4.10 — Conformità: l'AI Act europeo (e il GDPR)

Dopo i guardrail tecnici (4.3-4.7), ecco quelli legali. Distribuire un’IA nella tua azienda significa anche rispettare la legge. L’Europa ha approvato l’AI Act — il primo grande quadro legale sull’IA. Buona notizia: la maggior parte degli usi aziendali ha obblighi leggeri.

🟢 In parole semplici — l’AI Act classifica i sistemi di IA per livello di rischio per le persone. Più alto è il rischio, più pesanti sono gli obblighi. La grande maggioranza degli usi quotidiani rientra nel livello più basso (nessun nuovo obbligo).

🚦 I 4 livelli di rischio.

• Inaccettabile → vietato (da febbraio 2025): punteggio sociale, manipolazione subliminale, riconoscimento delle emozioni sul lavoro…
• Alto rischio → obblighi pesanti: IA di selezione del personale, scoring del credito, biometria… → documentazione, supervisione umana, test, registrazione.
• Rischio limitato → trasparenza: chatbot, IA generativa → bisogna dire che è un’IA (ed etichettare i contenuti generati).
• Rischio minimo → niente: la grande maggioranza (filtri anti-spam, suggerimenti di prodotti…).

🧩 Esempio concreto — il tuo agente di assistenza clienti (un chatbot) = rischio limitato → un solo obbligo semplice: avvisare l’utente che parla con un’IA. Ma un agente che seleziona candidature per un posto = alto rischio → obblighi seri (documentazione, controllo umano, non discriminazione).

📅 Il calendario (nota di freschezza ⏳). I divieti si applicano da febbraio 2025; gli obblighi per i modelli generici (GPAI, i grandi modelli come GPT/Claude) da agosto 2025; gli obblighi ad alto rischio entrano in vigore gradualmente nel 2026-2027. ⚠️ Queste scadenze vengono regolarmente aggiustate — verifica la fonte ufficiale prima di ogni decisione (link sotto).

⚠️ Errore frequente — credere che « l’AI Act renda l’IA illegale » o che « riguardi solo le grandi aziende ». Falso: la maggior parte degli usi ha obblighi leggeri. In pratica il vero tema quotidiano è spesso il GDPR: appena la tua IA tratta dati personali (email dei clienti, CV, recapiti…), si applica — base giuridica, minimizzazione, e mai inviare dati personali sensibili a un modello senza precauzioni (ricorda: la « triade fatale », 4.4).

❓ Verifica di aver capito — il tuo agente seleziona candidature per un posto. Quale livello di rischio secondo l’AI Act, e quale conseguenza?

Vedi la risposta

Alto rischio (la selezione del personale è esplicitamente coperta). Conseguenza: obblighi seri — documentazione, supervisione umana (decide un umano, non la macchina da sola), test di non discriminazione, registrazione. È esattamente il tipo di uso in cui l’Human-in-the-Loop (4.6) non è opzionale.

✅ In sintesi

• L’AI Act classifica le IA in 4 livelli: inaccettabile (vietato) · alto rischio (pesante) · limitato (trasparenza) · minimo (niente).
• La maggior parte degli usi aziendali = rischio limitato o minimo → obblighi leggeri.
• Usi sensibili (selezione, credito…) = alto rischio → documentazione + controllo umano.
• Il GDPR si applica appena ci sono dati personali — spesso il vero tema quotidiano.

🔎 Per approfondire. Possibili sanzioni (multe elevate), testo e calendario ufficiali: digital-strategy.ec.europa.eu e artificialintelligenceact.eu. Il settore si muove in fretta: considera questi punti un inizio, non un parere legale.