Cosa chiedono AI Act e legge italiana alle aziende che usano chatbot

Se la tua azienda usa un chatbot sul sito, un assistente per il servizio clienti o l’AI per scrivere testi e creare immagini, quasi certamente rientri nelle fasce di rischio più basse dell’AI Act. È il regolamento europeo sull’intelligenza artificiale, e gli obblighi che ti riguardano sono pochi e concreti. Da febbraio 2025 alcune pratiche sono vietate e l’azienda deve aiutare chi usa questi strumenti a conoscerli. Dal 2 agosto 2026 chi parla con un’AI deve saperlo e i contenuti falsi ma realistici vanno dichiarati.

La legge italiana aggiunge regole per professionisti, lavoro e diritto d’autore, e il GDPR vale come prima. Sono uno sviluppatore, non un avvocato, quindi questo è un quadro generale aggiornato a ottobre 2026 e non una consulenza legale. Per decidere sul tuo caso serve un legale.

L’AI Act divide gli usi per livello di rischio

Il regolamento UE 2024/1689 è in vigore dal 1° agosto 2024 e si applica a tappe. Non tratta tutta l’AI allo stesso modo, perché guarda a che cosa serve ogni sistema. Pochi usi sono considerati inaccettabili e vietati del tutto.

I sistemi ad alto rischio sono quelli che incidono su diritti importanti, come la selezione del personale, la valutazione del credito, l’accesso a servizi essenziali e l’istruzione. Per loro gli obblighi sono pesanti, ma il Digital Omnibus sull’AI (regolamento UE 2026/1744, pubblicato a luglio 2026) li ha rinviati al 2 dicembre 2027. Per l’AI dentro prodotti già regolati, come macchinari o dispositivi medici, la data slitta al 2 agosto 2028.

Poi ci sono gli obblighi di trasparenza per chatbot, assistenti e contenuti generati. In questi casi devi dire che c’è di mezzo un’AI. Tutto il resto, come riassumere mail, preparare bozze, tradurre o scrivere schede prodotto, non ha obblighi specifici.

La legge distingue anche i ruoli. Il fornitore sviluppa il sistema e lo mette sul mercato con il proprio nome, mentre l’utilizzatore (deployer) lo usa per lavoro. Una PMI che usa ChatGPT, Gemini o un chatbot pronto è quasi sempre utilizzatrice. Gli obblighi sui grandi modelli generalisti, in vigore dall’agosto 2025, riguardano chi li costruisce.

Divieti e formazione valgono già dal 2025

Dal 2 febbraio 2025 sono vietati, tra gli altri, i sistemi che manipolano le persone con tecniche subliminali o ingannevoli causando danni significativi. Vale lo stesso per quelli che sfruttano fragilità legate a età, disabilità o situazione economica e per i “punteggi sociali”.

Sono vietati anche i sistemi che riconoscono le emozioni dei dipendenti sul lavoro o degli studenti a scuola, salvo motivi medici o di sicurezza. Rientra nei divieti pure la raccolta indiscriminata di volti da internet per il riconoscimento facciale. Dal 2 dicembre 2026 si aggiungono i sistemi che generano immagini intime senza consenso o materiale pedopornografico.

Da febbraio 2025 vale anche l’obbligo di alfabetizzazione sull’AI (articolo 4), che il Digital Omnibus ha alleggerito. Fornitori e utilizzatori devono adottare misure per sostenere la competenza del personale, ma non devono garantire un livello preciso per ogni persona. Secondo la Commissione europea non servono certificati né un “responsabile AI”.

In pratica chi usa questi strumenti deve sapere che cosa fanno, dove sbagliano (per esempio con risposte inventate ma convincenti) e quali dati non vanno inseriti. Una formazione breve e documentata, adatta all’uso che ne fate, è un buon punto di partenza.

Dal 2 agosto 2026 chi parla con un’AI deve saperlo

Gli obblighi di trasparenza dell’articolo 50 si applicano dal 2 agosto 2026 e non sono stati rinviati. L’unica proroga riguarda la marcatura tecnica dei contenuti generati, un compito di chi produce gli strumenti. Per i sistemi già sul mercato prima di quella data il termine è il 2 dicembre 2026.

Il chatbot sul sito e il servizio clienti

Chi scrive al tuo chatbot deve capire in modo chiaro, fin dal primo messaggio, che dall’altra parte c’è un’AI. L’eccezione del “si capisce da sé” vale solo quando è evidente a chiunque. Lo stesso vale per un assistente vocale che risponde al telefono.

Progettarlo così è un dovere del fornitore, ma se ti fai sviluppare un chatbot e lo metti in servizio con il tuo nome, il fornitore potresti essere tu. In ogni caso il sito è tuo, quindi controlla che l’avviso ci sia e si capisca.

Se usi strumenti che deducono le emozioni dalla voce o dal volto dei clienti, devi informarli. Sui dipendenti, invece, nella maggior parte dei casi è vietato.

Un avviso chiaro all’inizio della chat costa poco e protegge la fiducia, perché chi scopre dopo di aver parlato con una macchina si sente preso in giro.

I contenuti di marketing

Non tutto ciò che fai con l’AI va etichettato. L’obbligo riguarda i deepfake, cioè immagini, audio o video realistici che somigliano a persone, luoghi, oggetti o eventi reali e potrebbero sembrare autentici. Vanno dichiarati in modo visibile alla prima esposizione. Per le opere chiaramente artistiche, satiriche o di fantasia basta un’indicazione che non rovini l’opera.

Se un’immagine non può essere scambiata per vera, come un’illustrazione stilizzata, non è un deepfake nel senso della legge. Per segnalare i deepfake l’Unione europea ha preparato icone comuni.

Per i testi l’etichetta serve solo se li pubblichi per informare il pubblico su temi di interesse pubblico, senza una revisione umana e senza una persona che ne risponda. Di norma non serve per un articolo del blog o una newsletter che rivedi e firmi tu. I contenuti creati prima del 2 agosto 2026 non vanno etichettati a ritroso.

Chi viola questi obblighi rischia sanzioni fino a 15 milioni di euro o al 3% del fatturato mondiale annuo, e per le PMI vale il più basso dei due importi.

Cosa aggiunge la legge italiana sull’AI

La legge 132 del 23 settembre 2025, in vigore dal 10 ottobre 2025, non riscrive l’AI Act ma aggiunge alcune regole nazionali. Ecco quelle che riguardano più da vicino un’azienda.

• Gli avvocati, i commercialisti, gli ingegneri, gli architetti e gli altri professionisti intellettuali possono usare l’AI solo per attività strumentali e di supporto, con prevalenza del proprio lavoro intellettuale. Devono anche informare il cliente sui sistemi usati, con un linguaggio chiaro, semplice ed esaustivo.
• Il datore di lavoro deve informare i lavoratori quando usa l’AI nei casi previsti dalle regole sui sistemi decisionali e di monitoraggio automatizzati. Dal 23 ottobre 2026 il decreto legislativo 179 del 2026 aggiunge che le decisioni finali su assunzione, licenziamento, provvedimenti disciplinari e valutazioni non possono basarsi solo su un trattamento automatizzato. A decidere deve essere una persona.
• Le opere create con l’aiuto dell’AI sono tutelate solo se sono frutto del lavoro intellettuale dell’autore, quindi un testo o un’immagine generati senza un vero contributo umano potrebbero non essere protetti.
• Diffondere senza consenso immagini, video o voci di una persona falsificati con l’AI, causandole un danno ingiusto, è un reato (articolo 612-quater del codice penale).

Le autorità per l’AI sono AgID e l’Agenzia per la cybersicurezza nazionale (ACN), che vigila sul mercato, mentre il Garante privacy mantiene le sue competenze. I decreti attuativi 160 e 179 del 2026, usciti tra settembre e ottobre, definiscono poteri e sanzioni.

Il GDPR vale come prima

L’AI Act non sostituisce le regole sulla privacy. Se un dipendente incolla in uno strumento AI la mail di un cliente o un documento con dati personali, quei dati li tratta un fornitore esterno. Servono quindi un contratto che nomini il fornitore responsabile del trattamento e chiarezza su dove finiscono i dati e per quanto tempo. Servono anche garanzie se i dati escono dallo Spazio economico europeo e un’informativa aggiornata, in un linguaggio chiaro e semplice come chiede anche la legge italiana.

Le domande da fare a chi ti fornisce un chatbot o uno strumento AI

Queste sono le domande da fare al fornitore prima di scegliere.

• Chi è il fornitore e chi l’utilizzatore, ai sensi dell’AI Act?
• Come viene avvisato l’utente che sta parlando con un’AI, e in che momento della conversazione?
• Dove vengono trattati e conservati i dati, per quanto tempo, e vengono usati per addestrare modelli?
• C’è un contratto da responsabile del trattamento, e i dati escono dallo Spazio economico europeo?
• Le immagini, i video e gli audio generati sono marcati in modo riconoscibile?
• Quando il chatbot non sa rispondere, passa la conversazione a una persona?

Una risposta vaga è già un’informazione. Con gli agenti AI queste domande pesano ancora di più, perché l’AI non si limita a rispondere, ma agisce.

Come posso aiutarti

Quando integro l’AI in un sito, in un gestionale o in un’app, chiariamo queste scelte all’inizio, dall’avviso nella chat al passaggio a una persona, dai dati che entrano nello strumento al fornitore. Se vuoi capire come queste regole toccano la tua azienda, scrivimi. Io seguo la parte tecnica, mentre per contratti e valutazioni legali ti consiglio il tuo avvocato o il tuo DPO.