AI Act in azienda: il decreto italiano e il GDPR
Intelligenza artificiale in azienda: cosa cambia con il decreto italiano?
Un’impresa che introduce un assistente di intelligenza artificiale per gestire documenti o richieste dei clienti deve decidere quali informazioni affidargli, chi potrà utilizzarlo e come controllarne i risultati.
Sono scelte che coinvolgono il processo aziendale, i contratti con il fornitore e, quando vengono trattati dati personali, la disciplina sulla loro protezione.
Dal 23 ottobre 2026 è in vigore il decreto legislativo n. 179 del 7 ottobre, pubblicato nella Gazzetta Ufficiale dell’8 ottobre. Il provvedimento adegua la normativa italiana all’AI Act in materia di poteri delle autorità nazionali e interviene sulla formazione.
Per le imprese è un’occasione per verificare come l’uso dell’IA sia organizzato, mantenendo distinti il nuovo assetto nazionale, gli obblighi europei applicabili e le responsabilità previste dal GDPR.
Che cosa disciplina il decreto italiano
Il d.lgs. 179/2026 definisce strumenti di vigilanza, cooperazione e intervento delle autorità competenti. Le sue disposizioni sulla formazione riguardano inoltre specifici ambiti, tra cui le professioni. Il decreto va quindi letto insieme al regolamento europeo sull’intelligenza artificiale, del quale contribuisce a rendere operativo il sistema nazionale di applicazione.
La data del 23 ottobre indica l’entrata in vigore di questo provvedimento italiano. Per stabilire da quando si applica un determinato obbligo europeo occorre invece consultare il calendario dell’AI Act nella versione aggiornata e considerare il sistema e l’attività interessati. Anche le disposizioni che rinviano a ulteriori atti o a un adeguamento organizzativo richiedono una lettura specifica.
Nella pratica, l’impresa dovrebbe identificare gli strumenti già utilizzati e gli impieghi previsti, distinguendo chi fornisce il sistema (provider) da chi lo usa nella propria attività (deployer).
Ne deriva che, ad esempio, una descrizione commerciale del prodotto, come “assistente intelligente”, offre poche informazioni sul suo effettivo funzionamento e sulle decisioni nelle quali interviene.
Quali autorità intervengono
Il decreto distingue le funzioni dell’Agenzia per l’Italia digitale, AgID, da quelle dell’Agenzia per la cybersicurezza nazionale, ACN:
- AgID è l’autorità nazionale di notifica: si occupa delle procedure relative alla valutazione, designazione e notifica degli organismi di valutazione della conformità e del loro monitoraggio;
- All’ACN sono attribuite funzioni di vigilanza del mercato e poteri ispettivi, secondo l’ambito e le condizioni previsti dalla disciplina applicabile.
La ripartizione comprende competenze settoriali e specifiche attribuzioni del Garante per la protezione dei dati personali. Restano inoltre ferme le competenze del Garante sulla protezione dei dati; il decreto prevede forme di coordinamento e condivisione delle informazioni tra le autorità.
Per un’organizzazione, questo assetto rende utile poter ricostruire il funzionamento del proprio impiego dell’IA: chi ha scelto il servizio, quali funzioni sono attive, chi riceve le informazioni e quali verifiche sono state eseguite.
Contratti, istruzioni e documentazione tecnica dovrebbero descrivere lo stesso utilizzo effettivo.
L’analisi dei dati personali resta necessaria
Quando un sistema utilizza dati riferiti a persone identificate o identificabili, la verifica sull’IA deve essere coordinata con quella sul trattamento di tali informazioni. L’AI Act mantiene il rapporto con la normativa europea sulla protezione dei dati e il GDPR continua a disciplinare finalità, liceità e garanzie del trattamento.
Se un assistente elabora richieste dei clienti, bisogna chiarire quali dati riceva e per quale scopo. Un documento potrebbe contenere informazioni di persone estranee alla richiesta o dettagli non necessari alla risposta. Valutare se limitare i campi trasmessi o rimuovere alcuni elementi permette di intervenire già sul processo che alimenta il sistema.
Occorre poi ricostruire il ruolo del fornitore, gli utilizzi che può fare delle informazioni, le condizioni di conservazione e gli accessi consentiti. Quando il servizio tratta dati per conto dell’impresa, vanno considerate le garanzie richieste per il responsabile del trattamento; eventuali trasferimenti verso Paesi terzi richiedono la verifica delle condizioni del capo V del GDPR. Un impiego ulteriore dei dati, ad esempio per migliorare un servizio, deve essere esaminato rispetto alle sue effettive caratteristiche.
Come coinvolgere il DPO
Se è stato designato un responsabile della protezione dei dati, il GDPR richiede che sia coinvolto tempestivamente nelle questioni che riguardano i dati personali. Il DPO può fornire consulenza, sorvegliare l’osservanza della disciplina e, quando richiesto, esprimere un parere sulla valutazione d’impatto e sorvegliarne lo svolgimento.
Le decisioni sul trattamento rimangono in capo ai soggetti ai quali spettano. È quindi utile definire chi descrive il processo, chi esamina il servizio sotto il profilo tecnico e contrattuale e chi decide le condizioni d’uso, assicurando al DPO le informazioni e l’indipendenza necessarie. Gli eventuali ulteriori incarichi devono essere valutati anche rispetto ai conflitti di interessi.
Formazione aziendale e formazione professionale
Sul piano europeo, l’articolo 4 dell’AI Act prevede misure per sostenere l’alfabetizzazione in materia di IA del personale e delle altre persone che operano per conto di fornitori e utilizzatori professionali, tenendo conto delle conoscenze e del contesto. Il testo aggiornato precisa che tale obbligo non richiede di garantire un livello individuale specifico di alfabetizzazione.
L’articolo 47 del decreto italiano riguarda invece i percorsi di formazione iniziale e continua delle professioni, includendo aspetti tecnici, giuridici e deontologici dell’uso dell’IA. Prevede l’adeguamento delle regole formative da parte degli organismi competenti entro sei mesi dall’entrata in vigore. Alle condizioni indicate dalla norma, le disposizioni interessano anche percorsi promossi dalle forme aggregative delle associazioni delle professioni non regolamentate.
Per organizzare l’aggiornamento interno è utile partire dalle attività svolte: chi prepara una bozza con l’IA deve comprendere come verificarla, mentre chi configura gli accessi o seleziona il fornitore affronta questioni diverse. Esercitazioni su materiali appropriati possono aiutare a tradurre la formazione in istruzioni utilizzabili nel lavoro quotidiano.
Un esempio: rispondere alle richieste dei clienti
Si immagini un’impresa che voglia usare un assistente per proporre risposte ai ticket di assistenza.
Prima della prova dovrebbe definire quali richieste possano essere elaborate, quali informazioni escludere e chi valuti la risposta proposta. Queste scelte permettono anche di formulare al fornitore domande precise sulle funzioni del servizio.
Una sperimentazione può iniziare con casi costruiti per il test, privi di dati reali, così da osservare le risposte e le situazioni nelle quali serve una verifica ulteriore. Se si impiegano dati personali, anche la fase di prova richiede di rispettare gli obblighi applicabili. La valutazione dei rischi e l’eventuale necessità di una valutazione d’impatto devono precedere il trattamento che le richiede.
Prima dell’uso effettivo è utile concordare chi possa attivare nuove funzioni, come segnalare risposte problematiche e quando rivedere le istruzioni. Se il servizio cambia o viene esteso a un processo diverso, la verifica deve seguire l’impiego nuovo, compresi i dati che entreranno nel sistema.
Da dove iniziare in azienda
Il primo passaggio operativo può essere una ricognizione degli strumenti e delle finalità d’uso, accompagnata dalla verifica delle responsabilità e dei documenti disponibili.
Su questa base si possono individuare i problemi che richiedono approfondimento e le competenze da coinvolgere.
Il risultato utile è una decisione comprensibile a chi dovrà applicarla: quali funzioni usare, su quali informazioni, con quali accessi e verifiche.
L’entrata in vigore del decreto italiano rende attuale questo confronto, che deve restare ancorato al singolo processo e alle regole effettivamente applicabili.
