Ogni grande trasformazione tecnologica ha generato nuove norme.
La rivoluzione industriale ha prodotto il diritto del lavoro. Internet ha prodotto la privacy, la proprietà intellettuale digitale, il commercio elettronico.
L’intelligenza artificiale sta producendo qualcosa di più complesso: un quadro normativo che non regola un settore, ma una tecnologia trasversale a tutti i settori.
Quel quadro ha già un nome. Si chiama AI Act.
Il primo regolamento al mondo sull’intelligenza artificiale
Il Regolamento UE 2024/1689, noto come AI Act, è entrato in vigore il 1° agosto 2024. È il primo quadro giuridico completo e vincolante al mondo dedicato all’intelligenza artificiale.
Non si tratta di una linea guida, né di un codice di condotta volontario.
È un regolamento direttamente applicabile in tutti gli Stati membri dell’Unione Europea, che impone obblighi precisi a chiunque sviluppi, distribuisca o utilizzi sistemi di intelligenza artificiale — anche come semplice utilizzatore professionale.
Per la prima volta, la regolamentazione non si concentra su un settore industriale specifico, ma sulla tecnologia in sé e sui suoi impatti sistemici.
Questo cambia tutto.
La logica del rischio
Il cuore del regolamento è la classificazione dei sistemi di IA per livello di rischio.
Sono previste quattro categorie.
- I sistemi a rischio inaccettabile sono vietati. Rientrano in questa categoria, ad esempio, i sistemi di social scoring utilizzati da autorità pubbliche, la manipolazione cognitiva inconsapevole, il riconoscimento biometrico in tempo reale in spazi pubblici (con eccezioni limitate). Questi divieti sono già in vigore dal 2 febbraio 2025.
- I sistemi ad alto rischio — quelli utilizzati in ambiti critici come la sicurezza sul lavoro, la selezione del personale, l’erogazione di servizi pubblici essenziali, la gestione delle infrastrutture — sono soggetti a obblighi stringenti: sistemi di gestione del rischio, qualità dei dati, trasparenza, supervisione umana obbligatoria, registrazione degli eventi. Per la maggior parte di questi sistemi gli obblighi scatteranno integralmente il 2 agosto 2026.
- I sistemi a rischio limitato — come i chatbot e i generatori di contenuti — devono informare l’utente che sta interagendo con un sistema di intelligenza artificiale. I contenuti generati artificialmente devono essere etichettati.
- I sistemi a rischio minimo — la grande maggioranza delle applicazioni attuali — sono esenti da obblighi specifici.
Le scadenze
Il regolamento prevede un’applicazione progressiva. È utile avere chiara la mappa.
2.2.2025: In vigore i divieti per i sistemi a rischio inaccettabile e l’obbligo di AI literacy: le aziende devono garantire ai propri dipendenti un livello minimo di alfabetizzazione sull’intelligenza artificiale, con percorsi formativi documentati.
2.8.2025: Applicabili le norme per i modelli di intelligenza artificiale a finalità generali (i cosiddetti GPAI, come i grandi modelli linguistici). Obblighi di trasparenza e governance per i fornitori.
2.8.2026: Piena operatività del regolamento. Tutti gli obblighi per i sistemi ad alto rischio diventano esigibili. Scattano anche le sanzioni per i fornitori GPAI.
2.8.2027: Termine ultimo per la conformità dei sistemi ad alto rischio integrati in prodotti regolamentati (dispositivi medici, veicoli, infrastrutture critiche).
Le sanzioni: non sono simboliche
Il sistema sanzionatorio del regolamento è tra i più severi mai introdotti in materia tecnologica.
Per le violazioni dei sistemi vietati: fino a 35 milioni di euro o il 7% del fatturato mondiale annuo, se superiore.
Per le violazioni degli altri obblighi: fino a 15 milioni o il 3% del fatturato.
Per le comunicazioni false alle autorità: fino a 7,5 milioni o l’1,5% del fatturato.
Per le PMI è previsto un regime di favore, con l’applicazione dell’importo più basso tra i due parametri. Ma “più basso” non significa trascurabile.
Il quadro italiano: la Legge 132/2025
L’Italia ha aggiunto un livello ulteriore.
Con la Legge 23 settembre 2025, n. 132, entrata in vigore il 10.10.2025, l’Italia ha costruito il primo quadro normativo nazionale organico dedicato all’intelligenza artificiale. Non si sovrappone all’AI Act europeo: lo integra, riempiendo gli spazi lasciati alla discrezionalità degli Stati membri.
Sul piano istituzionale, la legge affida all’Agenzia per l’Italia Digitale il ruolo di autorità di notifica, e all’Agenzia per la Cybersicurezza Nazionale la vigilanza del mercato, con poteri ispettivi e sanzionatori.
Di particolare rilievo è l’Articolo 11, che introduce obblighi informativi precisi per le imprese che impiegano strumenti di intelligenza artificiale nei rapporti con i lavoratori. Un punto che si intreccia direttamente con il diritto del lavoro e con la sicurezza sul lavoro.
Il nodo con il D.Lgs. 231/2001
Qui si apre un terreno ancora quasi inesplorato.
Il Decreto Legislativo 231/2001 è nato per responsabilizzare gli enti per i reati commessi nel loro interesse o a loro vantaggio.
Con l’intelligenza artificiale, il perimetro di questa responsabilità si espande in modo significativo.
Un sistema di IA ad alto rischio utilizzato da un’azienda senza adeguata governance può generare responsabilità dell’ente: decisioni discriminatorie nelle assunzioni automatizzate, violazioni del trattamento dei dati personali, processi produttivi gestiti da sistemi autonomi che causano infortuni. Tutte fattispecie che possono integrare reati presupposto ai sensi del decreto 231.
Il Modello Organizzativo e di Gestione deve essere aggiornato per coprire questi rischi.
Quasi nessuno lo sta ancora facendo.
Il nodo con il D.Lgs. 81/2008
L’introduzione di robot, cobot e sistemi automatici nei luoghi di lavoro crea nuove fattispecie di rischio che il Testo Unico sulla Sicurezza sul Lavoro fatica già oggi a inquadrare pienamente.
L’AI Act classifica espressamente come ad alto rischio i sistemi di IA utilizzati nella gestione della sicurezza delle infrastrutture critiche e nel controllo dei processi produttivi. Per chi introduce automazione nei luoghi di lavoro, questo si traduce in obblighi di documentazione tecnica, valutazione del rischio aggiornata e supervisione umana dei sistemi.
Il documento di valutazione dei rischi — il DVR — dovrà includere i rischi generati dall’intelligenza artificiale.
Non è un aggiornamento di forma. È una revisione sostanziale.
Cosa fare adesso
La prima cosa è mappare i sistemi di intelligenza artificiale già in uso in azienda — compresi quelli apparentemente semplici, come chatbot per l’assistenza clienti o strumenti automatici di selezione del personale — e classificarli secondo il sistema di rischio dell’AI Act.
La seconda è verificare se il Modello Organizzativo 231 copre i nuovi scenari di rischio generati dall’IA.
La terza è aggiornare la documentazione sulla sicurezza del lavoro in presenza di sistemi automatici o semi-autonomi.
La quarta — spesso trascurata — è formare il personale. L’obbligo di AI literacy è già in vigore dal febbraio 2025. Non è un adempimento facoltativo.
La piena operatività dell’AI Act è fissata per il 2 agosto 2026.
Il tempo per prepararsi c’è ancora.
Non è infinito.
L’approccio dello Studio Legale CMC
La compliance all’AI Act non è un esercizio burocratico.
È la traduzione normativa di una domanda concreta: come un’impresa può integrare l’intelligenza artificiale nei propri processi senza esporsi a rischi — penali, amministrativi, civili — che oggi pochi sanno ancora valutare con precisione.
Lo Studio affronta questi temi con la stessa metodologia applicata alla consulenza 231 e alla sicurezza sul lavoro: analisi del contesto specifico, identificazione dei rischi reali, costruzione di strumenti di presidio concreti e aggiornabili.
Perché una norma nuova non è mai solo un nuovo adempimento.
È sempre, prima di tutto, una nuova opportunità per chi la capisce prima degli altri.
Avv. Massimo Caria