Aggiornamenti · Contratti e imprese

Intelligenza artificiale in azienda: 7 verifiche legali da fare dopo il 2 agosto 2026

Avv. Antonella Amoruso · Aggiornato al 5 ottobre 2026

Introduzione

L’intelligenza artificiale è ormai entrata nelle attività quotidiane di molte imprese e studi professionali: viene utilizzata per predisporre bozze, riassumere documenti, tradurre testi, gestire richieste dei clienti, selezionare candidature o supportare decisioni commerciali.

Dal 2 agosto 2026 è applicabile la maggior parte delle disposizioni dell’AI Act, il Regolamento europeo sull’intelligenza artificiale. Sono inoltre operative le regole di trasparenza previste per determinati sistemi e contenuti generati dall’IA, mentre gli obblighi di alfabetizzazione in materia di IA si applicano già dal 2 febbraio 2025.

Questo non significa che ogni impresa debba adottare la stessa procedura o nominare necessariamente un responsabile dedicato. Significa, però, che l’uso degli strumenti di IA non può più essere lasciato soltanto all’iniziativa dei singoli collaboratori. Occorre sapere quali strumenti vengono utilizzati, per quali finalità e con quali dati.

Di seguito, sette verifiche pratiche da cui partire.

1. Censire gli strumenti di IA realmente utilizzati

Il primo passo non è acquistare un nuovo software, ma capire cosa viene già utilizzato all’interno dell’organizzazione.

L’IA può trovarsi in un chatbot, in un programma di videoscrittura, in un sistema di gestione dei clienti, in una piattaforma di selezione del personale o in un servizio di analisi documentale. Può inoltre accadere che dipendenti e collaboratori usino autonomamente strumenti gratuiti, senza che l’impresa ne conosca le condizioni di utilizzo.

È quindi utile predisporre un elenco che indichi:

lo strumento utilizzato;
il fornitore;
la finalità concreta;
le persone autorizzate a usarlo;
i dati che possono essere inseriti;
l’eventuale impatto su clienti, lavoratori o terzi.

Senza questa ricognizione è difficile valutare correttamente obblighi e rischi.

2. Capire il ruolo dell’impresa e il livello di rischio

L’AI Act distingue, tra gli altri, il fornitore, che sviluppa o immette sul mercato il sistema con il proprio nome o marchio, e il deployer, cioè il soggetto che utilizza il sistema nell’ambito della propria attività professionale.

Molte imprese che impiegano strumenti generativi già disponibili sul mercato operano come deployer. La qualificazione, tuttavia, deve essere verificata in concreto: modifiche sostanziali, personalizzazioni o commercializzazione con il proprio marchio possono incidere sul ruolo assunto e sugli obblighi applicabili.

Occorre poi considerare la finalità d’uso. Un assistente utilizzato per correggere lo stile di un testo non presenta gli stessi rischi di un sistema impiegato per valutare candidati, lavoratori, affidabilità creditizia o accesso a servizi essenziali.

Le regole specifiche per diversi sistemi ad alto rischio hanno scadenze successive: dopo le modifiche introdotte nel 2026, quelle riferite agli ambiti sensibili dell’Allegato III si applicheranno dal 2 dicembre 2027, mentre per i sistemi incorporati in prodotti regolamentati dell’Allegato I la data è il 2 agosto 2028. Questo rinvio non elimina, nel frattempo, gli obblighi già derivanti dalla disciplina sulla protezione dei dati, dal diritto del lavoro, dalle norme antidiscriminatorie e dalla responsabilità contrattuale.

3. Formare chi utilizza l’IA

L’articolo 4 dell’AI Act richiede a fornitori e deployer di adottare misure che favoriscano l’alfabetizzazione in materia di IA del personale e delle altre persone che utilizzano i sistemi per loro conto.

Non esiste un corso unico obbligatorio, non è imposto uno specifico livello individuale di competenza e non serve necessariamente un certificato. La formazione deve però essere proporzionata agli strumenti impiegati, alle mansioni svolte e ai rischi concreti.

Per chi usa un sistema generativo, una formazione minima dovrebbe comprendere almeno:

limiti dello strumento e possibilità di risposte inesatte o inventate;
divieto di inserire informazioni riservate o dati personali non autorizzati;
necessità di verificare fonti, numeri e riferimenti;
regole interne sull’uso consentito;
casi nei quali è indispensabile l’intervento umano.

È opportuno conservare traccia delle iniziative adottate, per esempio mediante materiali interni, registri degli incontri o istruzioni operative aggiornate.

4. Proteggere dati personali e informazioni riservate

Inserire un testo in un sistema di IA può comportare la comunicazione di informazioni al fornitore del servizio. Prima di caricare contratti, documenti aziendali, dati di clienti o lavoratori è quindi necessario verificare:

se quei dati possano essere legittimamente trattati;
dove vengano conservati e per quanto tempo;
se siano utilizzati per addestrare o migliorare il sistema;
quali soggetti possano accedervi;
se vi siano trasferimenti fuori dallo Spazio economico europeo;
quali misure di sicurezza siano previste.

L’AI Act non sostituisce il GDPR. Quando vengono trattati dati personali continuano ad applicarsi, tra gli altri, i principi di liceità, trasparenza, minimizzazione e sicurezza. Nei casi previsti può essere necessario disciplinare il rapporto con il fornitore ai sensi dell’articolo 28 GDPR o svolgere una valutazione d’impatto.

Una regola prudente è evitare l’inserimento in strumenti non autorizzati di segreti commerciali, documenti riservati e informazioni riferibili a clienti o dipendenti.

5. Verificare gli obblighi di trasparenza

Dal 2 agosto 2026 l’articolo 50 dell’AI Act rende applicabili specifici obblighi di trasparenza.

Chi mette a disposizione un sistema destinato a interagire direttamente con le persone deve, nei casi previsti, fare in modo che l’interessato sappia di stare interagendo con un’IA. Inoltre, l’impiego di contenuti artificialmente generati o manipolati richiede particolare attenzione: i deepfake devono essere segnalati e, per i testi pubblicati allo scopo di informare il pubblico su questioni di interesse pubblico, la provenienza artificiale deve essere resa nota, salvo le eccezioni previste, tra cui il caso in cui vi siano revisione umana o controllo editoriale e una persona assuma la responsabilità della pubblicazione.

Non ogni testo migliorato con l’aiuto dell’IA deve quindi ricevere automaticamente un’etichetta. La valutazione dipende dal tipo di contenuto, dalla finalità della pubblicazione, dal grado di intervento umano e dalla responsabilità editoriale effettivamente esercitata.

6. Prevedere sempre controllo umano e responsabilità

L’output dell’IA non dovrebbe essere considerato un risultato definitivo solo perché formulato in modo convincente.

Un sistema può riportare norme non aggiornate, inventare precedenti, confondere clausole contrattuali o produrre contenuti non coerenti con il caso concreto. Per questo è opportuno individuare chi deve controllare il risultato prima che venga utilizzato per assumere decisioni, inviare comunicazioni, firmare contratti o pubblicare contenuti.

La procedura interna dovrebbe chiarire:

quali attività possono essere assistite dall’IA;
quali decisioni non possono essere automatizzate;
chi effettua la verifica finale;
come vengono gestiti errori e segnalazioni;
quando l’uso dello strumento deve essere sospeso.

Il controllo umano non può ridursi a una conferma formale: deve essere svolto da una persona che abbia competenze e autonomia sufficienti per correggere o rifiutare l’output.

7. Rivedere i contratti con i fornitori

Le condizioni standard del servizio non sempre sono sufficienti per un utilizzo professionale. Prima di adottare uno strumento di IA è utile verificare nel contratto almeno:

finalità e limiti del servizio;
utilizzo dei dati e degli input dell’impresa;
riservatezza e sicurezza;
eventuali subfornitori;
proprietà e possibilità di riutilizzo degli output;
livelli di servizio e gestione degli incidenti;
assistenza in caso di richieste degli interessati o delle autorità;
responsabilità, manleve e limiti di indennizzo;
modalità di cessazione del rapporto e restituzione o cancellazione dei dati.

Anche i contratti con dipendenti, collaboratori e fornitori esterni possono richiedere regole coerenti sull’utilizzo degli strumenti, sulla protezione delle informazioni e sulla verifica dei risultati.

Una checklist essenziale

Prima di integrare l’IA in un processo di lavoro è utile poter rispondere a queste domande:

Quale strumento stiamo usando e per quale finalità?
Quali dati vengono inseriti e dove finiscono?
Qual è il nostro ruolo ai sensi dell’AI Act?
Il personale ha ricevuto istruzioni adeguate?
È previsto un controllo umano effettivo?
Dobbiamo informare clienti, utenti o lavoratori?
Il contratto con il fornitore disciplina dati, sicurezza e responsabilità?

Conclusione

L’adozione dell’intelligenza artificiale non richiede soltanto una scelta tecnologica. È anche una scelta organizzativa e contrattuale.

Per molte imprese il punto di partenza può essere semplice: mappare gli strumenti già utilizzati, adottare una policy interna, formare il personale e rivedere i contratti con i fornitori. La disciplina applicabile, tuttavia, cambia in base al sistema, alla finalità e ai soggetti coinvolti; per questo le soluzioni standard devono essere adattate al caso concreto.

Per valutare l’utilizzo di strumenti di intelligenza artificiale nella propria attività, predisporre una policy interna o verificare i contratti con i fornitori, è possibile richiedere un esame della situazione specifica scrivendo a aa@avvocatoamoruso.it o chiamando il 389 4937032.

Il presente contributo ha finalità informative e non sostituisce la consulenza legale riferita al singolo caso.