L’intelligenza artificiale è già entrata in molte aziende, talvolta senza una decisione formale. È integrata nei software gestionali, nelle piattaforme HR e negli strumenti d’ufficio; altre volte viene utilizzata dai collaboratori attraverso chatbot o servizi online.
Nel frattempo, l’AI Act europeo e la legge italiana n. 132/2025 hanno introdotto regole che riguardano anche chi utilizza sistemi di IA. Tra queste rientrano l’alfabetizzazione del personale, alcuni obblighi di sorveglianza umana e specifiche forme di trasparenza. Quali obblighi si applicano dipende però dal sistema, dalla sua finalità e dal ruolo dell’azienda.
Questo articolo spiega come tradurre le regole in scelte organizzative: chi decide, quali controlli servono e come individuare gli strumenti che sono già entrati nei processi aziendali. Partiamo da una situazione che molte imprese potrebbero riconoscere.
Uno strumento che nessuno aveva deciso di adottare
Lunedì mattina, in un’azienda di servizi, la responsabile HR scopre che da tre mesi il suo team usa una funzione della piattaforma di recruiting per filtrare i curriculum. La funzione è stata attivata con un clic insieme a un aggiornamento del software. Non è mai passata dall’ufficio acquisti. Nessuno sa con certezza quali criteri utilizzi, quanto incida sulla selezione dei candidati o se il fornitore impieghi i dati per addestrare o migliorare il sistema.
Nessuno ha agito in malafede, ma l’azienda non ha ancora ricostruito che cosa faccia quella funzione e quale ruolo abbia nel processo di selezione. Se si tratta di un sistema di IA destinato ad analizzare o filtrare candidature, l’uso rientra, in linea di principio, tra quelli ad alto rischio indicati dall’Allegato III dell’AI Act. La qualificazione va comunque verificata rispetto alla finalità prevista e alle condizioni dell’articolo 6, compresa l’eventuale deroga per sistemi che non presentano un rischio significativo e non influenzano materialmente il risultato del processo decisionale.
Il problema non è soltanto tecnologico. È un problema di organizzazione.
Perché la questione riguarda tutte le aziende
L’intelligenza artificiale non entra più in azienda soltanto attraverso progetti dedicati. Può essere incorporata in strumenti già in uso: un CRM che suggerisce offerte, una suite d’ufficio che riassume riunioni, un gestionale che prevede fabbisogni di magazzino o un chatbot usato per preparare una comunicazione al cliente.
Questa diffusione può creare una distanza tra l’uso effettivo dell’IA e la consapevolezza dell’organizzazione. Il quadro normativo comprende l’AI Act, la legge italiana sull’intelligenza artificiale e le norme sulla protezione dei dati. Per le imprese che rientrano nel relativo ambito di applicazione si aggiungono anche gli obblighi di cybersicurezza previsti dalla NIS2.
La posta in gioco non è soltanto evitare sanzioni. È poter spiegare a clienti, lavoratori, partner e autorità quali strumenti vengono utilizzati, per quali finalità e quali controlli sono stati predisposti.
AI Act: gli obblighi dipendono dal rischio e dal ruolo
Quattro livelli di rischio
Il Regolamento (UE) 2024/1689 adotta un approccio basato sul rischio. La seguente ripartizione in quattro categorie è una sintesi divulgativa: gli obblighi effettivi dipendono dalle disposizioni applicabili a ciascun sistema e al ruolo dei soggetti coinvolti.
- Rischio inaccettabile: alcune pratiche sono vietate dall’articolo 5, tra cui determinate forme di manipolazione e, salvo eccezioni previste, il riconoscimento delle emozioni sul luogo di lavoro.
- Alto rischio: vi rientrano i sistemi individuati dall’articolo 6 e dall’Allegato III, oltre a determinate categorie di sistemi che costituiscono componenti di sicurezza di prodotti regolamentati. Tra gli usi indicati nell’Allegato III figurano la selezione del personale, la valutazione delle prestazioni, l’assegnazione di compiti e alcune decisioni relative al rapporto di lavoro.
- Obblighi di trasparenza: l’articolo 50 stabilisce obblighi specifici per determinate funzioni e per soggetti diversi. Per esempio, il fornitore di un sistema destinato a interagire direttamente con persone fisiche deve fare in modo che queste siano informate dell’interazione con l’IA, salvo che ciò risulti evidente. Per alcuni deepfake e testi generati o manipolati destinati a informare il pubblico su questioni di interesse pubblico, gli obblighi riguardano invece il deployer e sono previste eccezioni.
- Rischio minimo: molti sistemi possono ricadere in questa categoria, ma la valutazione dipende dal sistema e dalla sua finalità concreta. Anche quando non si applicano gli obblighi specifici previsti per i sistemi ad alto rischio, restano applicabili le altre norme pertinenti, tra cui quelle sulla protezione dei dati personali.
Fornitore o utilizzatore?
In molti casi l’azienda che usa un sistema è un deployer, cioè un soggetto che utilizza il sistema sotto la propria autorità. La qualifica va verificata in concreto: dipende dalle attività svolte e non soltanto da quanto stabilito nel contratto.
L’articolo 25 dell’AI Act prevede specifiche circostanze in cui un distributore, importatore, deployer o altro terzo è considerato fornitore di un sistema ad alto rischio. Tra queste rientrano l’apposizione del proprio nome o marchio sul sistema, una modifica sostanziale che lasci il sistema nella categoria ad alto rischio e il cambiamento della finalità prevista che renda ad alto rischio un sistema prima non classificato come tale.
Perciò il riaddestramento o la personalizzazione di un sistema non comportano automaticamente il cambio di ruolo. Occorre esaminare che cosa è stato modificato, quale finalità abbia il sistema dopo la modifica e se ricorrano le condizioni dell’articolo 25.
Per i deployer di sistemi ad alto rischio, l’articolo 26 prevede, tra gli altri, obblighi di:
- utilizzare il sistema conformemente alle istruzioni per l’uso;
- affidare la sorveglianza umana a persone competenti, formate e dotate dell’autorità necessaria;
- monitorarne il funzionamento e informare il fornitore nei casi previsti;
- conservare i log generati automaticamente, nella misura in cui sono sotto il loro controllo, per il periodo previsto dalla norma;
- garantire che i dati di input siano pertinenti e sufficientemente rappresentativi, nella misura in cui il deployer controlli tali dati.
Inoltre, prima di mettere in servizio o utilizzare un sistema di IA ad alto rischio sul luogo di lavoro, il datore di lavoro deve informare i lavoratori interessati e i loro rappresentanti secondo quanto previsto dall’articolo 26, paragrafo 7.
La normativa italiana: informare i lavoratori
La legge italiana sull’intelligenza artificiale stabilisce che, nel lavoro, l’IA deve essere usata rispettando la dignità delle persone, la riservatezza dei loro dati e il principio di non discriminazione.
Il datore di lavoro deve informare i lavoratori sull’uso dell’IA nei casi e con le modalità previsti dalla legge. Questo non significa che debba comunicare ogni utilizzo, anche minimo, di uno strumento di IA. Se invece l’azienda usa un sistema ad alto rischio sul luogo di lavoro, deve informare i lavoratori interessati e i loro rappresentanti prima di iniziare a usarlo.
In ogni caso, è buona pratica spiegare in modo chiaro quando e come l’IA entra nel lavoro e chi controlla i risultati.
La formazione: un obbligo da tradurre in misure concrete
L’articolo 4 dell’AI Act richiede a fornitori e deployer di adottare misure per garantire, nella misura del possibile, un livello sufficiente di alfabetizzazione in materia di IA al personale e alle altre persone che operano sul funzionamento o sull’utilizzo dei sistemi per loro conto. La valutazione deve considerare competenze tecniche, esperienza, istruzione, formazione, contesto d’uso e persone o gruppi di persone interessati.
L’obbligo si applica dal 2 febbraio 2025. Riguarda i fornitori e i deployer di sistemi di IA; non è limitato ai sistemi ad alto rischio. La norma non prescrive un unico corso valido per tutte le organizzazioni: richiede misure adeguate alle persone e al contesto.
La formazione è anche una scelta organizzativa utile per rendere effettivi altri controlli:
- chi svolge la sorveglianza umana deve saper valutare i risultati e riconoscere i limiti del sistema;
- chi usa gli strumenti deve poter identificare le funzioni di IA integrate nei software;
- chi tratta dati personali o riservati deve conoscere le regole applicabili prima di inserirli in servizi esterni.
Una formazione efficace non insegna soltanto a scrivere un buon prompt. Aiuta a verificare gli output, riconoscere possibili errori e capire quando serve l’intervento di una persona. La formazione differenziata per ruolo è una buona pratica organizzativa, da calibrare rispetto agli strumenti e alle attività svolte.
Destinatari | Possibili temi della formazione |
Direzione | Rischi, responsabilità e criteri per decidere l’adozione |
HR e funzioni che valutano persone | Classificazione dei sistemi, possibili distorsioni, controllo umano e informazione ai lavoratori |
IT e acquisti | Funzioni dei sistemi, valutazione dei fornitori, sicurezza, dati e condizioni contrattuali |
Tutto il personale | Uso corretto degli strumenti, protezione delle informazioni e verifica degli output |
È buona pratica documentare contenuti, destinatari e aggiornamenti, così da poter ricostruire le misure adottate e valutarne l’adeguatezza nel tempo.
Dagli obblighi alle scelte organizzative
Ogni obbligo applicabile deve tradursi in responsabilità e attività riconoscibili. Le soluzioni della tabella sono esempi organizzativi: il Regolamento non impone necessariamente di adottarle proprio in queste forme.
Obbligo o tema normativo | Possibile scelta organizzativa |
Alfabetizzazione (art. 4 AI Act) | Definire misure formative coerenti con ruoli, competenze e contesto d’uso; documentarle è buona pratica |
Sorveglianza umana (art. 26 AI Act, per sistemi ad alto rischio) | Individuare persone competenti, formate e dotate dell’autorità necessaria a intervenire |
Informazione ai lavoratori | Verificare e applicare gli obblighi pertinenti dell’art. 26, par. 7, AI Act e dell’art. 11 L. 132/2025, con il rinvio all’art. 1-bis D.Lgs. 152/1997 |
Trasparenza (art. 50 AI Act) | Individuare per ogni funzione il soggetto obbligato, le persone da informare, il momento e le eventuali eccezioni |
Protezione dei dati (GDPR) | Verificare finalità, base giuridica, trasparenza, minimizzazione e, quando ricorrono i presupposti, la necessità di una DPIA; valutare l’art. 22 se vi sono decisioni unicamente automatizzate con effetti giuridici o analogamente significativi |
Cambio di ruolo (art. 25 AI Act) | Sottoporre a valutazione preventiva modifiche sostanziali o cambiamenti di finalità che possano integrare le condizioni previste dalla norma |
Per organizzare il lavoro può essere utile un percorso essenziale in quattro fasi. Si tratta di una metodologia consigliata, da adattare alle dimensioni e alle attività dell’impresa.
- Censire i sistemi. Mappare gli strumenti in uso, comprese le funzioni di IA integrate nei software esistenti e gli strumenti adottati autonomamente dai dipendenti, talvolta chiamati shadow AI. Un registro interno può raccogliere finalità, fornitore, dati trattati e funzioni coinvolte.
- Assegnare ruoli e definire regole. Stabilire chi valuta e autorizza nuovi strumenti, quali dati possono essere inseriti e chi controlla i risultati. Una policy breve e comprensibile può aiutare a rendere chiare le regole.
- Analizzare ogni caso d’uso. Ricostruire che cosa fa il sistema, in quale fase del processo interviene, quali dati utilizza e su chi può produrre effetti.
- Valutare rischi e obblighi. Verificare se si tratta di un sistema di IA ai sensi del Regolamento, quale ruolo ha l’azienda, se si applicano le categorie di rischio dell’AI Act, quali dati personali sono coinvolti e quali misure risultano necessarie.
È utile anche riesaminare periodicamente gli usi. Uno strumento inizialmente impiegato per riassumere documenti potrebbe essere successivamente inserito in un processo di valutazione dei fornitori o del personale, con finalità ed effetti diversi. Quando possibile, i controlli possono essere coordinati con i sistemi di gestione già presenti, come quelli per la privacy, la sicurezza delle informazioni o la compliance aziendale.
Cosa puoi fare da domani
- Chiedi ai responsabili di funzione: «Quali strumenti o funzioni di IA usa il tuo team?». Le risposte possono costituire il primo passo per costruire un inventario.
- Verifica gli strumenti impiegati nell’area HR, prestando particolare attenzione a quelli che analizzano o filtrano candidature e valutano lavoratori.
- Pianifica misure di alfabetizzazione per le persone che già utilizzano sistemi di IA e verifica se sono adeguate ai ruoli e al contesto.
- Definisci regole chiare sui dati personali, riservati o aziendali che possono essere inseriti nei diversi strumenti, tenendo conto delle condizioni del servizio utilizzato.
- Individua un referente o un gruppo di coordinamento che coinvolga, secondo necessità, IT, HR, legale e compliance.
Conclusione: chi decide cosa entra in azienda?
Siamo partiti da uno strumento entrato in azienda senza una decisione consapevole. Torniamo all’ufficio HR del lunedì mattina. Il problema non è soltanto la funzione di screening: è che l’azienda non ne ha ricostruito il funzionamento, il ruolo nel processo e le conseguenze per i candidati.
Con un inventario aggiornato, una regola per valutare le nuove funzioni e persone in grado di riconoscere e verificare gli strumenti di IA, l’impresa può affrontare queste situazioni con maggiore consapevolezza.
La governance dell’IA non si misura dal numero di procedure prodotte. Si misura dalla capacità dell’azienda di spiegare perché usa uno strumento, quali dati tratta, quali rischi ha considerato e chi ne controlla l’impiego. Un primo passo è mettere le persone nelle condizioni di riconoscere questi strumenti e usarli con consapevolezza.
Vuoi sapere a che punto è la tua azienda? Parti dall’inventario degli strumenti e dalla verifica delle misure di alfabetizzazione: ti aiuteranno a individuare quali altri approfondimenti sono necessari.
L’alfabetizzazione in materia di IA è un obbligo dal 2 febbraio 2025.
Scopri i nostri nuovi percorsi formativi calibrati su direzione, HR, IT e personale operativo.
Avv. Andrea Battistella
Avvocato Cassazionista e consulente in digital compliance. Mi occupo di diritto e innovazione con focus su trasformazione digitale, Intelligenza Artificiale, e-commerce e protezione dei dati personali (GDPR), unendo analisi giuridica e impatto operativo.
Avv. Andrea Battistella
Avvocato Cassazionista e consulente in digital compliance. Mi occupo di diritto e innovazione con focus su trasformazione digitale, Intelligenza Artificiale, e-commerce e protezione dei dati personali (GDPR), unendo analisi giuridica e impatto operativo.
Intelligenza artificiale in azienda: dagli obblighi dell’AI Act alle scelte organizzative