Negli ultimi anni l’Intelligenza Artificiale è entrata nelle aziende in modo sempre più diffuso, spesso senza veri progetti “AI” dichiarati.
Chatbot, strumenti di marketing, software HR, piattaforme di analisi, sistemi di assistenza clienti, generatori di testi, immagini, audio o video sono ormai utilizzati anche da imprese che non si considerano tecnologiche.
Con l’AI Act europeo questo scenario cambia in modo significativo.
Dal 2 agosto 2026 diventano applicabili gli obblighi di trasparenza previsti dall’articolo 50 dell’AI Act: in determinati casi, chi utilizza o mette a disposizione sistemi di Intelligenza Artificiale dovrà informare in modo chiaro le persone quando stanno interagendo con l’IA o quando sono esposte a contenuti generati o manipolati artificialmente.
La Commissione europea ha pubblicato il draft delle linee guida sugli obblighi di trasparenza dell’articolo 50 dell’AI Act, con l’obiettivo di aiutare autorità, fornitori e utilizzatori di sistemi di IA ad applicare le nuove regole in modo coerente. La consultazione pubblica sulle linee guida si chiude il 3 giugno 2026. (Agenda Digitale).
Gli obblighi riguardano, in particolare, alcune situazioni concrete:
• sistemi di IA che interagiscono direttamente con persone fisiche, come chatbot o assistenti virtuali;
• contenuti audio, immagini, video o testi generati o manipolati artificialmente;
• deepfake o contenuti che possono far apparire persone, eventi o situazioni in modo non reale;
• sistemi di riconoscimento delle emozioni o categorizzazione biometrica, nei casi in cui siano ammessi;
• testi pubblicati su temi di interesse pubblico generati o modificati con sistemi di IA.
Il principio è semplice: chi entra in contatto con l’Intelligenza Artificiale deve poterlo sapere e non riguarda solo chi sviluppa software perché gli obblighi possono riguardare anche chi utilizza sistemi di IA nei propri processi aziendali.
Pensiamo a esempi molto comuni: chatbot installati sul sito web aziendale, assistenti virtuali per clienti o utenti, software HR per selezione, valutazione o gestione del personale, strumenti di marketing automation e profilazione, piattaforme che generano contenuti promozionali, software che producono report, classificazioni, priorità o raccomandazioni, strumenti che creano immagini, testi, video o audio per comunicazione e pubblicità.
Anche quando il sistema è fornito da un soggetto esterno, l’azienda deve comprendere quale ruolo assume, quali obblighi le spettano e come documentare le proprie scelte.
Un chiarimento fondamentale: l’AI Act non sostituisce il GDPR.
Ogni volta che un sistema di Intelligenza Artificiale utilizza dati personali, incide su persone fisiche o supporta decisioni che possono produrre effetti rilevanti, privacy e AI Act devono essere valutati insieme.
Questo significa che l’azienda deve chiedersi: quali dati vengono utilizzati dal sistema, per quali finalità vengono trattati, quale base giuridica sostiene il trattamento, se l’informativa privacy deve essere aggiornata, se il fornitore deve essere nominato responsabile del trattamento, se sono necessarie istruzioni specifiche sull’uso dello strumento, quali rischi possono derivare per clienti, utenti, dipendenti o interessati ed infine come documentare le valutazioni effettuate.
La trasparenza prevista dall’AI Act si collega quindi direttamente alla governance privacy.
La scadenza del 2 agosto 2026 è vicina e le aziende dovrebbero evitare di arrivare all’ultimo momento senza sapere quali strumenti di IA sono già utilizzati internamente, da chi vengono usati e con quali dati.
Il rischio non è usare l’Intelligenza Artificiale; il rischio è usarla senza consapevolezza, senza regole interne e senza documentare le scelte effettuate.
Cosa dovrebbe fare un’azienda?
Il primo passo non è bloccare l’uso dell’Intelligenza Artificiale, ma mapparlo e governarlo.
In concreto, ogni organizzazione dovrebbe:
• individuare gli strumenti di IA già utilizzati in azienda;
• verificare se tali strumenti trattano dati personali;
• capire chi li utilizza e per quali finalità;
• distinguere tra strumenti usati internamente e strumenti rivolti a clienti, utenti o pubblico;
• verificare se si applicano obblighi di trasparenza verso le persone;
• aggiornare informative, policy interne e procedure;
• controllare contratti, nomine e istruzioni ai fornitori;
• formare il personale sull’uso corretto degli strumenti di IA;
• documentare le valutazioni svolte.
In questo scenario, il ruolo del DPO e dei consulenti privacy diventa ancora più strategico.
Non si tratta solo di verificare documenti, ma di aiutare l’azienda a comprendere come l’Intelligenza Artificiale entra nei processi organizzativi.
In mc3 innovation affianchiamo le aziende nella gestione integrata di privacy, Intelligenza Artificiale e governance dei dati.
Avv. Annalisa Barbaglia