AI Act UE: cosa cambia davvero per chi usa l'AI ogni giorno

L'AI Act europeo è entrato in vigore il 2 agosto 2024. E no, non è l'ennesima burocrazia che puoi ignorare: le sanzioni arrivano fino a 35 milioni di euro o il 7% del fatturato annuo. Se usi l'AI nel tuo lavoro, anche solo per generare contenuti o rispondere ai clienti, questo ti riguarda.

Quando ho iniziato a esplorare le implicazioni pratiche dell'AI Act, mi sono reso conto che molti professionisti e piccole aziende italiane non hanno ancora chiaro cosa devono fare concretamente. In questo articolo ti mostro i tre obblighi principali che devi rispettare se usi strumenti AI nel tuo lavoro quotidiano, con esempi pratici e strumenti concreti per metterti in regola.

Obbligo di trasparenza: i tuoi clienti devono sapere quando parlano con l'AI

L'articolo 50 dell'AI Act è chiaro: chiunque utilizzi sistemi di intelligenza artificiale per interagire con utenti finali deve dichiararlo esplicitamente. Questo vale per chatbot, assistenti virtuali, sistemi di risposta automatica via email o WhatsApp.

Nella pratica, significa che se hai implementato un chatbot sul tuo sito o usi un assistente AI per gestire le prime richieste dei clienti, devi inserire un disclaimer visibile. Qualcosa tipo: "Stai parlando con un assistente AI. Per contattare un operatore umano, scrivi OPERATORE."

Ho visto diverse implementazioni in queste settimane: i disclaimer più efficaci sono quelli che appaiono nel primo messaggio di benvenuto, prima ancora che l'utente inizi a scrivere. Non basta una nota nascosta nei termini di servizio.

Contenuti generati dall'AI: tutto va segnalato

Questo è forse l'obbligo che tocca più professionisti nel quotidiano. Qualsiasi contenuto generato o modificato dall'AI deve essere dichiarato come tale: immagini, video, audio, ma anche report, presentazioni, documenti.

Facciamo un esempio concreto. Se uso Claude per generare un report di analisi per un cliente, devo indicare che il documento è stato prodotto con supporto AI. Non serve specificare quale modello o piattaforma, ma l'utente finale deve saperlo.

La questione si complica con i contenuti parzialmente generati dall'AI. La mia interpretazione, basata sulle prime linee guida disponibili, è questa: se l'AI ha prodotto più del 50% del contenuto finale, va segnalato. Se ho solo revisionato o corretto con AI un testo scritto da me, posso considerarlo contenuto umano.

Per segnalare i contenuti, puoi usare formule semplici in firma o a piè di pagina:

• "Questo documento è stato generato con supporto di strumenti di intelligenza artificiale"
• "Contenuto prodotto con assistenza AI"
• "Report generato automaticamente da sistema AI e validato da operatore umano"

Formazione obbligatoria per chi usa l'AI in azienda

L'AI Act introduce l'obbligo di formare tutti i dipendenti che utilizzano strumenti di intelligenza artificiale. L'obiettivo è garantire un uso consapevole, sicuro e conforme alla normativa.

Importante: non esiste ancora un certificato ufficiale né un ente certificatore riconosciuto a livello europeo. In caso di controlli, le autorità vogliono vedere tre cose:

• Un programma di formazione adeguato alle mansioni dei dipendenti
• Un registro dei dipendenti che hanno completato la formazione
• Eventuali attestati finali rilasciati

Per una piccola realtà o un freelance con collaboratori, questo può tradursi in un corso interno di 2-3 ore che copra: cos'è l'AI generativa, quali strumenti si usano in azienda, come proteggere i dati sensibili, cosa dice l'AI Act. Documenta tutto: programma, date, presenze, test finale.

Proteggere i dati sensibili: mai caricare documenti dei clienti su ChatGPT

Se carichi documenti contenenti dati personali o informazioni sensibili dei clienti su ChatGPT, Claude, Gemini o qualsiasi altro LLM cloud, stai violando il GDPR. Punto.

La soluzione più sicura è anonimizzare i documenti prima di caricarli. Esistono strumenti gratuiti e locali che fanno proprio questo: rimuovono automaticamente nomi, indirizzi email, numeri di telefono, codici fiscali e altri dati identificativi dai PDF.

Il workflow che uso io è questo: carico il PDF nello strumento di anonimizzazione, verifico la preview per controllare che abbia identificato correttamente tutti i dati sensibili, genero il PDF censurato, solo a quel punto lo carico su Claude o ChatGPT per l'analisi.

L'alternativa, se lavori con volumi importanti di documenti sensibili, è passare a soluzioni AI on-premise o con garanzie contrattuali specifiche sul trattamento dei dati. Ma per la maggior parte dei professionisti, l'anonimizzazione è la strada più pratica.

L'AI Act non è una minaccia, è una protezione

È facile vedere l'AI Act come l'ennesimo ostacolo burocratico. Ma se ci pensi, protegge tutti: chi usa l'AI in modo serio e trasparente, e chi si affida a professionisti per servizi che coinvolgono tecnologie che non comprende.

Le sanzioni sono alte proprio per evitare che le aziende ignorino gli obblighi. E i controlli, come sempre accade quando una legge entra in vigore, partiranno dai casi più evidenti: chi dichiara di non usare AI ma la usa massicciamente, chi gestisce dati sensibili senza protezioni, chi vende servizi AI senza informare i clienti.

Se stai iniziando a integrare l'AI nel tuo lavoro, il mio consiglio è di partire subito con le buone pratiche: disclaimer visibili, segnalazione dei contenuti, protezione dei dati. Non solo per rispettare la legge, ma perché è semplicemente il modo giusto di usare queste tecnologie.