Il Regolamento Europeo sull’intelligenza artificiale è entrato nella sua fase operativa: non chiede alle imprese di scegliere se usare l’IA, ma di sapere come la stanno usando. E per molte aziende è una domanda nuova.
Nella maggior parte delle imprese italiane l’intelligenza artificiale è entrata con un abbonamento.
Un responsabile marketing che genera bozze di testi, un ufficio amministrativo che estrae dati dalle fatture, un selezionatore che fa scremare i curriculum da un software, un servizio clienti che attiva un assistente conversazionale sul sito. Nessuno di questi passaggi somiglia a un progetto di trasformazione digitale. Sono decisioni piccole, prese in funzioni diverse, spesso senza che nessuno tenga il conto.
I numeri confermano che sta succedendo in fretta. Secondo la rilevazione ISTAT Imprese e ICT pubblicata a dicembre 2025, nel 2025 il 16,4% delle imprese italiane con almeno 10 addetti ha utilizzato almeno una tecnologia di intelligenza artificiale, contro l’8,2% dell’anno precedente e il 5,0% del 2023. L’adozione è raddoppiata in dodici mesi.
Il regolamento europeo sull’intelligenza artificiale parte esattamente da qui. E la sua richiesta di fondo è meno tecnica di quanto sembri: sapere cosa fa l’IA dentro l’azienda, e dirlo a chi ne è toccato.
“L’intelligenza artificiale è lo strumento più potente entrato in azienda negli ultimi vent’anni. Ed è il primo che non dà mai l’impressione di poter sbagliare. La cautela serve per questo: non per la potenza, ma per la sicurezza con cui risponde.”
Nico Vis, IT manager
Una legge sugli usi, non sulla tecnologia
È il malinteso più diffuso. L’AI Act non stabilisce quali tecnologie sono ammesse. Stabilisce cosa è ammesso farci. Il criterio non è la tecnologia, è la conseguenza sulle persone.
Da questa impostazione nascono quattro livelli:
1. alcuni usi sono vietati. Sono pochi e mirati: attribuire alle persone un punteggio sociale, dedurre le emozioni dei dipendenti sul luogo di lavoro, inferire caratteristiche protette dai dati biometrici, raccogliere immagini facciali in modo non mirato per costruire archivi di riconoscimento. La lista è vietata dal febbraio 2025. Il divieto sul riconoscimento delle emozioni al lavoro è quello che tocca più imprese di quante si immagini, perché intercetta una parte dell’offerta di strumenti di analisi del personale.
2. alcuni usi sono ad alto rischio e restano permessi, con obblighi consistenti. Sono quelli che incidono sull’accesso delle persone a qualcosa: lavoro, credito, istruzione, servizi essenziali. Un software che seleziona candidature, un sistema di valutazione del merito creditizio, un modello che decide chi accede a una prestazione. Qui il regolamento chiede gestione del rischio, qualità dei dati per evitare esiti discriminatori, documentazione, tracciabilità, sorveglianza umana.
3. alcuni usi richiedono solo trasparenza. Se una persona parla con una macchina deve saperlo. Se un contenuto è generato artificialmente deve essere riconoscibile.
4. tutto il resto non ha obblighi specifici. Ed è la grande maggioranza di quello che le imprese usano oggi. Restano però validi gli obblighi che non dipendono dal livello di rischio, a partire da quello sulle competenze.
Vale la pena fermarsi su questo punto, perché è il più frequentemente ribaltato nel racconto pubblico: l’impianto del regolamento è costruito per lasciare libero il campo dove il rischio non c’è.
La domanda che cambia tutto: la costruite o la usate?
Il regolamento distingue chi sviluppa un sistema di IA e lo mette sul mercato da chi lo utilizza nella propria attività professionale. Nel testo del documento il primo è il fornitore, il secondo è il deployer.
La distinzione decide quasi tutto. Chi acquista uno strumento da terzi non risponde di come è stato costruito. Risponde di come lo usa.
Per la grandissima parte delle imprese italiane, quindi, il regolamento non si traduce in un apparato documentale. Si traduce in due cose semplici da enunciare e non banali da fare: dire quando c’è l’IA, e mettere le persone in condizione di usarla con consapevolezza. La prima si risolve con una decisione. La seconda richiede tempo.
Dire quando c’è l’IA
Il primo blocco di obblighi si riassume in una regola sola: chi interagisce con un sistema di intelligenza artificiale, o legge un contenuto che ne è uscito, deve poterlo sapere. Vale per gli assistenti conversazionali sui siti, per i contenuti audio e video manipolati in modo realistico, e per i testi pubblicati su questioni di interesse pubblico. Su quest’ultimo punto c’è un’eccezione che riguarda chi comunica: se il contenuto è passato per una revisione umana e qualcuno se ne assume la responsabilità editoriale, l’obbligo di dichiararlo non si applica.
Mettere le persone in condizione di usarla
Il regolamento chiede a chi fornisce e a chi utilizza sistemi di IA di adottare misure per sostenere le competenze del personale, senza imporre un livello minimo da certificare. Formulato così sembra l’obbligo più facile da archiviare. In realtà è quello che tocca il numero più alto di persone, perché non si rivolge a una funzione aziendale ma a chiunque usi questi strumenti. E se l’IA è entrata in azienda uno strumento alla volta, come accade nella maggior parte dei casi, quelle persone sono già molte.
La difficoltà sta nel capire di quali competenze si parla. Non si tratta di saper usare un software, ma di sapere cosa quel software sta facendo: che un risultato plausibile non è un risultato verificato, che certe informazioni non vanno inserite in uno strumento esterno, che alcune decisioni non possono essere delegate. Sono nozioni che nessun fornitore trasmette insieme all’abbonamento, e che senza un intervento esplicito dell’azienda non si formano da sole.
È qui che l’obbligo incontra un ostacolo concreto. Secondo la rilevazione ISTAT, nel 60% circa delle imprese che hanno valutato un investimento in IA senza realizzarlo la ragione non è stata il costo ma la mancanza di competenze adeguate. Sono le stesse competenze che il regolamento chiede ora di sviluppare.
Le imprese a cui viene chiesto di colmare un divario di competenze, quindi, sono in larga parte quelle che quel divario ha già tenuto lontane dall’IA.
Era accaduto qualcosa di simile con la sostenibilità, quando gli obblighi di rendicontazione hanno mostrato che in molte aziende mancavano le competenze per leggere i propri dati, non soltanto per pubblicarli. In entrambi i casi la richiesta normativa arriva prima della capacità di rispondere, e per questo la risposta assomiglia più a un percorso di apprendimento interno che a un adempimento. È il terreno su cui LIITO lavora con percorsi di formazione rivolti alle imprese, sia sulla sostenibilità sia sull’intelligenza artificiale.
SCOPRI I NOSTRI SERVIZI
Da dove si comincia
Nei prossimi mesi molte imprese si chiederanno se sono obbligate a fare qualcosa. È la domanda meno interessante, e anche quella che si risponde più facilmente da sola: nella maggior parte dei casi, poco.
Quella utile è un’altra: sappiamo quali strumenti di intelligenza artificiale sono già in uso nella nostra azienda, chi li usa, su quali dati e con quale supervisione?
Il regolamento ha reso questa domanda urgente, ma non l’ha inventata. Un’impresa che non sa quali strumenti circolano al suo interno ha un problema di controllo prima che di conformità, e ce l’avrebbe anche in assenza di obblighi.
