AI Act e GDPR: Cosa Devono Sapere le Aziende Italiane
L'AI Act è realtà. Ecco cosa devono sapere le aziende italiane: classi di rischio, rapporto con GDPR, checklist conformità e obblighi semplificati per PMI.
BlueSky Agent AI ·
Introduzione
L'Unione Europea ha approvato l'AI Act, il primo regolamento al mondo specifico per l'intelligenza artificiale. Per le aziende italiane che usano o vogliono usare l'AI, questo cambia le regole del gioco.
Ma niente panico. Se hai già affrontato il GDPR, hai una base solida. L'AI Act non sostituisce il GDPR — lo complementa. E capire come i due regolamenti si intrecciano è fondamentale per evitare sanzioni e costruire fiducia con clienti e partner.
AI Act: le date che contano
L'AI Act è stato pubblicato sulla Gazzetta Ufficiale dell'UE nell'agosto 2024. L'applicazione è graduale:
- Febbraio 2025: divieto delle pratiche AI considerate a rischio inaccettabile (social scoring, manipolazione subliminale)
- Agosto 2025: obblighi per i modelli AI di uso generale (GPAI) come GPT, Claude, Gemini
- Agosto 2026: piena applicazione di tutti gli obblighi, incluse le classi di rischio alto
In Italia, la Legge 132/2025 ha già recepito i principi fondamentali. Le aziende italiane non possono più considerare l'AI Act come qualcosa di futuro — è già in vigore.
Le 4 classi di rischio dell'AI Act
L'AI Act classifica i sistemi AI in base al livello di rischio:
Rischio inaccettabile — Vietato
Sistemi AI che manipolano il comportamento umano, sfruttano vulnerabilità, o implementano social scoring. Vietati dal febbraio 2025.
Rischio alto — Regolamentato strettamente
Sistemi AI usati in ambiti critici: selezione del personale, valutazione del credito, diagnostica medica, sicurezza pubblica. Richiedono:
- Valutazione di conformità
- Sistema di gestione del rischio
- Documentazione tecnica dettagliata
- Supervisione umana obbligatoria
- Trasparenza verso gli utenti
Rischio limitato — Obblighi di trasparenza
Chatbot, deepfake, sistemi di riconoscimento emotivo. L'obbligo principale è informare l'utente che sta interagendo con un sistema AI.
Rischio minimo — Nessun obbligo specifico
La maggior parte delle applicazioni AI aziendali: filtri anti-spam, raccomandazioni prodotto, automazione di processo. Nessun obbligo regolamentare specifico, ma buone pratiche sempre consigliate.
Come si intrecciano AI Act e GDPR
Se la tua azienda usa AI che tratta dati personali, devi rispettare entrambi i regolamenti. Ecco i punti di sovrapposizione:
| Aspetto | GDPR | AI Act |
|---|---|---|
| Focus | Protezione dati personali | Sicurezza e affidabilità dei sistemi AI |
| Trasparenza | Informativa privacy | Informare che si usa AI + spiegare le decisioni |
| Diritti utente | Accesso, cancellazione, portabilità | Contestare decisioni automatizzate |
| Valutazione impatto | DPIA (Data Protection Impact Assessment) | Conformity Assessment per rischio alto |
| Responsabile | DPO | Nessuna figura specifica, ma governance raccomandata |
| Sanzioni | Fino a €20M o 4% fatturato | Fino a €35M o 7% fatturato |
Checklist pratica per le aziende italiane
1. Mappa i tuoi sistemi AI
Fai un inventario di tutti i sistemi AI che usi o stai sviluppando. Per ciascuno, identifica:
- Quale classe di rischio AI Act si applica?
- Tratta dati personali? (→ GDPR si applica)
- Chi è il fornitore? Dove sono i server?
2. Verifica la base giuridica
Per ogni sistema AI che tratta dati personali, assicurati di avere una base giuridica GDPR valida: consenso, legittimo interesse, esecuzione contrattuale, obbligo legale.
3. Aggiorna le informative
Le informative privacy devono ora includere informazioni sull'uso di sistemi AI: quali decisioni vengono prese con AI, come funzionano, come l'utente può contestarle.
4. Implementa la supervisione umana
Per i sistemi a rischio alto, deve esserci sempre un meccanismo di supervisione umana. Non significa che un umano deve approvare ogni decisione, ma che deve poter intervenire quando necessario.
5. Documenta tutto
Tieni traccia di:
- Decisioni di design del sistema AI
- Test effettuati e risultati
- Incidenti e azioni correttive
- Formazione del personale
Le PMI italiane: obblighi semplificati
Una buona notizia per le PMI: l'AI Act prevede obblighi semplificati per le piccole e medie imprese. In particolare:
- Sandbox regolamentari: ambienti di test guidati dalle autorità per sperimentare senza rischio sanzionatorio
- Documentazione semplificata: requisiti di documentazione proporzionati alla dimensione aziendale
- Supporto dell'autorità nazionale: ACN (Agenzia per la Cybersicurezza Nazionale) e AgID forniranno linee guida specifiche per PMI
Cosa rischia chi non si adegua
Le sanzioni dell'AI Act sono significative:
- Pratiche vietate: fino a €35 milioni o 7% del fatturato globale
- Violazione obblighi: fino a €15 milioni o 3% del fatturato
- Informazioni false: fino a €7,5 milioni o 1,5% del fatturato
Sommate alle sanzioni GDPR già esistenti, il rischio economico di una gestione non conforme dell'AI diventa molto concreto.
Conclusione
L'AI Act non è un ostacolo all'innovazione. È un framework che crea fiducia e trasparenza — esattamente ciò di cui le aziende hanno bisogno per adottare l'AI su larga scala.
Le aziende che si adeguano per prime non stanno solo evitando sanzioni. Stanno costruendo un vantaggio competitivo basato sulla fiducia dei clienti e sulla solidità dei propri processi.
Vuoi verificare se i tuoi sistemi AI sono conformi?
Richiedi una consulenza gratuita →