Da agosto l'intelligenza artificiale in azienda ha delle regole
Non serve essere OpenAI per essere toccati. Se in ufficio qualcuno usa ChatGPT, Copilot o un assistente qualunque, da agosto 2026 alcune regole europee non sono più un annuncio: sono in vigore. Altre, quelle più pesanti, slittano. Qui sta la differenza che conta.
Il problema non è la legge. È che nessuno sa cosa c'è in casa
Succede spesso così. Il titolare dice che in azienda l'intelligenza artificiale non la usano. Poi apri i browser: ChatGPT sul PC del commercialista, Copilot sulla barra di Windows, un'app gratuita che riassume i verbali. Nessuno l'ha deciso in una riunione. È successo perché faceva risparmiare un quarto d'ora.
Fino a ieri questo disordine era solo un rischio interno: dati che escono, risposte copiate senza controllo, un dipendente che incolla in un chatbot il listino o il contratto di un cliente. Da agosto 2026 si aggiunge un altro piano. Il regolamento europeo 2024/1689, l'AI Act, è applicabile. Non tutto, e non per tutti nello stesso modo. Ma la fase in cui si poteva dire «vediamo cosa succede» è chiusa.
Il primo lavoro utile, prima di qualsiasi consulente, è una lista. Quali strumenti di intelligenza artificiale sono in uso, chi li ha aperti, su quali dati lavorano e se l'account è personale o aziendale. Senza quella lista il resto è chiacchiera.
Cosa è in vigore adesso, e cosa no
L'AI Act è entrato in vigore il 1° agosto 2024 e si applica a scaglioni. I divieti sulle pratiche inaccettabili e l'obbligo di alfabetizzazione sull'IA valgono dal 2 febbraio 2025. Le regole sui modelli general purpose, quelli su cui girano ChatGPT, Claude, Gemini e affini, dal 2 agosto 2025. Dal 2 agosto 2026 si applicano, tra le altre, le regole di trasparenza: se una persona parla con un chatbot deve poterlo capire, e certi contenuti generati vanno resi riconoscibili.
Le regole più pesanti, quelle sui sistemi ad alto rischio, non scattano oggi. Dopo l'accordo sull'AI Omnibus restano al 2 dicembre 2027 per molti usi dell'allegato III — selezione del personale, credito, istruzione, infrastrutture critiche — e al 2 agosto 2028 per i sistemi incorporati in prodotti regolamentati. Una PMI che usa Copilot per scrivere una mail non diventa da un giorno all'altro un operatore di sistema ad alto rischio.
Il punto è un altro. Se in azienda si sta provando a usare l'IA per scremare curriculum, valutare i dipendenti o decidere un fido, allora sì: quel progetto va guardato con altri occhi, e ha tempo fino alla fine del 2027, non all'infinito. Per tutto il resto, oggi conta sapere cosa c'è e come viene usato.
In Italia c'è anche la legge 132
Accanto al regolamento europeo l'Italia ha una legge propria, la 132 del 23 settembre 2025, in Gazzetta Ufficiale il 25 settembre ed in vigore dal 10 ottobre 2025. È una legge quadro: fissa principi e dà deleghe al governo per i decreti di dettaglio. Non sostituisce l'AI Act, lo accompagna.
Due passaggi toccano da vicino le aziende che seguiamo. Nelle professioni intellettuali l'intelligenza artificiale può restare uno strumento di supporto: il giudizio resta del professionista, e il cliente va informato. Nei rapporti di lavoro il datore deve dire ai dipendenti quando usa sistemi di IA, in linea con l'obbligo di informativa già previsto dall'articolo 1-bis del decreto 152/1997.
Tradotto senza avvocatese: se lo studio usa un assistente per le bozze, il cliente ha diritto a saperlo. Se l'ufficio del personale usa un software che legge i curriculum, i dipendenti hanno diritto a saperlo. Non è un dettaglio da mettere in fondo a un'informativa.
Cosa fare questa settimana, senza drammi
Prima cosa: la lista di cui sopra. Strumento, chi lo usa, su quali dati, con quale account. La si fa in mezza giornata se si chiede alle persone, non se si aspetta un audit.
Seconda: si decide cosa può uscire e cosa no. Un listino, una distinta, una cartella clinica, il contratto di un cliente non vanno incollati in un assistente gratuito. Se serve un assistente, si sceglie uno con un contratto, si capisce dove stanno i dati e si disattiva l'uso delle conversazioni per addestrare il modello. Non è una finezza da grandi aziende. È la differenza tra un aiuto e una fuga di notizie.
Terza: si dice alle persone che lo stanno già usando. Sembra ovvio, e invece è il passaggio che saltano in tanti. Un regolamento interno di dieci righe batte un corso di tre ore. Cosa si può fare, cosa no, a chi chiedere se non si è sicuri.
Quarta: si tiene da parte, per dopo, i progetti che toccano persone — assunzioni, valutazioni, credito, accesso a un servizio. Quelli hanno un calendario diverso e non si improvvisano a ridosso della scadenza.
Cosa può fare un fornitore informatico, e cosa no
Possiamo aiutarvi a capire quali strumenti sono in rete, a chiudere i rubinetti sbagliati, a scegliere un assistente che non si mangi i vostri dati e a scrivere le dieci righe che servono alle persone. Con Neurotek costruiamo anche soluzioni che restano sui vostri server o in cloud europeo, quando il dato non può uscire.
Non possiamo dichiarare l'azienda «conforme all'AI Act». Non esiste quel bollino, e chi lo vende sta vendendo altro. La responsabilità resta vostra, come per la NIS2. Il lavoro tecnico è una parte. L'altra è decidere, documentare e dire le cose alle persone giuste.
Domande frequenti
Fonti
Date e modalità operative cambiano. Prima di decidere, controllate le fonti ufficiali.
Vi serve una mano su questo?
AI con sovranità del dato per PMI: RAG, vision, automazioni, chatbot, outreach e centralino AI H24.
Neurotek AI