AI Act: cosa cambia dal 2026 per tecnici e imprese, quali obblighi osservare

L’AI Act  – il regolamento europeo sull’intelligenza artificiale – è già entrato in una fase operativa: imprese e professionisti devono verificare quali sistemi di intelligenza artificiale utilizzano, il proprio ruolo di provider o deployer e gli obblighi AI Act applicabili.

Dal 2 agosto 2026 sono operative importanti regole di trasparenza, mentre l’obbligo di adottare misure di alfabetizzazione in materia di IA deriva dall’articolo 4 ed è applicabile già dal 2 febbraio 2025.

Il Digital Omnibus 2026 ha invece posticipato parte del regime dei sistemi ad alto rischio.

Cosa comporta per imprese e professionisti l’entrata in vigore dell’AI Act? Quali adempimenti e quali scadenze osservare?

Le sfide più importanti – quelle da affrontare subito – sono sicuramente rappresentate dalla formazione e dalla trasparenza. Ecco il nostro vademecum, ovviamente focalizzato sul settore delle costruzioni.

Vuoi sfruttare tutta la potenza dell’AI in architettura, nell’interior design o nell’outdoor design? Scopri l’AI architecture designer che trasforma foto, schizzi e modelli 3D in idee progettuali e rendering fotorealistici

AI Act: il quadro normativo

Per riassumere:

• il Regolamento (UE) 2024/1689, ossia l’AI Act, disciplina a livello europeo l’uso dell’Intelligenza Artificiale;
• il Regolamento (UE) 2026/1744, o Digital Omnibus on AI, modifica alcune disposizioni e scadenze;
• la legge 132/2025 applica le norme europee su professioni, lavoro, pubblica amministrazione, giustizia e diritto d’autore nei limiti delle competenze nazionali;
• il D.Lgs. 160/2026 interviene espressamente anche sul terreno della responsabilità penale adeguando la normativa nazionale al Regolamento UE 2024/1689;
• il D.Lgs. 179/2026 interviene in materia di poteri delle autorità nazionali e di utilizzo dell’intelligenza artificiale nella formazione

Cosa prevede l’AI Act?

L’AI Act è il Regolamento (UE) 2024/1689, che disciplina sviluppo, immissione sul mercato e utilizzo dei sistemi di intelligenza artificiale nell’Unione europea secondo un approccio basato sul rischio.

Questo significa che gli adempimenti dipendono dal ruolo dell’organizzazione, dal tipo di sistema utilizzato, dalle persone coinvolte e dal livello di rischio.

Come classifica i sistemi di intelligenza artificiale l’AI Act?

Il Regolamento distingue, in termini sostanziali, tra pratiche vietate, sistemi ad alto rischio, sistemi soggetti a specifici obblighi di trasparenza e sistemi che non ricadono nelle categorie precedenti.

Per chiarezza, eviterei di parlare semplicemente di “alto e basso rischio” come se fossero le sole due classi giuridiche previste dal Regolamento. È meglio utilizzare questa tabella:

Chi sono gli operatori dell’AI Act?

Gli obblighi dell’AI Act cambiano anche in base al ruolo svolto nella catena del valore.

L’articolo 3 identifica come “operatori” il fornitore, il fabbricante del prodotto, il deployer, il rappresentante autorizzato, l’importatore e il distributore.

La distinzione è particolarmente importante per imprese e studi tecnici perché lo stesso soggetto può ricoprire più ruoli contemporaneamente.

Il Regolamento prevede inoltre casi nei quali un distributore, importatore, deployer o altro terzo può diventare, ai fini normativi, provider di un sistema ad alto rischio, per esempio quando appone il proprio nome o marchio, effettua una modifica sostanziale o modifica la finalità prevista in modo tale da rendere il sistema high-risk.

Qual è la differenza tra provider e deployer?

Il provider sviluppa un sistema di IA, o lo fa sviluppare, e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio. Il deployer è invece il soggetto che utilizza il sistema sotto la propria autorità nell’ambito di un’attività professionale, salvo gli usi personali non professionali.

La distinzione è fondamentale perché un’impresa può passare da semplice utilizzatore a provider, per esempio quando modifica significativamente un sistema o lo commercializza con il proprio marchio, a seconda delle condizioni stabilite dal Regolamento.

Il Digital Omnibus rinvia tutto l’AI Act? Quali obblighi AI Act sono già applicabili?

Il cosiddetto Digital Omnibus on AI (pubblicato il 24 luglio 2026 ed entrato in vigore il 27 luglio 2026) modifica alcune disposizioni e scadenze del Regolamento UE 2024/1689 con l’obiettivo di rendere l’attuazione più uniforme, ridurre duplicazioni e chiarire alcuni obblighi, senza sostituire il sistema basato sul rischio introdotto dall’AI Act.

Il Digital Omnibus rinvia specificamente l’applicazione delle disposizioni sui sistemi ad alto rischio, ma non sospende l’intero AI Act.

Imprese e professionisti non devono quindi interrompere i programmi di conformità, formazione, governance e classificazione dei sistemi. Il rinvio riguarda due grandi categorie:

I sistemi indipendenti comprendono, in termini generali, quelli classificati come ad alto rischio in base agli ambiti elencati nell’allegato III dell’AI Act. I sistemi integrati in prodotti riguardano invece applicazioni legate alla normativa europea di armonizzazione, ad esempio in determinati prodotti regolamentati.

Il rinvio serve a fronteggiare il ritardo nella disponibilità di standard armonizzati, organismi di valutazione, orientamenti e strumenti applicativi. Il legislatore europeo ha tuttavia scelto date fisse, anziché collegare indefinitamente l’applicazione alla futura disponibilità degli standard.

AI Act e Digital Omnibus: che cosa scatta davvero il 2 agosto 2026?

Dal 2 agosto 2026 l’AI Act entra in una nuova fase:

• si applicano gli obblighi di trasparenza dell’articolo 50;
• diventano operativi i poteri di controllo sui modelli di IA per finalità generali;
• l’alfabetizzazione del personale (già vigente dal 2 febbraio 2025, entrata in vigore della legge italiana di recepimento) può essere verificata dalle autorità.

Come detto, il Digital Omnibus non sospende l’intero regolamento: rinvia soltanto gli obblighi sui sistemi ad alto rischio al 2 dicembre 2027 o al 2 agosto 2028, a seconda della categoria, mentre diventano effettive disposizioni importanti sulla trasparenza, sulla vigilanza e sull’enforcement dei modelli di IA per finalità generali.

Ecco una sintesi della situazione:

Il calendario originario dell’AI Act individuava il 2 agosto 2026 come data generale di applicazione del regolamento, compresi numerosi obblighi relativi all’alto rischio. Il Digital Omnibus on AI ha modificato tale calendario fissando due date certe:

• 2 dicembre 2027 per i sistemi ad alto rischio indipendenti, compresi quelli dell’allegato III;
• 2 agosto 2028 per i sistemi ad alto rischio incorporati in prodotti soggetti alla normativa europea di armonizzazione.

Il rinvio non costituisce quindi un “liberi tutti”: imprese, studi professionali e pubbliche amministrazioni devono continuare a presidiare gli obblighi già applicabili e prepararsi alle fasi successive.

Come prepararsi agli obblighi AI Act in pratica?

Per un’impresa o uno studio professionale, la priorità è conoscere quali sistemi AI sono realmente utilizzati e per che cosa.

Ecco la nostra check-list:

1. censire sistemi e funzioni AI, compresi strumenti integrati nei software già in uso;
2. identificare provider, deployer e altri eventuali ruoli;
3. documentare finalità, utenti, dati trattati e output prodotti;
4. classificare gli utilizzi per rischio e verificare l’eventuale regime high-risk;
5. applicare gli obblighi di trasparenza dell’articolo 50;
6. predisporre un programma di AI literacy differenziato per mansioni e rischio;
7. definire supervisione umana, controllo delle fonti e regole sui dati;
8. coordinare AI Act, GDPR, cybersecurity e normativa sul lavoro;
9. documentare formazione, controlli, incidenti e aggiornamenti;
10. riesaminare periodicamente sistemi, policy e classificazione.

Quali obblighi di formazione l’AI Act impone a imprese e studi professionali?

Fornitori e deployer devono adottare misure adeguate per sostenere lo sviluppo dell’alfabetizzazione in materia di IA del personale e delle altre persone che utilizzano i sistemi per loro conto.

L’articolo 4 dell’AI Act riguarda:

• i fornitori di sistemi di intelligenza artificiale;
• i deployer, cioè i soggetti che usano sistemi di IA sotto la propria autorità;
• il personale dipendente;
• collaboratori e altre persone coinvolte nel funzionamento dei sistemi.

Il Digital Omnibus ha attenuato la formulazione originaria. Non viene più richiesto genericamente di “garantire” un livello sufficiente di alfabetizzazione, ma di adottare “misure a sostegno dello sviluppo dell’alfabetizzazione in materia di IA”. La misura concreta deve essere proporzionata alle dimensioni dell’organizzazione, al ruolo dell’utilizzatore, al contesto e ai rischi del sistema.

L’articolo 4 non è incluso tra le violazioni alle quali l’articolo 99 collega direttamente una specifica sanzione amministrativa pecuniaria.

Ciò non rende però irrilevante la formazione: in caso di incidente, danno, contestazione o controllo, un programma documentato costituisce una prova importante della diligenza organizzativa.

Che cosa deve contenere un piano di alfabetizzazione sull’IA?

Un piano efficace dovrebbe:

1. censire i sistemi utilizzati;
2. identificare gli utenti e le relative responsabilità;
3. differenziare la formazione per mansione e livello di rischio;
4. spiegare limiti, errori e possibili allucinazioni dei sistemi;
5. disciplinare l’inserimento di dati personali o riservati;
6. prevedere procedure di revisione umana;
7. registrare partecipanti, contenuti e durata delle attività;
8. essere aggiornato in caso di nuovi strumenti o nuove funzioni.

Un corso generico sull’intelligenza artificiale non è sufficiente quando il personale usa sistemi che incidono su selezione dei lavoratori, credito, sicurezza, progettazione o decisioni professionali.

Come si prepara un piano di alfabetizzazione sull’IA conforme all’AI Act?

Il piano di alfabetizzazione sull’IA è un programma organizzativo basato sui sistemi effettivamente utilizzati, sui ruoli delle persone e sui rischi connessi. Non coincide con un singolo corso: può comprendere formazione, policy, istruzioni operative, esercitazioni, aggiornamenti periodici e strumenti di supporto.

L’articolo 4 dell’AI Act si applica dal 2 febbraio 2025. Dopo le modifiche introdotte dal Digital Omnibus, fornitori e deployer restano obbligati a sostenere lo sviluppo dell’alfabetizzazione del personale e delle persone che utilizzano sistemi di IA per loro conto, ma non devono garantire il raggiungimento di un livello standard o identico per tutti. La vigilanza compete alle autorità nazionali di sorveglianza del mercato, operative su questa disposizione dall’agosto 2026.

Che cosa significa alfabetizzazione in materia di IA?

L’alfabetizzazione in materia di IA comprende le competenze, le conoscenze e la comprensione necessarie per utilizzare i sistemi in modo informato e per riconoscerne opportunità, rischi e possibili danni.

Il piano dovrebbe consentire alle persone coinvolte di:

• comprendere che cosa fa il sistema di IA;
• sapere per quali finalità può essere utilizzato;
• riconoscere limiti, errori e risultati inattendibili;
• interpretare correttamente gli output;
• proteggere dati personali, informazioni riservate e proprietà intellettuale;
• applicare la supervisione umana;
• sapere quando correggere, sospendere o non utilizzare il sistema;
• segnalare anomalie e incidenti.

La Commissione precisa che non è obbligatorio misurare formalmente il livello di conoscenza di ogni dipendente. L’organizzazione deve però tenere conto delle competenze pregresse, dell’esperienza, dell’istruzione, del contesto d’uso e delle persone sulle quali il sistema può produrre effetti.

Chi deve essere incluso nel piano?

Il piano deve riguardare non soltanto i dipendenti, ma tutte le persone che operano sui sistemi di IA per conto del provider o del deployer.

Possono rientrare:

• amministratori e dirigenti;
• responsabili di funzione;
• dipendenti;
• sviluppatori e tecnici IT;
• professionisti e collaboratori;
• consulenti;
• lavoratori somministrati;
• fornitori di servizi;
• appaltatori;
• persone incaricate della supervisione umana.

Quando un sistema è utilizzato dai dipendenti sotto l’autorità dell’impresa, il soggetto tenuto a organizzare le misure di alfabetizzazione è normalmente l’impresa. Anche appaltatori e fornitori devono possedere competenze adeguate quando utilizzano l’IA nello svolgimento dell’attività affidata.

Quali sono le fasi di un piano di alfabetizzazione sull’IA?

Censire i sistemi di IA

Il piano deve partire dall’inventario degli strumenti realmente impiegati, compresi quelli introdotti autonomamente dal personale.

Per ogni sistema è opportuno registrare:

Il censimento deve comprendere anche le funzioni di IA incorporate in software già presenti e gli strumenti gratuiti utilizzati senza approvazione formale.

Definire il ruolo dell’organizzazione

I contenuti del piano cambiano a seconda che l’organizzazione sviluppi il sistema o lo utilizzi.

Occorre stabilire se l’organizzazione opera come:

• provider;
• deployer;
• importatore;
• distributore;
• fabbricante di un prodotto con componente di IA;
• utilizzatore professionale di un servizio esterno.

Un provider deve formare il personale anche su sviluppo, test, documentazione e gestione del ciclo di vita. Un deployer deve concentrarsi soprattutto su utilizzo corretto, controllo degli output, dati inseriti, supervisione umana e impatto sulle persone.

Classificare gli utilizzi per rischio

L’alfabetizzazione deve essere proporzionata ai rischi del sistema e alle conseguenze di un possibile errore.

Una classificazione interna può prevedere tre livelli:

La Commissione adotta espressamente un approccio basato sul rischio. Per i sistemi ad alto rischio possono essere necessarie misure aggiuntive, in particolare per assicurare la corretta gestione del sistema e la supervisione umana.

Valutare le competenze iniziali

Il piano non deve imporre a tutti lo stesso percorso: deve partire dalle conoscenze e dalle responsabilità dei diversi gruppi.

Non è obbligatorio un esame formale. È però utile raccogliere informazioni mediante:

• questionario iniziale;
• colloquio con i responsabili;
• autovalutazione;
• verifica delle mansioni;
• analisi degli incidenti o degli errori già avvenuti;
• osservazione degli strumenti utilizzati.

Anche una persona con competenze tecniche avanzate può aver bisogno di formazione sugli aspetti legali, etici, organizzativi o sui rischi specifici dei sistemi adottati dall’organizzazione.

Costruire percorsi differenziati

Il piano dovrebbe prevedere un nucleo comune e moduli specialistici collegati alle mansioni.

Modulo base per tutto il personale

• che cos’è un sistema di IA;
• differenza tra modello e sistema;
• opportunità e limiti dell’IA generativa;
• errori e allucinazioni;
• bias e discriminazioni;
• protezione dei dati;
• informazioni che non possono essere inserite;
• proprietà intellettuale;
• regole interne e strumenti autorizzati;
• procedura di segnalazione.

Modulo per utilizzatori operativi

• formulazione delle richieste;
• verifica delle fonti;
• controllo degli output;
• gestione dei dati;
• uso dei sistemi nelle attività concrete;
• documentazione della revisione umana;
• limiti all’automazione;
• escalation al responsabile.

Modulo per supervisori umani

• interpretazione degli output;
• indicatori di errore;
• rischio di affidamento eccessivo;
• potere di interrompere o correggere il sistema;
• registrazione delle decisioni;
• gestione delle anomalie;
• impatto sulle persone interessate.

Modulo per dirigenti e responsabili

• responsabilità organizzative;
• classificazione dei sistemi;
• governance;
• scelta e controllo dei fornitori;
• obblighi di trasparenza;
• gestione degli incidenti;
• aggiornamento delle policy;
• allocazione delle responsabilità.

Modulo per sviluppatori e provider

• qualità dei dati;
• test e validazione;
• documentazione tecnica;
• robustezza e cybersecurity;
• tracciabilità;
• bias;
• gestione delle modifiche;
• monitoraggio dopo l’immissione sul mercato.

Quale formazione serve per chi usa ChatGPT o sistemi generativi?

Anche l’uso di un chatbot per scrivere testi, tradurre o sintetizzare documenti richiede misure di alfabetizzazione. La Commissione cita espressamente il rischio di allucinazione come contenuto che deve essere conosciuto dagli utilizzatori.

Il modulo dedicato all’IA generativa dovrebbe spiegare almeno:

• che un output plausibile può essere falso;
• che citazioni, sentenze, norme e dati devono essere verificati;
• che il sistema non deve ricevere dati riservati senza autorizzazione;
• che l’output può riprodurre stereotipi o errori;
• che il risultato non sostituisce il giudizio professionale;
• che la revisione deve essere sostanziale, non soltanto grammaticale;
• che testi, immagini e codice possono presentare problemi di proprietà intellettuale;
• che vanno utilizzati solo strumenti autorizzati dall’organizzazione.

È sufficiente far leggere le istruzioni del software?

No. La sola lettura delle istruzioni può essere insufficiente, soprattutto quando il sistema incide su attività professionali, diritti o sicurezza.

La Commissione chiarisce che formazione e orientamenti devono essere adeguati al gruppo destinatario, al contesto e alla finalità d’uso. Per i deployer di sistemi ad alto rischio, il personale incaricato della gestione pratica e della supervisione umana deve essere specificamente formato; il semplice rinvio al manuale del fornitore non basta.

Sono quindi consigliabili:

• casi pratici;
• simulazioni di errori;
• esempi riferiti alle mansioni;
• esercitazioni sulla verifica degli output;
• scenari di incidente;
• sessioni di domande e risposte;
• schede operative disponibili durante il lavoro.

Il corso deve essere esterno o certificato?

L’AI Act non impone una formazione esterna, una certificazione individuale o uno specifico attestato. Le attività possono essere organizzate internamente, purché siano coerenti con i sistemi, le competenze e i rischi rilevati.

L’organizzazione può documentare:

• corsi interni o esterni;
• webinar;
• sessioni operative;
• linee guida;
• manuali interni;
• newsletter;
• comunità di pratica;
• affiancamento;
• esercitazioni;
• riunioni periodiche.

Non è inoltre obbligatorio nominare un “AI officer” o creare una struttura di governance dedicata per rispettare l’articolo 4. È comunque necessario attribuire chiaramente la responsabilità della progettazione, dell’attuazione e dell’aggiornamento del piano.

Come si documenta il piano?

La documentazione deve dimostrare che l’organizzazione ha valutato i propri utilizzi e adottato misure coerenti, non soltanto che è stato svolto un corso generico.

Il fascicolo del piano dovrebbe contenere:

1. inventario dei sistemi di IA;
2. analisi dei ruoli e dei rischi;
3. gruppi destinatari;
4. obiettivi formativi;
5. programmi e materiali;
6. calendario delle attività;
7. registro dei partecipanti;
8. eventuali test o esercitazioni;
9. policy e istruzioni distribuite;
10. evidenze degli aggiornamenti;
11. formazione di consulenti e appaltatori;
12. segnalazioni e incidenti utilizzati per migliorare il piano;
13. verbale di approvazione;
14. responsabile e versione del documento.

La Commissione non richiede un certificato: può essere sufficiente un registro interno delle attività formative e delle altre iniziative di orientamento.

Quali obblighi di trasparenza scattano dal 2 agosto 2026?

Dal 2 agosto 2026 si applicano gli obblighi di trasparenza dell’articolo 50 dell’AI Act.

Le linee guida pubblicate dalla Commissione europea il 20 luglio spiegano come devono comportarsi fornitori, deployer e autorità competenti in relazione a chatbot, contenuti sintetici, deepfake, sistemi di riconoscimento delle emozioni e testi di interesse pubblico.

Il Digital Omnibus concede una proroga fino al 2 dicembre 2026 soltanto per la marcatura tecnica di alcuni sistemi generativi già presenti sul mercato.

Le linee guida chiariscono l’ambito degli obblighi di trasparenza dell’articolo 50 e indicano come applicarli in modo coerente, efficace, proporzionato e uniforme. Sono rivolte ai fornitori, ai deployer e alle autorità incaricate della vigilanza e dell’applicazione delle sanzioni.

Quali obblighi spettano a provider e deployer?

I provider devono progettare sistemi trasparenti e applicare marcature tecniche ai contenuti sintetici. I deployer devono invece informare direttamente le persone esposte a determinati sistemi o contenuti.

Le responsabilità non sono alternative. Lo stesso contenuto può richiedere sia la marcatura tecnica applicata dal provider sia una dichiarazione chiaramente percepibile aggiunta dal deployer.

Chi è considerato provider secondo le linee guida?

È provider chi sviluppa o fa sviluppare un sistema di IA e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio. La qualifica può riguardare imprese, professionisti, pubbliche amministrazioni, agenzie e altri organismi.

Gli obblighi possono applicarsi anche a provider stabiliti fuori dall’Unione europea quando l’output del sistema viene utilizzato nell’UE. Prima dell’immissione sul mercato o della messa in servizio, il provider deve verificare gli obblighi applicabili ai sensi dell’articolo 50, paragrafi 1, 2 e 5.

Un’impresa che personalizza in modo significativo un sistema, lo integra in un proprio prodotto e lo offre con il proprio marchio deve quindi verificare se abbia assunto il ruolo di provider, anziché considerarsi un semplice utilizzatore.

Chi è considerato deployer?

È deployer la persona fisica o giuridica che utilizza un sistema di IA sotto la propria autorità nell’ambito di un’attività professionale. L’utilizzo esclusivamente personale e non professionale resta fuori dal campo di applicazione.

Una persona fisica può però diventare deployer quando l’uso del sistema:

• produce regolarmente un vantaggio economico;
• è collegato a un’attività commerciale;
• rientra in una professione o attività autonoma;
• viene effettuato per conto di un’organizzazione.

Quando il sistema è usato dai dipendenti sotto il controllo dell’impresa, il deployer resta normalmente l’impresa. Lo stesso vale quando intervengono collaboratori o freelance che operano per conto e sotto la responsabilità dell’organizzazione.

Questa precisazione è particolarmente rilevante per studi professionali, agenzie di comunicazione, redazioni, società di progettazione e imprese che affidano la produzione di contenuti a collaboratori esterni.

Chatbot e sistemi che interagiscono con le persone

Chi fornisce un sistema di IA destinato a interagire direttamente con persone fisiche deve informare l’utente che sta dialogando con un sistema artificiale, salvo che la natura dell’interazione sia già evidente.

La comunicazione deve essere:

• tempestiva;
• chiaramente visibile;
• accessibile;
• comprensibile prima o all’inizio dell’interazione.

Quando bisogna dichiarare che l’utente sta interagendo con un’IA?

L’informazione è richiesta quando un sistema di IA è progettato per sostenere un’interazione diretta e bidirezionale con una persona. La comunicazione deve apparire dall’inizio della prima interazione, essere chiara, distinguibile e accessibile.

Le linee guida individuano quattro condizioni cumulative:

1. lo strumento deve qualificarsi come sistema di IA;
2. deve essere progettato per un vero scambio con la persona;
3. l’interazione deve essere diretta, senza un intermediario umano;
4. l’interlocutore deve essere una persona fisica.

Rientrano tipicamente nell’obbligo:

• chatbot di assistenza;
• agenti vocali;
• assistenti virtuali;
• avatar interattivi;
• sistemi che formulano risposte personalizzate in tempo reale.

Restano normalmente fuori i sistemi che lavorano soltanto in background, le comunicazioni macchina-macchina e gli strumenti che raccolgono dati senza instaurare un’effettiva conversazione.

Quando l’avviso non è necessario perché l’IA è “ovvia”?

L’avviso può non essere richiesto quando, per una persona mediamente informata, attenta e avveduta, è già evidente che l’interlocutore è un sistema di IA.

Le linee guida raccomandano però di interpretare questa eccezione in modo restrittivo. L’organizzazione dovrebbe valutare:

• aspetto e denominazione dell’interfaccia;
• linguaggio utilizzato;
• contesto del servizio;
• pubblico destinatario;
• possibilità concreta di confondere il sistema con un operatore umano.

Una piccola icona tecnica o una clausola nascosta nelle condizioni d’uso difficilmente assicurano, da sole, una comunicazione chiara all’inizio dell’interazione.

Come deve essere presentato l’avviso?

L’avviso deve essere comprensibile e percepibile senza azioni aggiuntive da parte dell’utente.

Formulazioni operative possono essere:

“Stai interagendo con un assistente basato su intelligenza artificiale.”

oppure:

“La risposta è generata automaticamente da un sistema di IA e può richiedere verifica.”

La formulazione concreta deve essere adeguata al servizio e rispettare i requisiti di accessibilità. Per un agente vocale, ad esempio, l’informazione dovrebbe essere anche sonora; per un chatbot dovrebbe apparire nell’interfaccia prima o all’avvio del primo scambio.

Marcatura leggibile dalle macchine

I fornitori devono rendere individuabili in formato leggibile dalle macchine determinati contenuti generati o manipolati artificialmente. Per alcuni sistemi già immessi sul mercato prima del 2 agosto 2026 è previsto un periodo transitorio fino al 2 dicembre 2026 limitato agli obblighi di marcatura e rilevazione.

Quali contenuti deve marcare il provider?

Il provider di un sistema generativo deve rendere gli output artificiali rilevabili attraverso una marcatura leggibile dalle macchine. La soluzione deve essere, per quanto tecnicamente possibile, efficace, interoperabile, robusta e affidabile.

L’obbligo può riguardare:

• testi;
• immagini;
• video;
• registrazioni audio;
• contenuti generati o sostanzialmente manipolati.

La marcatura può utilizzare metadati, credenziali di contenuto, watermark o altre tecniche idonee a consentire il rilevamento automatico. Le linee guida richiedono di considerare:

• caratteristiche del tipo di contenuto;
• limiti tecnici della soluzione;
• costi di implementazione;
• stato dell’arte;
• standard tecnici disponibili.

Quali output possono restare fuori dalla marcatura?

Le linee guida escludono o trattano diversamente alcuni output, tra cui:

• brevi sequenze di numeri, lettere o simboli;
• codice sorgente;
• comunicazioni esclusivamente macchina-macchina;
• output utilizzati in ambienti industriali chiusi e non esposti alle persone;
• elaborazioni che svolgono una funzione meramente assistiva di editing standard;
• modifiche che non alterano sostanzialmente dati e significato dell’input.

L’eccezione per l’editing standard deve essere valutata in concreto. Una correzione tecnica limitata non equivale alla generazione di un nuovo contenuto, mentre una modifica capace di alterare soggetti, significato o percezione del messaggio può rientrare nell’obbligo.

Che differenza c’è tra marcatura tecnica ed etichetta visibile?

La marcatura tecnica è un obbligo del provider; la dichiarazione percepibile dalle persone è normalmente un obbligo del deployer.

La differenza è sostanziale:

Un deployer che pubblica un deepfake non può quindi fare affidamento soltanto sui metadati inseriti dal provider. Deve aggiungere una comunicazione comprensibile senza che l’utente debba utilizzare strumenti tecnici o compiere azioni dedicate.

Deepfake

Chi utilizza un sistema per generare o manipolare immagini, audio o video che appaiono autentici deve dichiarare la natura artificiale o manipolata del contenuto.

Quando un contenuto è considerato deepfake?

Un contenuto è un deepfake quando è generato o manipolato dall’IA, presenta una forte somiglianza con una persona, un luogo, un oggetto, un’entità o un evento esistente e può apparire falsamente autentico o veritiero.

Le linee guida richiedono tre elementi:

1. Somiglianza: il contenuto deve riprodurre in modo significativo il soggetto simulato.
2. Riferimento alla realtà: il soggetto deve esistere, poter plausibilmente esistere o essere esistito.
3. Falsa apparenza di autenticità: il contenuto deve poter ingannare sul suo carattere reale.

La valutazione tiene conto anche di:

• messaggio trasmesso;
• contesto di pubblicazione;
• pubblico prevedibile;
• aspettative del destinatario;
• grado di realismo.

Effetti speciali e scene artificiali inseriti in un’opera cinematografica evidentemente fantastica, ad esempio, difficilmente saranno percepiti dal pubblico come documentazione autentica di un evento reale.

Come deve essere dichiarato un deepfake?

La dichiarazione deve essere fornita al più tardi alla prima esposizione del destinatario e deve risultare chiara e distinguibile.

La comunicazione può essere:

• una dicitura visibile sull’immagine o sul video;
• un avviso prima della riproduzione;
• un’indicazione nella didascalia immediatamente associata;
• un annuncio sonoro per il contenuto audio;
• un’icona accompagnata da una spiegazione comprensibile.

Per opere evidentemente artistiche, creative, satiriche o di fantasia, la dichiarazione può essere adattata in modo da non compromettere la fruizione dell’opera, ma non viene eliminata automaticamente.

Testi su questioni di interesse pubblico

L’impiego dell’IA per generare o manipolare testi pubblicati con la finalità di informare il pubblico su questioni di interesse generale deve essere dichiarato, salvo le condizioni ed eccezioni previste per contenuti sottoposti a revisione umana o controllo editoriale.

Quando deve essere etichettato un testo generato dall’IA?

Il deployer deve etichettare un testo generato o manipolato dall’IA quando viene pubblicato per informare il pubblico su una questione di interesse generale e non è stato sottoposto a un’effettiva revisione umana o a controllo editoriale.

Le tre condizioni sono:

• il testo è pubblicato;
• ha funzione informativa verso il pubblico;
• riguarda una questione di interesse pubblico.

Tra le materie indicate dalla Commissione rientrano:

• politica e processi democratici;
• pubblica amministrazione e servizi pubblici;
• giustizia e attività di polizia;
• diritti fondamentali;
• sicurezza pubblica;
• salute;
• ambiente;
• tutela dei consumatori;
• sviluppi economici, finanziari, scientifici o culturali oggetto di dibattito pubblico.

Quando la revisione umana esenta dall’etichettatura?

La semplice correzione formale non basta. La revisione deve riguardare la sostanza del testo ed essere svolta da persone dotate delle competenze e del giudizio professionale necessari.

Secondo le linee guida, la revisione umana può comprendere:

• verifica delle affermazioni;
• controllo delle fonti;
• correzione di errori sostanziali;
• valutazione dell’attendibilità;
• modifica o riscrittura del contenuto;
• approvazione, rifiuto o integrazione della pubblicazione.

Il controllo editoriale richiede inoltre un soggetto dotato dell’autorità effettiva di approvare, modificare o respingere il testo. Deve esistere una persona fisica o giuridica che assuma la responsabilità editoriale finale della pubblicazione.

Non costituiscono revisione sostanziale:

• controllo ortografico;
• correzione grammaticale automatica;
• formattazione;
• inserimento meccanico nel CMS;
• approvazione puramente procedurale.

Riconoscimento delle emozioni e categorizzazione biometrica

Il deployer deve informare le persone esposte al funzionamento del sistema, sia quando l’analisi avviene in tempo reale sia quando viene effettuata successivamente su dati registrati.

L’informativa prevista dall’articolo 50 non richiede necessariamente una spiegazione completa delle finalità e del funzionamento tecnico, ma si aggiunge agli obblighi derivanti dal GDPR e dalle altre norme sulla protezione dei dati.

Il deployer deve quindi coordinare almeno:

• comunicazione sull’esistenza e sul funzionamento del sistema;
• informativa privacy;
• base giuridica del trattamento;
• eventuale valutazione d’impatto;
• tempi di conservazione;
• diritti dell’interessato;
• misure di sicurezza.

Quali attività sono considerate ad alto rischio dall’AI Act?

L’Allegato III individua otto grandi ambiti nei quali specifici utilizzi dell’intelligenza artificiale possono essere classificati ad alto rischio. La classificazione dipende dalla finalità concreta del sistema, non semplicemente dal settore economico dell’impresa che lo utilizza.

Biometria

Rientrano, nei casi consentiti dalla legge:

• identificazione biometrica remota;
• categorizzazione biometrica basata su determinati attributi o caratteristiche sensibili;
• riconoscimento delle emozioni.

La semplice verifica biometrica finalizzata, per esempio, a confermare che una persona sia effettivamente chi dichiara di essere è esclusa dalla specifica categoria dell’identificazione biometrica remota high-risk indicata dall’Allegato III.

Infrastrutture critiche

Sono high-risk i sistemi utilizzati come componenti di sicurezza nella gestione e nel funzionamento, tra l’altro, di:

• infrastrutture digitali critiche;
• traffico stradale;
• reti idriche;
• gas;
• riscaldamento;
• elettricità.

Istruzione e formazione professionale

Vi rientrano determinati sistemi utilizzati per:

• decidere accesso o ammissione;
• assegnare persone a istituti o programmi;
• valutare i risultati dell’apprendimento;
• determinare il livello di istruzione appropriato;
• monitorare comportamenti vietati durante esami e prove.

Occupazione e gestione dei lavoratori

È una delle categorie più rilevanti per imprese e studi professionali. Sono compresi sistemi destinati a:

• pubblicare annunci di lavoro mirati;
• analizzare o filtrare candidature;
• valutare candidati;
• decidere promozioni o cessazioni dei rapporti;
• assegnare compiti sulla base di caratteristiche o comportamenti individuali;
• monitorare e valutare prestazioni e comportamento dei lavoratori.

Accesso a servizi essenziali

L’Allegato III comprende specifici sistemi utilizzati, ad esempio, per:

• accesso a prestazioni e servizi pubblici essenziali;
• valutazione del merito creditizio;
• determinati utilizzi in ambito assicurativo;
• valutazione e classificazione delle chiamate di emergenza.

Attività di contrasto

Rientrano determinati impieghi dell’IA da parte delle autorità competenti, tra cui valutazione di elementi probatori, determinati strumenti di valutazione del rischio e alcuni utilizzi investigativi.

Migrazione, asilo e controllo delle frontiere

Sono inclusi specifici sistemi utilizzati per:

• valutazioni del rischio;
• esame di domande di asilo, visto o soggiorno;
• valutazione di elementi probatori;
• individuazione o identificazione delle persone nel contesto della gestione delle frontiere.

Giustizia e processi democratici

Comprende, tra gli altri:

• sistemi che assistono un’autorità giudiziaria nella ricerca e interpretazione dei fatti e del diritto;
• sistemi destinati a influenzare l’esito di elezioni o referendum o il comportamento di voto, con le eccezioni previste dal Regolamento.

Quali obblighi ha chi utilizza un sistema AI ad alto rischio?

Il deployer di un sistema di IA ad alto rischio deve utilizzare il sistema secondo le istruzioni, assicurare un’adeguata sorveglianza umana, monitorarne il funzionamento e intervenire in presenza di rischi o incidenti.

Se controlla i dati di input, deve inoltre garantirne pertinenza e sufficiente rappresentatività rispetto alla finalità prevista.

L’articolo 26 prevede inoltre la conservazione dei log sotto il controllo del deployer per un periodo adeguato e, normalmente, almeno sei mesi. Nel luogo di lavoro, prima dell’utilizzo di un sistema high-risk, il datore di lavoro deve informare i rappresentanti dei lavoratori e i lavoratori interessati secondo le norme applicabili.

Che rapporto c’è tra l’AI Act e la legge 132/2025?

L’AI Act è direttamente applicabile nell’Unione, mentre la legge italiana 132/2025 disciplina principi nazionali, settori specifici, deleghe al Governo e coordinamento interno. La legge italiana deve essere interpretata in conformità al Regolamento (UE) 2024/1689 e alle sue successive modifiche.

La legge 23 settembre 2025, n. 132 è stata pubblicata nella Gazzetta Ufficiale n. 223 del 25 settembre 2025 ed è entrata in vigore il 10 ottobre 2025.

Si tratta di una legge quadro che prevede la delega al Governo per successivi decreti attuativi e alcune misure che si rifanno direttamente all’AI Act europeo, il Regolamento (UE) 2024/1689.

A tal proposito (qui la notizia) il Consiglio dei Ministri del 10 giugno 2026 ha approvato, in esame preliminare, due schemi di decreto legislativo che danno attuazione alla legge 132/2025 e adeguano la normativa nazionale al Regolamento UE 2024/1689. Uno di questi – il D.Lgs. 160/2026 – è già stato adottato e pubblicato

La legge 132/2025 promuove un uso corretto, trasparente, responsabile e antropocentrico dell’intelligenza artificiale e interviene, tra gli altri, nei settori del lavoro, delle professioni, della pubblica amministrazione, della giustizia e del diritto d’autore.

Il Digital Omnibus modifica il quadro europeo sovraordinato, ma non cancella automaticamente gli obblighi nazionali compatibili con il diritto europeo.

Legge 132/2025: testo PDF

Download Gratuito Legge 132/2025 - Disposizioni sull'Intelligenza Artificiale (AI Act)

Cosa prevede l’AI Act per professionisti, architetti, ingegneri e tecnici?

L’art. 11 stabilisce che:

• l’intelligenza artificiale è impiegata per migliorare le condizioni di lavoro, tutelare l’integrità psicofisica dei lavoratori, accrescere la qualità delle prestazioni lavorative e la produttività delle persone in conformità al diritto dell’Unione europea;
• l’utilizzo dell’intelligenza artificiale in ambito lavorativo deve essere sicuro, affidabile, trasparente e non può svolgersi in contrasto con la dignità umana né violare la riservatezza dei dati personali;
• l’intelligenza artificiale nell’organizzazione e nella gestione del rapporto di lavoro garantisce l’osservanza dei diritti inviolabili del lavoratore senza discriminazioni in funzione del sesso, dell’età, delle origini etniche, del credo religioso, dell’orientamento sessuale, delle opinioni politiche e delle condizioni personali, sociali ed economiche, in conformità al diritto dell’Unione europea.

A margine delle dichiarazioni di principio, l’art. 11 specifica che:

Il datore di lavoro o il committente è tenuto a informare il lavoratore dell’utilizzo dell’intelligenza artificiale nei casi e con le modalità di cui all’articolo 1 -bis del decreto legislativo 26 maggio 1997, n. 152

L’articolo 1-bis del D.Lgs. 152/1997 prevede che:

• il datore di lavoro sia tenuto ad informare il prestatore dell’utilizzo di sistemi decisionali o di monitoraggio, integralmente automatizzati, che siano in grado di fornire indicazioni in materia di: assunzione, conferimento dell’incarico, gestione e cessazione del rapporto di lavoro, assegnazione di compiti o mansioni, sorveglianza, valutazione, adempimento degli obblighi contrattuali da parte dei prestatori (comma 1);
• il datore (o il committente) debba fornire le suddette informazioni “in modo trasparente, in formato strutturato, di uso comune e leggibile da dispositivo automatico”.

Ogni modifica significativa deve essere comunicata almeno 24 ore prima, e le informazioni devono essere trasmesse anche alle rappresentanze sindacali aziendali o, in loro assenza, a quelle territoriali comparativamente più rappresentative.

Il lavoratore può chiedere chiarimenti aggiuntivi e ottenere, entro trenta giorni, una risposta scritta con informazioni supplementari sui dati trattati e sul funzionamento dell’algoritmo.

Quali sanzioni sono previste per l’omessa informativa ai lavoratori?

La violazione degli obblighi informativi può comportare sanzioni calcolate per lavoratore, per periodo di omissione o in relazione alla mancata comunicazione sindacale.

L’articolo 19 del D.Lgs. 276/2003 (modificato dal d.lgs. 104/2022) prevede, per la violazione degli obblighi informativi, una sanzione

• da 250 a 1.500 euro per ciascun lavoratore interessato;
• da 100 a 750 euro per ogni mese di informazione mancante o incompleta sugli algoritmi;
• da 400 a 1.500 euro per l’omissione verso le rappresentanze sindacali.

Disposizioni della Legge 132 in materia di professioni intellettuali e obbligo di informativa

L’art. 13 fissa un principio-cardine destinato ad incidere sulle modalità di utilizzo dell’AI nelle professioni intellettuali:

L’utilizzo di sistemi di intelligenza artificiale nelle professioni intellettuali è finalizzato al solo esercizio delle attività strumentali e di supporto all’attività professionale e con prevalenza del lavoro intellettuale oggetto della prestazione d’opera.

Per assicurare il rapporto fiduciario tra professionista e cliente:

le informazioni relative ai sistemi di intelligenza artificiale utilizzati dal professionista sono comunicate al soggetto destinatario della prestazione intellettuale con linguaggio chiaro, semplice ed esaustivo.

Come chiarito dalla relazione illustrativa:

• la norma fa riferimento agli articoli da 2229 a 2238 del codice civile;
• tali norme vanno lette nel senso che il pensiero critico umano deve sempre risultare prevalente rispetto all’uso degli strumenti di intelligenza artificiale. Il requisito di prevalenza appare, dunque, posto con riferimento al profilo della qualità della prestazione (e non implica una prevalenza anche di tipo quantitativo);
• le disposizioni concernono il contratto di prestazione d’opera intellettuale e non anche i contratti (quali, per esempio, i contratti di edizione) di cessione o utilizzo di opere intellettuali precedentemente realizzate senza un incarico sottostante, opere che restano quindi al di fuori della disciplina limitativa in oggetto.

Il contratto di prestazione d’opera intellettuale è un accordo in cui un professionista (come avvocato, ingegnere, architetto, geometra, ecc.), iscritto in un albo professionale, si obbliga a svolgere un’attività di natura intellettuale a favore di un cliente, in cambio di un compenso. La caratteristica principale è l’obbligo del professionista di adempiere diligentemente all’incarico (obbligazione di mezzi), senza però essere tenuto a garantire un risultato finale specifico (come vincere una causa o far guarire un paziente). 

In pratica, l’articolo 13 prevede un limite e un obbligo di trasparenza:

• il ricorso all’intelligenza artificiale è ammesso, ma il professionista intellettuale è tenuto ad impiegare “prevalentemente” il proprio intelletto, cioè il bagaglio di esperienze e competenze che costituisce la sua professionalità; il contributo dell’AI non può costituire la parte esclusiva o prevalente della prestazione;
• se il professionista fa uso di intelligenza artificiale, deve dichiararlo tutelando il cliente e rafforzando la fiducia nel rapporto professionale.

Per capire come muoversi bisognerà in ogni caso attendere le indicazioni degli Ordini professionali.

Studio CNI sull’impatto dell’AI Act sugli ingegneri e i modelli di informativa

Il Comitato Italiano di Ingegneria dell’Informazione, su input del Consiglio Nazionale degli Ingegneri, ha pubblicato:

• due diversi moduli qui disponibili per il download gratuito:
  • una dichiarazione sostitutiva di atto di notorietà, utilizzabile anche come informativa generale verso l’Ordine;
  • una dichiarazione semplice, da allegare al preventivo o all’accettazione dell’incarico;
• un documento sull’impatto della legge 132/2025 sulla professione di ingegnere con precise indicazioni su uso, responsabilità, informativa ai clienti, sanzioni, deontologia professionale, formazione e polizza RC professionale e una proposta di modifica del Codice deontologico.

I modelli di informativa sono qui disponibili per il download gratuito:

Download Gratuito Moduli informativi CNI per l'uso dell'intelligenza artificiale da parte degli ingegneri

Modulo di informativa AI di ANF e Confprofessioni

ANF (Associazione Nazionale Forense) e Confprofessioni hanno reso disponibile il primo modulo informativo destinato ai professionisti, in conformità con quanto previsto dall’articolo 13 della Legge 132/2025.

Download Gratuito Informativa sull’utilizzo di strumenti di intelligenza artificiale

L’obbligo di informare i clienti dell’uso di AI non è accompagnato da una sanzione; ma molti ordini stanno già valutando un aggiornamento dei Codici deontologici di categoria.

AI: cosa cambia per gli ingegneri?

L’ingegnere può usare sistemi di intelligenza artificiale per:

• calcoli strutturali complessi, simulazioni, ottimizzazione dei progetti;
• analisi predittive (consumo energetico, impatto ambientale, manutenzione predittiva);
• generazione di bozze di elaborati tecnici, relazioni o disegni.

La responsabilità intellettuale e decisionale rimane però al professionista: l’IA non può sostituirsi al giudizio tecnico dell’ingegnere. In caso di errore, non si può “scaricare la colpa” sull’IA: la responsabilità resta personale.

È opportuno documentare come l’IA è stata usata, per dimostrare controllo e vigilanza sul processo.

Nei bandi pubblici e negli incarichi privati, sarà più frequente trovare richieste di dichiarare l’uso di IA nei progetti. Potrebbe diventare prassi standard inserire nei contratti e nelle relazioni tecniche un paragrafo di trasparenza sull’IA.

Cosa succede se non si rispettano gli obblighi?

La Legge non prevede direttamente sanzioni specifiche in quell’articolo. Tuttavia, se un ingegnere non rispetta questi obblighi, possono scattare conseguenze su più livelli:

• Responsabilità disciplinare: la mancata trasparenza verso il cliente o l’uso improprio di strumenti di IA potrebbe configurare violazione dell’attuale codice deontologico, compromissione del rapporto fiduciario con il cliente.
• Responsabilità civile: se l’IA produce errori (es. calcolo strutturale sbagliato, simulazione energetica falsata) e il professionista non ha vigilato, resta responsabile in sede civile per danni al cliente o a terzi.
• Responsabilità penale: in casi gravi (crolli, lesioni, incidenti), l’uso scorretto o non dichiarato di IA non esonera dalla responsabilità penale del professionista.
• Violazione dei diritti del cliente: non informare il cliente sull’uso di IA viola il principio di trasparenza contrattuale. Questo può portare alla contestazione dell’incarico o a richieste di risarcimento.

Bisogna assicurarsi?

Le polizze RC professionale oggi coprono gli errori, le omissioni o le negligenze nell’esercizio dell’attività professionale. Se l’ingegnere usa l’IA in modo corretto e ne mantiene il controllo, il danno dovrebbe essere coperto, perché rientra nella normale attività professionale.

Se l’ingegnere non dichiara l’uso dell’IA al cliente (violando l’art. 13), l’assicuratore potrebbe sostenere che il comportamento è contrario alla legge e al codice deontologico e quindi si tratta di colpa grave o violazione di obblighi informativi, potenzialmente esclusi dalla copertura.

Gli ingegneri dovrebbero informare la compagnia assicurativa se utilizzano regolarmente strumenti di IA per attività professionale, verificare se la polizza contiene esclusioni generiche per nuove tecnologie e chiedere un’integrazione o aggiornamento della copertura per essere certi che l’uso di IA sia esplicitamente compreso.

Formazione sull’AI ed equo compenso modulabile

In attuazione del regolamento (UE) 2024/1689, l’art. 24 prevede che:

• gli ordini professionali e le associazioni di categoria maggiormente rappresentative, nonché le forme aggregative delle associazioni di cui all’articolo 3 della legge 14 gennaio 2013, n. 4, implementino dei percorsi di alfabetizzazione e formazione, per i professionisti e per gli operatori dello specifico settore, all’uso dei sistemi di intelligenza artificiale;
• prevedano il riconoscimento di un equo compenso modulabile sulla base delle responsabilità e dei rischi connessi all’uso dei sistemi di intelligenza artificiale.

AI e diritto d’autore

La legge modifica in maniera emblematica il testo dell’articolo 1 della legge 633/1941 sul diritto d’autore:

Sono protette ai sensi di questa legge le opere dell’ingegno umano di carattere creativo che appartengono alla letteratura, alla musica, alle arti figurative, all’architettura, al teatro ed alla cinematografia, qualunque ne sia il modo o la forma di espressione, anche laddove create con l’ausilio di strumenti di intelligenza artificiale, purché costituenti risultato del lavoro intellettuale dell’autore.

Uso dell’intelligenza artificiale nella pubblica amministrazione

Lo stesso principio di prevalenza e il concetto di funzione strumentale dell’AI ispirano le norme che disciplinano l’uso dell’Intelligenza Artificiale nella pubblica amministrazione (art. 14) e nell’attività giudiziaria (art. 15):

• le pubbliche amministrazioni utilizzano l’intelligenza artificiale allo scopo di incrementare l’efficienza della propria attività, di ridurre i tempi di definizione dei procedimenti e di aumentare la qualità e la quantità dei servizi erogati ai cittadini e alle imprese, assicurando agli interessati la conoscibilità del suo funzionamento e la tracciabilità del suo utilizzo;
• l’utilizzo dell’intelligenza artificiale avviene in funzione strumentale e di supporto all’attività provvedimentale, nel rispetto dell’autonomia e del potere decisionale della persona che resta l’unica responsabile dei provvedimenti e dei procedimenti in cui sia stata utilizzata l’intelligenza artificiale;
• le pubbliche amministrazioni adottano misure tecniche, organizzative e formative finalizzate a garantire un utilizzo responsabile dell’intelligenza artificiale e a sviluppare le capacità trasversali degli utilizzatori.

Nei casi di impiego dei sistemi di intelligenza artificiale nell’attività giudiziaria è sempre riservata al magistrato ogni decisione sull’interpretazione e sull’applicazione della legge, sulla valutazione dei fatti e delle prove e sull’adozione dei provvedimenti.

Il Ministero della giustizia dovrà disciplinare gli impieghi dei sistemi di intelligenza artificiale per l’organizzazione dei servizi relativi alla giustizia, per la semplificazione del lavoro giudiziario e per le attività amministrative accessorie.

Fino alla compiuta attuazione del regolamento (UE) 2024/1689, la sperimentazione e l’impiego dei sistemi di intelligenza artificiale negli uffici giudiziari ordinari sono autorizzati dal Ministero della giustizia.

Quali sanzioni sono previste per gli obblighi AI Act?

Le sanzioni dipendono dalla violazione. Per gli obblighi di trasparenza dell’articolo 50, la Commissione indica ammende che possono arrivare a 15 milioni di euro o al 3% del fatturato mondiale totale dell’esercizio precedente, ferma l’applicazione dei criteri di proporzionalità previsti per PMI e small mid-cap.

Gli obblighi in materia di lavoro seguono invece anche la disciplina sanzionatoria nazionale. Per alcune violazioni dell’articolo 1-bis del D.Lgs. 152/1997, l’articolo 19 del D.Lgs. 276/2003 prevede sanzioni amministrative differenziate in funzione dell’obbligo violato e del numero di lavoratori interessati.

La compliance AI dovrebbe quindi essere trattata come un sistema coordinato che comprende AI Act, normativa italiana, GDPR, diritto del lavoro, cybersecurity e regole professionali applicabili

D.Lgs. 160/2026: il nuovo reato in materia di IA in vigore dal 30 settembre 2026

Il decreto legislativo 9 settembre 2026, n. 160 – pubblicato nella Gazzetta Ufficiale del 15 settembre 2026 – interviene espressamente anche sul terreno della responsabilità penale adeguando la normativa nazionale al Regolamento UE 2024/1689.

Per effetto dell’ordinaria vacatio legis, le nuove disposizioni penali entrano in vigore il 30 settembre 2026.

La novità principale per imprese, sviluppatori, produttori e utilizzatori professionali è l’introduzione nel Codice penale del nuovo articolo 437-bis, rubricato “Omessa adozione di misure di sicurezza nei sistemi di intelligenza artificiale e alterazione illecita dei sistemi”.

Maggiori informazioni

Intelligenza artificiale negli appalti pubblici: regole 2026, Bando ANAC e AI Act

L’intelligenza artificiale può entrare in una gara pubblica in due modi: può essere utilizzata dalla stazione appaltante per automatizzare o supportare le proprie attività oppure dall’operatore economico per predisporre l’offerta e, in caso di aggiudicazione, eseguire la prestazione.

Sul versante dell’operatore economico assume invece particolare rilievo l’aggiornamento 2026 del Bando Tipo ANAC n. 1/2023.

Con la Delibera n. 148 del 1° aprile 2026, ANAC ha infatti introdotto specifiche dichiarazioni sull’impiego dei sistemi di IA nell’elaborazione dell’offerta tecnica e nell’eventuale esecuzione della prestazione.

Maggiori approfondimenti

L’introduzione dell’intelligenza artificiale richiede l’aggiornamento del DVR?

L’introduzione di un sistema di IA non determina automaticamente, in ogni caso, l’obbligo di redigere un nuovo DVR. Può però rendere necessaria la revisione della valutazione dei rischi e l’aggiornamento del Documento di Valutazione dei Rischi quando modifica in modo significativo il processo produttivo o l’organizzazione del lavoro oppure introduce nuovi rischi per salute e sicurezza.

L’articolo 29, comma 3, del D.Lgs. 81/2008 richiede la rielaborazione della valutazione in occasione di modifiche significative del processo produttivo o dell’organizzazione del lavoro rilevanti per salute e sicurezza.

L’adozione dell’intelligenza artificiale può incidere, a seconda del sistema utilizzato, su:

• carico e intensificazione del lavoro;
• autonomia decisionale del lavoratore;
• monitoraggio e sorveglianza;
• assegnazione automatizzata di compiti;
• pressione determinata da metriche algoritmiche;
• sovraccarico cognitivo;
• errori o indicazioni non affidabili del sistema;
• interazione uomo-macchina;
• sicurezza di macchine e attrezzature;
• rischi psicosociali e stress lavoro-correlato.

EU-OSHA evidenzia in particolare che i sistemi di AI-based worker management possono generare rischi psicosociali, stress e fatica e raccomanda che la valutazione dei rischi sia adattata alle caratteristiche dei sistemi di gestione algoritmica e ripetuta periodicamente.

FAQ

Che cosa entra in vigore il 2 agosto 2026?

Dal 2 agosto 2026 si applicano gli obblighi di trasparenza dell’articolo 50 e diventano operativi i poteri di enforcement della Commissione nei confronti dei fornitori di modelli GPAI.

L’obbligo di formazione sull’IA è nuovo?

No. L’obbligo di alfabetizzazione è applicabile dal 2 febbraio 2025. Il Digital Omnibus ne modifica la formulazione, richiedendo misure volte a sostenere lo sviluppo delle competenze in materia di IA.

Tutte le imprese che usano sistemi di IA devono adottare misure di alfabetizzazione?

Sì. L’articolo 4 riguarda provider e deployer, indipendentemente dal fatto che il sistema sia ad alto rischio. Contenuti e intensità devono però essere proporzionati all’utilizzo concreto.

La mancata formazione comporta automaticamente una multa?

L’articolo 4 non figura tra le disposizioni alle quali l’articolo 99 collega una sanzione amministrativa diretta. La mancata formazione può comunque incidere sulla valutazione della diligenza dell’organizzazione in caso di danno, incidente o ispezione.

Quando deve essere dichiarato un chatbot?

Dal 2 agosto 2026 l’utente deve essere informato quando interagisce direttamente con un sistema di IA, salvo che la natura artificiale dell’interazione sia evidente.

Quando deve essere dichiarato un deepfake?

Il deployer deve informare le persone quando espone il pubblico a contenuti audio, video o immagini generati o manipolati artificialmente che possono apparire autentici.

Quando si applicheranno le regole sui sistemi ad alto rischio?

Dal 2 dicembre 2027 per i sistemi indipendenti e dal 2 agosto 2028 per quelli incorporati in prodotti.

Le imprese devono già aggiornare il modello 231?

È prudente avviare la valutazione del rischio IA, ma le modifiche prospettate dagli schemi attuativi italiani devono essere verificate nel testo definitivo dei decreti legislativi.

Un professionista deve sempre informare il cliente quando usa l’IA?

L’articolo 13 della legge 132/2025 impone al professionista di comunicare al destinatario della prestazione le informazioni sui sistemi utilizzati, con linguaggio chiaro, semplice ed esaustivo.

Il professionista può delegare all’IA la prestazione?

No. L’IA deve restare strumentale e di supporto. Il lavoro intellettuale umano e la responsabilità del professionista devono restare prevalenti.

Un datore di lavoro deve informare i dipendenti sugli algoritmi?

Sì, quando vengono impiegati sistemi decisionali o di monitoraggio automatizzati nelle condizioni previste dal D.Lgs. 152/1997.

L’IA può produrre autonomamente un progetto tecnico firmabile?

Può generare bozze, simulazioni o calcoli, ma il professionista deve verificare dati, metodo, risultato e conformità. La firma resta riferibile al professionista e alla sua responsabilità.

Contributi e approfondimenti sull’AI

Codice Deontologico Ingegneri 2026: testo aggiornato con le disposizioni sull’AI

Con delibera di Consiglio del 23 giugno 2026 l’Ordine degli Ingegneri ha provveduto all’adeguamento del Codice deontologico degli Ingegneri italiani.

L’aggiornamento si è reso necessario sia per allineare il Codice deontologico ai contenuti della legge 23 settembre 2025 n.132 in materia di intelligenza artificiale, sia per tenere conto delle
previsioni presenti nel disegno di legge recante “Delega al Governo per la riforma della disciplina degli ordinamenti professionali”, contenente alcuni passaggi dedicati all’utilizzo delle nuove tecnologie digitali.

L’art.13 della legge n.132/2025, infatti, è espressamente rubricato: “Disposizioni in materia di professioni intellettuali.”

Scarica il testo PDF aggiornato, scopri cosa cambia e come leggere il Codice deontologico 2026 degli Ingegneri.

Linee Guida 2025 per l’implementazione dell’IA nel mondo del lavoro

Le “Linee Guida per l’implementazione dell’IA nel mondo del lavoro” pubblicate a dicembre 2025 dal Ministero del Lavoro forniscono un quadro chiaro e aggiornato sull’uso dell’IA nel mercato del lavoro oltre la semplice compliance normativa, mettendo in evidenza opportunità, rischi e strumenti pratici che ne facilitano l’adozione.

Particolarmente interessante è il vademecum in appendice alle linee guida sull’uso consapevole dell’intelligenza artificiale generativa nelle PMI e tra i professionisti con esempi di applicazione pratica e l’enunciazione di alcuni principi generali di utilizzo responsabile:

• Supervisione umana (“human in the loop”)
  Gli output generati dall’IA devono sempre essere verificati da un operatore competente. L’IA supporta, ma non sostituisce, il giudizio professionale.

• Minimizzazione dei dati
  Inserire esclusivamente le informazioni strettamente necessarie alla generazione della risposta.

• Trasparenza
  Informare colleghi, clienti o partner quando si utilizzano contenuti generati dall’IA, soprattutto se rielaborano materiali forniti da loro.

• Controllo della qualità
  Verificare la correttezza, l’aderenza alle normative e la coerenza degli output, evitando di assumere come veri contenuti non verificati (le note “allucinazioni”).

• Conservazione del know-how interno
  L’uso dell’IA non deve portare alla perdita di competenze interne né a eccessiva dipendenza operativa.

Download Gratuito Linee guida per l’implementazione dell’IA nel mondo del lavoro (Ministero del Lavoro, 2025)

Verso l’Osservatorio sull’adozione di sistemi di intelligenza artificiale nel mondo del lavoro (2026)

Nel rapporto “Verso l’Osservatorio sull’adozione di sistemi di intelligenza artificiale nel mondo del lavoro” del Ministero del Lavoro pubblicato nel febbraio del 2026,  spicca l’approfondimento curato dall’Ispettorato Nazionale del Lavoro (INL).

L’analisi dell’INL evidenzia come l’IA rappresenti un’arma a doppio taglio: da un lato offre strumenti di prevenzione avanzatissimi, dall’altro introduce nuovi rischi e pone serie sfide normative, in particolare per quanto riguarda la valutazione dei rischi e il controllo a distanza dei lavoratori.

L’IA come strumento di prevenzione e protezione

Le tecnologie basate sull’IA, in particolare quelle legate alla “percezione” avanzata, offrono straordinarie opportunità per ridurre l’esposizione dei lavoratori ad attività pericolose o usuranti. L’INL individua diversi ambiti di applicazione virtuosa:

• ispezioni in ambienti ostili: robot mobili e droni autonomi possono navigare in aree ad alte temperature, con vapori tossici o a rischio esplosione, limitando l’ingresso umano in spazi confinati o insalubri.
• manutenzione predittiva: sistemi di deep learning sono in grado di analizzare rumori e vibrazioni dei macchinari per prevedere guasti prima che si verifichino, riducendo drasticamente i rischi legati agli interventi di manutenzione in emergenza.
• sicurezza nei cantieri edili: l’integrazione di computer vision e sensori indossabili (smart-tag su caschi e giubbotti) permette di rilevare la prossimità tra uomini e mezzi in movimento, lanciando allarmi in tempo reale per prevenire investimenti in ambienti complessi e non strutturati.
• monitoraggio della fatica e della vigilanza: tecniche di analisi facciale possono rilevare micro-espressioni (es. chiusura prolungata degli occhi) legate a stanchezza o colpi di sonno. In settori ad alto rischio (trasporti, macchinari pesanti), questi sistemi possono emettere allarmi o bloccare le apparecchiature prima che si verifichi un incidente.

I nuovi rischi introdotti dalle macchine “intelligenti”

L’introduzione dell’IA non è esente da criticità. L’INL sottolinea come i datori di lavoro e gli RSPP debbano imparare a valutare e gestire rischi del tutto inediti:

• l’opacità degli algoritmi (Black Box): le reti neurali prendono decisioni i cui passaggi logici non sono sempre tracciabili. Se un’IA guida un mezzo pesante in un cantiere, un “punto cieco” algoritmico o un errore nei dati di addestramento può avere conseguenze fatali.
• decadimento cognitivo e over-reliance: un’eccessiva dipendenza dai sistemi automatizzati può portare i lavoratori ad abbassare la soglia di attenzione. Confidando ciecamente nell’infallibilità della macchina, l’operatore rischia di perdere la “consapevolezza situazionale” e la capacità di intervenire manualmente in caso di guasto improvviso.
• robotica collaborativa (Cobot): la condivisione degli spazi di lavoro tra umani e robot richiede valutazioni ergonomiche e psicologiche complesse. Inoltre, emerge il rischio legato alla cybersecurity: un attacco informatico a un cobot connesso in rete potrebbe fargli perdere il controllo, rendendolo fisicamente pericoloso per l’operatore vicino.

Il nodo normativo: l’incompatibilità del DVR redatto dall’IA

Il rapporto dell’INL lancia due moniti fondamentali riguardanti la conformità normativa (D.Lgs. 81/08 e Statuto dei Lavoratori).

L’Ispettorato segnala la diffusione di software basati sull’IA che promettono di redigere e aggiornare automaticamente il Documento di Valutazione dei Rischi (DVR). L’INL ribadisce con forza che un simile utilizzo è incompatibile con la normativa vigente.

Il D.Lgs. 81/08 impone che la valutazione dei rischi sia un processo dinamico, calato nello specifico contesto aziendale e frutto della consultazione tra datore di lavoro, RSPP, medico competente e RLS. Delegare questa valutazione a un algoritmo svilisce la cultura della prevenzione e viola il principio di indelegabilità della valutazione dei rischi (art. 17 del TUSL), configurando profili di responsabilità penale per il datore di lavoro. L’IA non può sostituire il “fattore umano” e la responsabilità giuridica nella gestione della sicurezza.

Privacy e controllo a distanza

I sistemi intelligenti di monitoraggio (es. smart-tag, telecamere con computer vision), pur essendo progettati per salvare vite umane, raccolgono costantemente dati sulla posizione e sul comportamento dei lavoratori. Questo solleva enormi problemi di privacy e di potenziale stress lavoro-correlato.

L’INL ricorda che l’uso di queste tecnologie deve rispettare rigorosamente l’art. 4 dello Statuto dei Lavoratori. L’installazione di strumenti da cui derivi la possibilità di controllo a distanza richiede la stipula di accordi sindacali o, in mancanza, l’autorizzazione dell’Ispettorato stesso. Il confine tra “strumento di sicurezza” e “strumento di controllo illecito” è sempre più labile e richiede un’attenta valutazione caso per caso.

Download Gratuito Verso l’Osservatorio sull’adozione di sistemi di intelligenza artificiale nel mondo del lavoro

Intelligenza artificiale e sicurezza sul lavoro: l’ebook del CIIP (2025)

• Evoluzione del lavoro nell’era dell’intelligenza artificiale
• Valutazione dei rischi e responsabilità
• Partecipazione dei lavoratori
• Formazione e gestione del cambiamento
• Benessere psicofisico e ruolo del medico competente
• Aspetti giuridici, etici e sostenibilità.

Viene posto un forte accento sulle sfide etiche, normative e organizzative, inclusi il monitoraggio dei lavoratori, il rischio di bias algoritmici, l’opacità dei sistemi black box e la necessità di una formazione che potenzi le capacità umane anziché sostituirle, come dimostrato anche dal caso dei rider della gig economy.

Infine, si evidenzia l’importanza del coinvolgimento partecipativo dei lavoratori e della line aziendale per garantire un’implementazione dell’IA che sia etica, trasparente e focalizzata sul benessere umano, in linea con il nuovo quadro normativo europeo (AI Act).

Il documento è inoltre corredato da una ricchissima bibliografia con le linee guida e di indirizzo più recenti pubblicate da Enti Istituzionali e altri autorevoli organismi.

Download Gratuito Ebook CIIP "L’Intelligenza Artificiale per la Salute e Sicurezza sul Lavoro" (ottobre 2025)

Indirizzo articolo: https://biblus.acca.it/cosa-devono-sapere-i-tecnici-sull-ai-act-la-legge-sull-intelligenza-artificiale/