EU AI Act: cosa cambia davvero per chi usa l'intelligenza artificiale in azienda
Il regolamento europeo sull'AI è ora pienamente in vigore. Ecco cosa significa concretamente per le organizzazioni che usano ChatGPT, Claude, Copilot o sistemi simili ogni giorno.
Per anni abbiamo parlato dell'EU AI Act come di una legge in arrivo.
Ora è arrivata.
Il regolamento è entrato in vigore nell'agosto del 2024. Le disposizioni sui sistemi AI ad alto rischio e quelle di carattere generale si applicano da agosto 2026.
Molte organizzazioni si trovano oggi in una posizione scomoda:
usano l'AI quotidianamente, ma non hanno ancora capito cosa questo comporti dal punto di vista normativo.
Non è solo un problema delle aziende che "fanno AI"
Il primo equivoco da chiarire riguarda il perimetro della legge.
L'EU AI Act non si applica solo alle aziende che sviluppano modelli.
Si applica anche a chi usa sistemi AI nell'ambito della propria attività.
Nella terminologia del regolamento, queste organizzazioni si chiamano deployer: soggetti che impiegano un sistema AI in un contesto professionale.
Questo include:
- uno studio legale che usa un assistente AI per analizzare contratti;
- un'azienda sanitaria che usa un LLM per elaborare note cliniche;
- un ufficio HR che usa l'AI per valutare candidature;
- un team tecnico che usa un assistente AI per scrivere o revisionare codice;
- qualsiasi organizzazione che ha costruito workflow basati su modelli come GPT-4, Claude o Gemini.
Se la vostra organizzazione rientra in uno di questi casi, l'EU AI Act vi riguarda.
Cosa sono i sistemi ad alto rischio
Il regolamento distingue tra livelli di rischio.
I sistemi ad alto rischio sono quelli che possono avere un impatto significativo su diritti fondamentali, salute, sicurezza o accesso a servizi essenziali.
L'allegato III del regolamento elenca le categorie:
- sistemi usati in ambito scolastico o formativo per valutare le persone;
- sistemi di reclutamento e selezione del personale;
- sistemi usati per l'erogazione di prestazioni pubbliche essenziali;
- sistemi usati nell'amministrazione della giustizia;
- sistemi usati in ambito medico e sanitario;
- sistemi biometrici;
- sistemi di infrastruttura critica.
Per questi sistemi le obbligazioni sono sostanziali: gestione del rischio, documentazione tecnica, registrazione dei log, sorveglianza umana, test prima della messa in opera.
Ma c'è un aspetto che riguarda quasi tutte le organizzazioni, indipendentemente dal livello di rischio del sistema che usano.
Il problema che tocca tutti: GPAI e trattamento dei dati
I modelli di linguaggio che alimentano ChatGPT, Claude, Copilot e prodotti simili rientrano nella categoria dei sistemi AI per uso generale — in inglese GPAI, General Purpose AI.
Per i GPAI con impatto sistemico (i modelli più grandi e diffusi) il regolamento impone ai provider obblighi specifici: documentazione del processo di training, politiche di data governance, misure di cybersecurity, dichiarazione di conformità.
Questo riguarda principalmente chi sviluppa i modelli.
Ma introduce un effetto collaterale importante per chi li usa.
Quando la vostra organizzazione invia dati a un sistema GPAI, si creano automaticamente due obbligazioni parallele:
quella del AI Act — usare il sistema in modo conforme, mantenere una sorveglianza adeguata, documentare l'uso nei contesti ad alto rischio;
quella del GDPR — se quei dati contengono informazioni personali, si applicano tutte le regole sul trattamento, le basi giuridiche, i diritti degli interessati, le misure di sicurezza.
Il problema non è teorico.
Ogni volta che un dipendente incolla un contratto, una nota clinica, un CV o un ticket di supporto in un sistema AI, potrebbe innescare entrambe le obbligazioni contemporaneamente.
Dove si sovrappongono AI Act e GDPR
La coesistenza tra AI Act e GDPR è uno degli aspetti più praticamente rilevanti per le organizzazioni.
Il GDPR si applica ogni volta che vengono trattati dati personali.
L'AI Act si applica ogni volta che viene usato un sistema AI.
Quando si usano sistemi AI per elaborare dati personali — che è esattamente quello che accade nella maggior parte dei casi d'uso aziendali — si è soggetti a entrambi.
Alcune implicazioni concrete:
Valutazione d'impatto. Se il sistema AI è ad alto rischio e tratta dati personali, potrebbe essere necessaria sia una valutazione prevista dall'AI Act sia una DPIA ai sensi del GDPR.
Basi giuridiche. Inviare dati personali a un sistema AI esterno richiede una base giuridica valida. Non basta che il provider dichiari di non usare i dati per il training.
Diritto alla spiegazione. L'AI Act introduce il diritto a ricevere spiegazioni sui processi decisionali automatizzati in certi contesti; il GDPR ne prevede uno simile per le decisioni automatizzate significative.
Conservazione dei dati. I log generati dai sistemi AI rientrano nella disciplina del GDPR. Quanto a lungo vengono conservati? Chi può accedervi? In quale paese vengono elaborati?
La risposta sbagliata: vietare tutto
Di fronte a questo quadro normativo, una reazione comprensibile è il divieto generalizzato.
Alcune organizzazioni hanno bloccato l'accesso a ChatGPT o strumenti simili.
Il problema è che questa strategia è difficile da sostenere.
Le persone trovano comunque il modo di usare gli strumenti che le rendono produttive.
E in assenza di un canale ufficiale, lo fanno attraverso canali non governati, con meno controlli e meno visibilità per l'organizzazione.
Vietare l'AI non risolve il problema: lo rende solo invisibile.
La risposta giusta: spostare il controllo a monte
Esiste un principio che i progettisti di sistemi sicuri conoscono bene:
è più efficace ridurre la superficie di attacco che presidiare ogni punto di accesso.
Applicato al trattamento dei dati nell'AI, significa:
ridurre la quantità di dati personali che entrano nel sistema, prima ancora che il sistema li elabori.
Invece di:
Documento con PII → LLM
si costruisce:
Documento con PII → rilevazione → pseudonimizzazione → LLM
Il risultato pratico è significativo.
Il modello riceve il contesto necessario per fare il suo lavoro.
I dati identificativi reali non escono mai dal perimetro controllato.
L'esposizione normativa si riduce: meno dati personali trattati dal sistema AI significa meno obbligazioni da gestire sul GPAI.
La conformità GDPR diventa più semplice: si trattano pseudonimi, non identità reali.
La domanda che molte organizzazioni non si sono ancora fatte
L'AI Act è in vigore.
Le sanzioni per le violazioni più gravi arrivano fino al 3% del fatturato globale annuo per i deployer.
Ma la questione non riguarda solo le sanzioni.
Riguarda una domanda che molte organizzazioni non si sono ancora fatte con sufficiente serietà:
Quali dati stiamo inviando ai sistemi AI che usiamo ogni giorno?
Non è una domanda tecnica.
È una domanda di governance.
E la risposta non può essere "non lo sappiamo".
Come nasce Pseudora in questo contesto
Pseudora è nato esattamente per rispondere a questa domanda.
Non come strumento di compliance fine a se stesso.
Ma come livello tecnico che riduce la quantità di dati personali che attraversano i sistemi AI.
Pseudora può essere integrato:
- come proxy nelle chiamate API verso LLM esterni;
- nelle pipeline RAG prima dell'embedding e dell'indicizzazione;
- nei workflow di elaborazione documentale prima che i contenuti raggiungano un assistente AI;
- negli strumenti interni che usano LLM per analisi, sintesi o classificazione.
Il principio è sempre lo stesso:
il modello riceve il contesto.
L'identità rimane separata.
L'esposizione normativa si riduce.
L'EU AI Act non chiede alle organizzazioni di smettere di usare l'AI.
Chiede di usarla in modo consapevole, documentato e proporzionato.
Ridurre i dati personali prima che entrino nel sistema è il punto di partenza più concreto.
Note normative
- Regolamento (UE) 2024/1689 del Parlamento Europeo e del Consiglio, pubblicato nella Gazzetta Ufficiale dell'Unione Europea il 12 luglio 2024.
- Entrata in vigore: 1° agosto 2024.
- Applicazione delle disposizioni sui sistemi vietati: febbraio 2025.
- Applicazione delle disposizioni sui GPAI: agosto 2025.
- Piena applicazione inclusi sistemi ad alto rischio: agosto 2026.
- Regolamento (UE) 2016/679 (GDPR), applicabile in parallelo per tutti i trattamenti di dati personali.