AI Act: che cos’è e cosa sta succedendo

L’Europa ha messo l’autovelox all’intelligenza artificiale: da domenica 2 agosto chi non rispetta le regole rischia una multa. Si chiama AI Act ed è il primo tentativo al mondo di mettere regole a una tecnologia che in Italia usano ormai 16 milioni di persone. Il solo ChatGPT conta quasi 15 milioni di utenti al mese e non è più una curiosità da provare una volta: il 12% dei lavoratori italiani la usa quasi ogni giorno, il 26% più volte a settimana, la tecnologia è arrivata prima delle regole.

Cosa sta succedendo davvero

Per due anni il 2 agosto è stato annunciato come il giorno del “grande botto”: quello in cui sarebbero scattati gli obblighi più pesanti sui sistemi cosiddetti ad alto rischio: assunzioni, mutui, sanità, giustizia.

Non è andata così! A giugno l’Europa ha approvato un pacchetto di semplificazione, il Digital Omnibus, che ha spostato quegli obblighi al 2 dicembre 2027 e al 2 agosto 2028. Risultato: buona parte degli articoli in circolazione descrive un calendario che non esiste più.

Quindi cosa è entrato in vigore? Due cose: gli obblighi di trasparenza dell’articolo 50 e i poteri per far rispettare le regole.

Cosa cambia per i cittadini

Partiamo dalla domanda che interessa a tutti: devo fare qualcosa? Chi usa l’intelligenza artificiale per fini personali non ha nuovi obblighi, ma ha nuovi diritti. Il regolamento esclude espressamente dal proprio perimetro chi impiega questi strumenti “nel corso di un’attività personale non professionale”: chiedere aiuto a un assistente virtuale per scrivere una lettera, tradurre un documento o preparare un’immagine per il gruppo di famiglia non comporta adempimenti di alcun tipo.

Il confine, però, passa fra quello che fai per te e quello che fai per lavoro.

5 cose, in concreto!

1. Il chatbot deve dire di essere un chatbot. I sistemi che interagiscono con le persone devono dichiararlo, salvo quando è ovvio. Vale per l’assistente sul sito della compagnia telefonica e per il servizio clienti di un negozio online. Ma, purtroppo, sapere non vuol dire scegliere: il diritto di parlare con una persona vera non c’è.
2. I contenuti generati vengono marchiati. Immagini, audio, video e testi prodotti dall’intelligenza artificiale devono portare una marcatura leggibile dalle macchine: una filigrana invisibile che permette a social e redazioni di riconoscerli automaticamente. Non deve applicarla chi usa questi strumenti, ma chi li fabbrica: viene inserita automaticamente nel momento in cui il file nasce ed è già attiva sui prodotti usciti dopo il 2 agosto. Quelli già in circolazione hanno tempo fino al 2 dicembre. Il limite è noto: la filigrana si perde se il contenuto viene riscaricato, ritagliato o catturato con uno screenshot.
3. I deepfake vanno dichiarati. Qui l’onere passa a chi pubblica, chi diffonde un deepfake deve segnalarlo in modo visibile e la Commissione ha messo a disposizione tre icone ufficiali gratuite. L’esempio che fa Bruxelles riguarda il settore immobiliare, molto attivo anche in Valle d’Aosta: le foto vere di un appartamento vuoto, arredato con l’intelligenza artificiale per l’annuncio. Nessuno le chiamerebbe deepfake invece lo è, e va etichettato.
4. In Italia il deepfake è già reato. Qui l’Italia si è mossa prima dell’Europa. La legge 132 del 2025, in vigore dallo scorso ottobre, ha introdotto l’articolo 612-quater del codice penale: da 1 a 5 anni di carcere per chi diffonde senza consenso contenuti generati o alterati con l’intelligenza artificiale in modo da sembrare autentici.

Nel febbraio 2025 la voce del ministro Crosetto è stata clonata per truffare alcuni imprenditori: almeno uno ha versato un milione di euro su conti esteri. Le truffe con voce clonata risultano il tipo di frode online cresciuto più in fretta in Italia.

Lo schema è sempre lo stesso: pochi secondi di voce presi da un video sui social, un numero falsificato, una richiesta urgente di denaro.

5. Alcune cose restano vietate del tutto. In Europa lo sono da febbraio 2025, senza deroghe: attribuire punteggi sociali ai cittadini, sfruttare la fragilità legata all’età o a una condizione di disagio, raccogliere indiscriminatamente immagini di volti dal web, dedurre dai dati biometrici l’etnia, la religione o l’orientamento sessuale.

Fra queste ne figura una che riguarda direttamente scuole e luoghi di lavoro: è vietato l’uso di sistemi per il riconoscimento delle emozioni di studenti e dipendenti, salvo motivi medici o di sicurezza. I software che promettono di misurare l’attenzione di una classe sono, semplicemente, fuori legge.

Dal 2 dicembre prossimo si aggiungeranno due nuovi divieti introdotti dal Digital Omnibus, gli unici in cui il pacchetto ha stretto anziché allentare: le applicazioni che generano immagini di nudo di persone reali senza consenso e i sistemi che producono materiale pedopornografico.

Cosa cambia per le PMI

Il tessuto economico valdostano è fatto quasi tutto di imprese piccole e piccolissime. Due cose da sapere.

1. Chi è dentro. Il confine non passa fra grandi aziende e privati cittadini, ma fra uso personale e uso professionale. Un albergo, un negozio, uno studio, un artigiano con partita IVA hanno gli stessi obblighi di una multinazionale.
2. Cosa bisogna fare. L’articolo 4 chiede a chi usa l’intelligenza artificiale per lavoro di formare le persone che la utilizzano: dipendenti, collaboratori esterni e consulenti. In pratica, l’azienda deve fare formazione interna affinché chi usa questi strumenti sappia come funzionano, quali rischi comportano e come utilizzarli correttamente.

L’obbligo vale dal 2 febbraio 2025, ma solo da domenica le autorità possono verificare che qualcosa sia stato fatto, vale anche per gli abbonamenti individuali usati per lavoro e per l’intelligenza artificiale già infilata nei gestionali degli alberghi, per esempio.

A fine luglio la regola è stata alleggerita: prima chiedeva di garantire che il personale fosse preparato, adesso di fare qualcosa perché lo diventi, senza portare nessuno a un livello prestabilito. Resta un obbligo, ma di impegno e non di risultato.

Chi non fa formazione non rischia una multa specifica: il regolamento non la prevede. Non averne mai fatta pesa però quando arriva una contestazione per altri motivi, come è successo in questi anni con la privacy.

Le sanzioni dell’AI Act arrivano a 35 milioni di euro o al 7% del fatturato mondiale per le pratiche vietate e a 15 milioni o al 3% per gli altri obblighi. Per le piccole imprese vale l’importo più basso. In Italia vigilano l’Agenzia per la cybersicurezza nazionale e l’Agenzia per l’Italia digitale.

Le prossime scadenze

Sono già fissate: 2 dicembre 2026 per i nuovi divieti e per il completamento della marcatura dei contenuti, 2 dicembre 2027 e 2 agosto 2028 per i sistemi ad alto rischio.

——

NB: le immagini sono state generate con AI