contesto in cui i sistemi sono utilizzati.
Il testo precisa che l’obbligo non impone di garantire un livello specifico di alfabetizzazione per alcuna persona e non prescrive un percorso formativo determinato. La Commissione e gli Stati membri devono sostenere le organizzazioni, in particolare le PMI, e la Commissione pubblica esempi pratici sulla piattaforma informativa unica.
Per i deployer di sistemi ad alto rischio resta inoltre l’obbligo specifico di assicurare che il personale incaricato sia adeguatamente formato per esercitare la supervisione umana.
La formazione contribuisce a sviluppare competenze e consapevolezza, ma la partecipazione a un corso non equivale di per sé a una certificazione di conformità.
Da dove iniziare
Individuare i sistemi: identificare gli strumenti di IA in uso nell’organizzazione, compresi quelli adottati autonomamente dai singoli reparti.
Definire il proprio ruolo: stabilire se l’organizzazione opera come fornitore, come deployer o in entrambe le vesti.
Valutare le competenze: considerare conoscenze, esperienza e ruolo delle persone che usano i sistemi, perché management, utenti e team IT hanno esigenze diverse.
Cybersecurity e infrastrutture costituiscono la base tecnica per adottare l’IA in modo sicuro. Per rafforzare queste competenze è possibile consultare i percorsi e-learning e i corsi in aula di Dadonet.
