L’intelligenza artificiale è già presente in molte imprese italiane, anche di piccole e medie dimensioni, attraverso strumenti per la selezione del personale, l’analisi dei dati, l’automazione e la produzione di testi, immagini e altri contenuti. L’adozione, spesso avviata in via sperimentale, pone ora questioni concrete di responsabilità, sicurezza e conformità normativa.
Dalla sperimentazione alla gestione strutturata
Il tema è tornato al centro del dibattito dopo l’appello di Dario Amodei, amministratore delegato di Anthropic, che ha chiesto di rallentare lo sviluppo dei modelli più avanzati, indicando tra le possibili misure valutazioni indipendenti e controlli più stringenti. La posizione è stata condivisa anche da Sam Altman ed Elon Musk. Sebbene il richiamo riguardi soprattutto le tecnologie di frontiera, la questione del controllo interessa ormai anche le aziende che utilizzano sistemi sviluppati da altri.
Per una PMI, il primo passaggio consiste nel comprendere il proprio ruolo. L’impresa può essere un fornitore, quando sviluppa o immette sul mercato un sistema di intelligenza artificiale, oppure più frequentemente un utilizzatore, definito dal quadro europeo come deployer. In quest’ultimo caso deve sapere quali strumenti sono presenti nell’organizzazione, per quali finalità vengono impiegati e chi è responsabile della loro gestione.
Il riferimento principale è l’AI Act, il Regolamento europeo 2024/1689 entrato in vigore il 1° agosto 2024 e applicabile in modo progressivo. Secondo l’avvocato Marco Sebastiano Accorrà, fondatore di MSÀ Community, la fase pionieristica è conclusa: le imprese devono mappare i sistemi utilizzati, stabilire chi li approva, definire le procedure per affrontare eventuali anomalie e garantire al personale competenze adeguate.
Controllo umano e contenuti artificiali
L’obbligo di adottare misure per l’alfabetizzazione sull’intelligenza artificiale del personale e degli incaricati all’uso dei sistemi si applica dal 2 febbraio 2025. Il regolamento non richiede lo stesso livello di preparazione per tutti, ma impone di considerare conoscenze, esperienza e contesto operativo.
Particolare attenzione riguarda i processi che possono incidere sui diritti delle persone, sul lavoro o sull’accesso ai servizi. In questi ambiti l’algoritmo non dovrebbe operare senza supervisione: i dipendenti devono essere in grado di comprendere i limiti dello strumento, verificare i risultati e intervenire quando necessario. Per i sistemi ad alto rischio sono previsti obblighi specifici su gestione del rischio, documentazione, accuratezza, cybersicurezza e controllo umano.
Un ulteriore capitolo riguarda i deepfake e gli altri contenuti generati o manipolati artificialmente. Dal 2 agosto 2026 saranno applicabili gli obblighi di trasparenza previsti per determinate tipologie di immagini, audio e video. Regole specifiche riguarderanno anche testi generati o modificati dall’IA e pubblicati su questioni di interesse pubblico, salvo i casi di revisione o controllo editoriale accompagnati dalla responsabilità sulla pubblicazione.
Le imprese dovranno inoltre coordinare le disposizioni europee con il GDPR. Quando un sistema tratta dati personali restano applicabili i principi di liceità, sicurezza e responsabilizzazione previsti dalla normativa sulla privacy; in presenza dei presupposti può essere necessaria anche una valutazione d’impatto. In Italia, la legge 132 del 23 settembre 2025 ha individuato AgID e Agenzia per la cybersicurezza nazionale come autorità nazionali per l’intelligenza artificiale, assegnando ad ACN compiti di vigilanza, comprese attività ispettive e sanzionatorie, e ad AgID funzioni di notifica, valutazione e monitoraggio.
Per le PMI l’obiettivo non è rinunciare all’innovazione, ma individuare dove l’IA sia già entrata nei processi interni e adottare regole proporzionate alle dimensioni dell’azienda e ai rischi effettivi. Policy interne, formazione, procedure di approvazione e indicazioni chiare sui contenuti possono ridurre il rischio di violazioni, sanzioni e danni reputazionali.