Guida operativa per le aziende
Aggiornato al 8 ottobre 2026
Il Regolamento europeo sull’intelligenza artificiale si applica già alle aziende che usano ChatGPT, Copilot o Gemini nel lavoro quotidiano. Qui trovi il quadro aggiornato, senza allarmismi: quali obblighi sono attivi, quali scadenze arrivano e da dove partire.
Il calendario
Entra in vigore il Regolamento (UE) 2024/1689
Pratiche vietate e obbligo di AI literacy (art. 4 e 5)
Regole per i modelli di uso generale (GPAI)
In vigore la Legge italiana 132/2025 sull’intelligenza artificiale
Si applica la maggior parte delle norme, inclusa la trasparenza sui contenuti (art. 50)
Termine della delega per i decreti italiani di adeguamento (A.G. 421)
Nuovo divieto sui contenuti intimi non consensuali; fine della transizione sulla marcatura
Obblighi per i sistemi ad alto rischio dell’Allegato III, tra cui molti strumenti HR
Alto rischio nei prodotti regolamentati (Allegato I)
Già applicabile
dal 2 febbraio 2025
Art. 4
dal 2 febbraio 2025
Art. 5
dal 2 agosto 2026
Art. 50
Articolo 50
L’AI Act non impone un’etichetta su ogni contenuto fatto con l’AI. La impone su casi precisi. Scegli una situazione.
Non richiesta dall’AI Act
L’articolo 50 non prevede una dichiarazione per questo uso. Resta l’obbligo di AI literacy: chi scrive deve conoscere i limiti dello strumento e cosa può inserire nei prompt.
Cosa fare
Usa strumenti autorizzati, non inserire dati riservati, rileggi prima di inviare.
Non richiesta dall’AI Act
Nessuna etichetta per legge. La Commissione cita proprio chi usa ChatGPT per i testi pubblicitari come caso che rientra nell’AI literacy, per il rischio di allucinazioni.
Cosa fare
Verifica claim e dati di prodotto. La tua policy può decidere di dichiararlo comunque.
Non richiesta dall’AI Act
La traduzione con AI rientra nell’AI literacy, ma da sola non fa scattare la dichiarazione dell’articolo 50.
Cosa fare
Fai controllare termini tecnici, misure e avvertenze da chi conosce il prodotto.
Dipende dal contenuto
La marcatura leggibile dalle macchine spetta a chi fornisce lo strumento. Per chi pubblica, la dichiarazione visibile diventa centrale se l’immagine può passare per reale e rientra nella definizione di deepfake.
Cosa fare
Controlla che la marcatura del tool sia ancora presente e verifica marchi e opere di terzi.
Dichiarazione obbligatoria
Se il risultato rientra nella definizione di deepfake, chi lo pubblica deve dichiararne l’origine artificiale o manipolata.
Cosa fare
Serve il consenso della persona. Coinvolgi Legal prima della pubblicazione.
Dichiarazione obbligatoria
È il caso tipico di deepfake: va dichiarato. In Italia la Legge 132/2025 ha introdotto anche un reato specifico per la diffusione illecita di deepfake che causano un danno.
Cosa fare
Consenso o licenza scritti, controllo legale, dichiarazione visibile.
Dichiarazione obbligatoria
Un audio sintetico che sembra autentico può rientrare negli obblighi sui deepfake.
Cosa fare
Consenso della persona e dichiarazione chiara a chi ascolta.
Dichiarazione obbligatoria
Chi interagisce direttamente con un sistema AI deve esserne informato, a meno che non sia evidente dal contesto.
Cosa fare
Dichiaralo all’inizio della conversazione e prevedi il passaggio a una persona.
Dichiarazione obbligatoria
Testi pubblicati per informare il pubblico su questioni di interesse pubblico vanno dichiarati se manca una revisione umana o un controllo editoriale.
Cosa fare
Dichiaralo, oppure introduci una revisione editoriale con un responsabile.
Dipende dal contenuto
Le linee guida riconoscono il peso della revisione umana e della responsabilità editoriale: in questi casi l’obbligo di dichiarazione può non applicarsi.
Cosa fare
Documenta chi ha rivisto il testo e con quali responsabilità.
01 · Una mail interna scritta con ChatGPT o Copilot
Non richiesta dall’AI Act
L’articolo 50 non prevede una dichiarazione per questo uso. Resta l’obbligo di AI literacy: chi scrive deve conoscere i limiti dello strumento e cosa può inserire nei prompt.
Cosa fare
Usa strumenti autorizzati, non inserire dati riservati, rileggi prima di inviare.
Livello 1
Obbligatoria per legge
Quando ricorrono i presupposti dell’articolo 50.
Livello 2
Raccomandata dalla policy
Quando l’azienda sceglie uno standard più alto per ragioni di brand o reputazione.
Livello 3
Non richiesta
Restano privacy, copyright, sicurezza e approvazioni interne.
Articolo 4 · AI literacy
L’AI Act non prescrive un corso standard, una durata minima, un esame o una certificazione europea. Chiede misure proporzionate al contesto, ai sistemi usati e ai rischi. Con l’AI Omnibus di luglio 2026 non si parla più di un livello “sufficiente” predefinito, ma l’obbligo organizzativo resta.
La Commissione suggerisce di registrare internamente formazione e guidance. In caso di incidente, quella traccia è ciò che dimostra che l’azienda aveva fatto la sua parte.
La traccia che conviene poter mostrare
Tutte le persone che usano l’AI
strumenti autorizzatiallucinazionicontrollo degli outputdati riservaticopyrightquando fermarsi
Marketing e comunicazione
art. 50deepfakeimmagini e video sinteticivoice cloningconsenso e likeness
HR e People
alto rischioselezione e valutazionebiassupervisione umanadivieto di emotion recognition
Customer care e retail
dichiarare il chatbotaffidabilità delle rispostepassaggio a una personautenti vulnerabili
IT, Data e sviluppo
provider o deployerclassificazione del rischiodocumentazioneloggingtesting
Procurement
classificazione del prodottoclausole contrattualidocumentazione del vendorincident reporting
Manager e approvatori
responsabilità organizzativacasi vietatialto rischiogestione degli incidenti
Articolo 5
Non serve un fornitore malintenzionato per incappare in un divieto: basta un software comprato per misurare l’engagement o selezionare candidati. Questi usi vanno bloccati o portati subito a Legal.
Riconoscimento delle emozioni sul lavoro
Software che deducono stress, entusiasmo o sincerità dei dipendenti da voce o volto, salvo ragioni mediche o di sicurezza.
Categorizzazione biometrica sensibile
Dedurre origine, opinioni politiche, appartenenza sindacale, religione o orientamento sessuale da dati biometrici.
Social scoring
Punteggi su comportamenti o caratteristiche personali che portano a trattamenti sfavorevoli.
Database facciali da scraping
Raccogliere in modo indiscriminato volti dal web o dalle telecamere di videosorveglianza.
Manipolazione e vulnerabilità
Tecniche subliminali o ingannevoli, o lo sfruttamento di età, disabilità e condizioni economiche, che causano un danno significativo.
Contenuti intimi non consensuali
Da dicembre 2026
Sistemi di “nudification” e materiale pedopornografico: divieto aggiunto dall’AI Omnibus, applicabile da dicembre 2026.
Sanzioni
L’importo concreto dipende da gravità, durata, dimensione dell’azienda, cooperazione con l’autorità e dalle misure organizzative adottate. Formazione, registri e procedure contano anche qui.
35mln €
o 7% del fatturato mondiale
Art. 5: emotion recognition sul lavoro, social scoring, database facciali, manipolazione.
15mln €
o 3% del fatturato mondiale
Obblighi dei deployer (art. 26) e mancata dichiarazione dei contenuti dell’art. 50.
7,5mln €
o 1% del fatturato mondiale
Risposte errate, incomplete o fuorvianti a organismi e autorità.
Per le grandi imprese vale il valore più alto tra importo e percentuale del fatturato mondiale. Per PMI, start-up e alcune small mid-cap vale il più basso.
L’AI literacy non ha un massimale armonizzato: le sanzioni sono affidate al diritto nazionale e pesano soprattutto quando un incidente rivela una formazione inadeguata.
Guida gratuita · PDF, 12 slide
Tutto quello che c’è in questa pagina, in una guida da girare a colleghi, HR e direzione: calendario, formazione, etichette, divieti, sanzioni e le cinque mosse per partire.
Da dove partire
Subito
Strumenti, SaaS con funzioni AI aggiunte dal vendor, chatbot, tool creativi, sistemi HR. Senza inventario non sai quali obblighi hai.
Subito
Cerca nei sistemi in uso analisi delle emozioni, biometria, punteggi sulle persone. È la fascia di rischio più alta.
Subito
Una base comune per tutti e moduli per chi pubblica contenuti, gestisce persone o compra tecnologia. Con un registro.
Entro l’anno
Quando un output si può pubblicare, chi lo rivede, quando va dichiarato, come si gestiscono persone reali e voci.
Verso il 2027
Selezione, valutazione e monitoraggio delle persone diventano alto rischio dal 2 dicembre 2027: servono supervisione umana, log e informazione ai lavoratori.
Policy d’uso
Il nostro ruolo
Con DOABLE
Con i tuoi legali e il DPO
Due modi per partire
Per capire dove sei
€990
+ IVA · report in 10 giorni lavorativi
Il costo si scala se prosegui con formazione o assessment entro 60 giorni.
Per mettere in regola le persone
€2.500
+ IVA · base comune, fino a 20 persone
Bundle base + 3 moduli: €4.900. Edizione aggiuntiva della base: €1.500.
Prezzi IVA esclusa. Sessioni online. Le valutazioni legali restano ai tuoi legali e al DPO.
Fonti
Ultimo aggiornamento: 8 ottobre 2026
Questa pagina riassume il quadro normativo a scopo informativo e non costituisce consulenza legale. Per valutare un caso specifico rivolgiti a un professionista.
Una formazione costruita sui vostri strumenti e sui vostri ruoli, con la traccia che serve.