Intelligenza artificiale in azienda: la mappa (completa) delle regole che ogni organizzazione deve conoscere nel 2026.

Il 2026 è l'anno in cui l'intelligenza artificiale smette di essere, dal punto di vista normativo, un territorio di frontiera. Con l'applicazione generale dell'AI Act fissata al 2 agosto e una legge italiana ormai pienamente operativa dall'autunno 2025, le organizzazioni pubbliche e private si trovano davanti a un impianto di regole stratificato, articolato su più livelli e destinato a evolversi ancora nei prossimi mesi attraverso decreti delegati. Capire come orientarsi in questo scenario non è più un esercizio accademico per giuristi specializzati: è una condizione necessaria per chiunque, in azienda, decida di adottare un sistema di IA - dal chatbot per il servizio clienti allo strumento che supporta le decisioni di selezione del personale.

Questo articolo prova a fare ordine, ricostruendo l'architettura normativa nella sua interezza: da dove nascono le regole, chi deve rispettarle, come si classificano i sistemi di IA in base al rischio, quali obblighi specifici valgono per settori come lavoro, sanità, pubblica amministrazione e giustizia, e - soprattutto - cosa un'organizzazione dovrebbe già aver fatto per non trovarsi esposta a sanzioni.

Tre livelli di regole che si parlano tra loro.

Il primo tassello è il Regolamento (UE) 2024/1689, meglio noto come AI Act, entrato in vigore il 1° agosto 2024: la prima disciplina organica europea sull'intelligenza artificiale, pensata per applicarsi tanto al settore pubblico quanto a quello privato, con la sola eccezione dei sistemi destinati esclusivamente a scopi militari, di difesa o di ricerca scientifica pura.

Sopra questa base europea si innesta la Legge 132/2025, entrata in vigore il 10 ottobre 2025: il primo intervento organico del legislatore italiano in materia. È importante avere chiaro un punto tecnico ma decisivo - la legge italiana si definisce espressamente complementare, non additiva, rispetto al regolamento europeo: non introduce nuovi obblighi per i sistemi e i modelli di IA per finalità generali oltre a quelli già previsti dall'AI Act, e le sue disposizioni vanno lette in coerenza con quest'ultimo.

Il terzo livello, spesso sottovalutato, è il GDPR, che continua ad applicarsi integralmente ogni volta che un sistema di IA tratta dati personali - un'ipotesi tutt'altro che residuale, che riguarda in pratica la maggior parte degli usi aziendali dell'IA. A completare il quadro è intervenuto anche il Digital Omnibus sull'IA (Reg. UE 2026/1744), che ha modificato alcune eccezioni previste dall'AI Act rinviando l'applicazione delle disposizioni sui sistemi ad alto rischio - un segnale che il quadro normativo, per quanto già corposo, resta in movimento.

Chi deve rispettare le regole: non solo chi sviluppa l'IA.

Un equivoco frequente è pensare che l'AI Act riguardi solo chi produce tecnologia. In realtà il regolamento distingue con precisione i ruoli lungo tutta la filiera: il fornitore (provider), che sviluppa il sistema per immetterlo sul mercato; il deployer, cioè l'organizzazione che utilizza il sistema nella propria attività - la stragrande maggioranza delle aziende italiane rientra in questa categoria; e importatori e distributori, anch'essi titolari di obblighi specifici. Ogni ruolo comporta responsabilità diverse, ed è proprio dal ruolo ricoperto che dipende quali obblighi concreti un'organizzazione debba rispettare.

La piramide del rischio: il cuore del sistema.

Il principio ordinatore dell'intero impianto è l'approccio basato sul rischio: più un sistema di IA può incidere su diritti e sicurezza delle persone, più stringenti sono gli obblighi.

Al vertice ci sono le pratiche vietate: manipolazione del comportamento umano tramite tecniche subliminali, sistemi di social scoring da parte di autorità pubbliche, riconoscimento biometrico indiscriminato in tempo reale negli spazi pubblici, sfruttamento delle vulnerabilità di categorie di persone fragili. Questi divieti sono già pienamente operativi: si applicano dal 2 febbraio 2025.

Subito sotto si colloca l'alto rischio, categoria che riguarda settori particolarmente sensibili: infrastrutture critiche (energia, trasporti, comunicazioni), istruzione, gestione delle risorse umane, accesso a servizi essenziali come sanità, credito e assicurazioni, attività di polizia e giustizia, controllo delle frontiere, gestione dei processi democratici. Chi impiega sistemi in queste aree deve garantire requisiti stringenti di accuratezza, trasparenza, sorveglianza umana, gestione dei dati e sicurezza informatica, oltre alla registrazione in un'apposita banca dati europea. È un punto su cui vale la pena soffermarsi per chi opera nelle risorse umane: strumenti di screening dei curriculum o di valutazione delle performance rientrano potenzialmente in questa fascia.

Un terzo livello riguarda il rischio limitato: chatbot e assistenti virtuali, per i quali valgono obblighi di trasparenza verso gli utenti. La norma di riferimento, l'art. 50 dell'AI Act, diventa applicabile proprio il 2 agosto 2026 e impone che chi progetta questi sistemi lo faccia in modo che l'utente sappia sempre di stare interagendo con un'intelligenza artificiale.

Infine, una disciplina a parte riguarda i modelli di IA per finalità generali (GPAI) - i grandi modelli linguistici che oggi alimentano molti strumenti aziendali - soggetti a obblighi di documentazione tecnica, trasparenza verso chi li integra a valle e registrazione, sotto la vigilanza dell'AI Office della Commissione europea.

I principi italiani e l'obbligo (già attivo) di formare le persone.

La legge italiana affianca alla logica del rischio un catalogo di principi trasversali - trasparenza, proporzionalità, sicurezza, protezione dei dati, riservatezza, accuratezza, non discriminazione, parità dei sessi, sostenibilità - che devono orientare ogni attività di ricerca, sviluppo e utilizzo dell'IA. Due elementi meritano attenzione particolare: il rispetto dell'autonomia decisionale umana, con garanzia di sorveglianza e intervento, e la cybersicurezza come precondizione lungo tutto il ciclo di vita dei sistemi.

C'è poi un obbligo che molte organizzazioni rischiano di sottovalutare perché non comporta l'acquisto di nuova tecnologia, ma un investimento in competenze: l'AI literacy. In vigore già dal 2 febbraio 2025, l'art. 4 dell'AI Act richiede a chiunque sviluppi o utilizzi sistemi di IA di garantire, nella misura del possibile, un livello sufficiente di alfabetizzazione del proprio personale - non solo di chi progetta i sistemi, ma di chiunque li utilizzi per conto dell'organizzazione. Sul piano pratico, questo obbligo si intreccia con la normativa sulla sicurezza sul lavoro e con le regole del GDPR, disegnando un sistema formativo integrato che le aziende dovrebbero già aver messo in cantiere.

Le regole settoriali: lavoro, sanità, pubblica amministrazione, professioni, giustizia.

È nella disciplina di settore che la legge italiana mostra la sua fisionomia più concreta.

Nel rapporto di lavoro, l'IA deve essere impiegata per migliorare le condizioni lavorative e tutelare l'integrità psicofisica dei lavoratori, nel rispetto di dignità, riservatezza e non discriminazione. Il datore di lavoro è tenuto a informare il lavoratore dell'utilizzo di sistemi di IA, e questi strumenti non possono in alcun modo determinare discriminazioni fondate su sesso, età, origine etnica, credo religioso, orientamento sessuale o opinioni politiche.

In ambito sanitario, i sistemi di IA restano un supporto ai processi di prevenzione, diagnosi e cura: la decisione finale spetta sempre al professionista medico. I pazienti hanno diritto a essere informati sull'uso di queste tecnologie, e i sistemi devono essere periodicamente verificati per minimizzare il rischio di errore - un impianto che troverà attuazione anche attraverso una piattaforma nazionale di IA sanitaria gestita da AGENAS.

Nella pubblica amministrazione, vale un principio chiaro quanto rilevante: l'IA ha funzione puramente strumentale, e la responsabilità dei provvedimenti resta sempre in capo alla persona che li adotta, non al sistema che li ha supportati.

Anche le professioni intellettuali - avvocatura, notariato, medicina, ingegneria - sono chiamate a un uso dell'IA limitato alle attività di supporto, con il lavoro intellettuale del professionista che deve restare prevalente, e con obblighi di informazione trasparente verso il cliente.

Nell'attività giudiziaria, infine, ogni decisione sull'interpretazione della legge e sulla valutazione delle prove resta riservata al magistrato: l'IA può affiancare, mai sostituire.

Quando l'IA decide da sola: il ruolo del GDPR.

Ogni volta che un sistema di IA adotta decisioni basate unicamente sul trattamento automatizzato - inclusa la profilazione - che producono effetti giuridici significativi su una persona, entra in gioco l'art. 22 del GDPR. La persona interessata ha diritto a non essere sottoposta a una decisione del genere, salvo eccezioni specifiche, e in ogni caso il titolare del trattamento deve garantire un intervento umano effettivo, la possibilità di esprimere la propria posizione e di contestare la decisione. L'AI Act e la legge italiana confermano e rafforzano queste tutele, saldando definitivamente privacy e regolazione dell'IA.

Chi vigila: AgID e ACN.

Sul piano della governance, la legge italiana designa due autorità nazionali per l'intelligenza artificiale: l'AgID (Agenzia per l'Italia Digitale), responsabile della promozione dell'innovazione e delle procedure di notifica, valutazione e accreditamento, e l'ACN (Agenzia per la Cybersicurezza Nazionale), competente per vigilanza, attività ispettive e sanzionatorie. Restano ferme, nei rispettivi ambiti, le competenze di Banca d'Italia, CONSOB e IVASS.

Le sanzioni: importi che incidono sul bilancio.

Il regime sanzionatorio dell'AI Act è graduato per gravità. Le pratiche vietate possono costare fino a 35 milioni di euro o, per le imprese, fino al 7% del fatturato mondiale annuo se superiore; le violazioni relative ai sistemi ad alto rischio arrivano fino a 15 milioni o al 3% del fatturato; informazioni false o fuorvianti alle autorità fino a 7,5 milioni o all'1% del fatturato. Per PMI e start-up sono previste misure attenuate, per non disincentivare l'innovazione. Sul piano penale, la legge italiana ha già introdotto una fattispecie specifica per la diffusione non consensuale di deepfake - immagini, video o voci falsificati tramite IA - punita con la reclusione da uno a cinque anni, oltre a un aggravamento di pena per l'aggiotaggio commesso mediante sistemi di intelligenza artificiale.

Sul fronte civilistico, la responsabilità per danni causati dall'IA si sta orientando verso un modello fondato sull'accountability, con presunzioni di causalità a favore del danneggiato nei casi di sistemi ad alto rischio - un'evoluzione che supera lo schema tradizionale della colpa e che troverà disciplina di dettaglio nei decreti delegati attesi entro ottobre 2026.

Cosa fare, oggi.

Alla luce di questo quadro, per un'organizzazione italiana la domanda non è più "se" adeguarsi, ma "quanto in ritardo" si è rispetto a obblighi già pienamente vigenti. Sono già attivi, con rischio di sanzione concreto:

• 01la verifica e cessazione di eventuali pratiche vietate;
• 02l'adozione di percorsi di alfabetizzazione IA per il personale;
• 03il rispetto degli obblighi di trasparenza per chatbot e assistenti virtuali;
• 04l'informativa ai lavoratori sull'uso di sistemi di IA;
• 05il rispetto del principio di supervisione umana in sanità, PA, professioni e giustizia;
• 06gli adempimenti ex art. 22 GDPR per i processi decisionali automatizzati;
• 07l'avvio di una mappatura interna dei sistemi di IA in uso o in fase di adozione, con relativa classificazione del rischio.

Il quadro, come si è visto, non è statico: entro ottobre 2026 sono attesi i decreti legislativi delegati che completeranno il recepimento italiano dell'AI Act, e il calendario europeo prevede ulteriori scadenze fino al 2030 per i sistemi ad alto rischio. Restare aggiornati, più che un adempimento formale, è ormai una componente strutturale della gestione del rischio d'impresa.

Questo articolo ha finalità informativa e divulgativa e non costituisce parere legale.

Copyright Leexè 2026 | riproduzione riservata