Se la tua azienda usa l'intelligenza artificiale, anche solo ChatGPT per scrivere email o un chatbot sul sito, oggi deve rispettare due insiemi di regole: la Legge 132/2025, la prima legge italiana sull'intelligenza artificiale, in vigore dal 10 ottobre 2025, e l'AI Act europeo, che dal 2 agosto 2026 si applica in modo generale. Per la maggior parte delle PMI gli obblighi sono gestibili: informare dipendenti e clienti, usare l'AI in modo trasparente e trattare i dati con attenzione.
In questo articolo ti spieghiamo in modo pratico cosa prevedono le norme, quali sono le scadenze e come mettere la tua azienda in regola con una policy semplice.
Perché ti riguarda anche se usi solo ChatGPT
Secondo l'ISTAT, nel 2025 il 15,7% delle PMI italiane usa almeno una tecnologia di intelligenza artificiale, il doppio rispetto all'anno prima. Tra le grandi imprese la quota arriva al 53,1%. In molte aziende, però, l'AI entra senza una decisione precisa: i collaboratori usano strumenti gratuiti di propria iniziativa, a volte inserendo dati di clienti, contratti o informazioni interne.
Le nuove norme non vietano questi strumenti, ma chiedono di usarli in modo consapevole e trasparente. E la responsabilità resta dell'azienda.
Cosa prevede la Legge 132/2025
La legge italiana affianca l'AI Act e ne adatta i principi al contesto nazionale. Per le imprese i punti più concreti sono questi:
Informazione ai dipendenti: il datore di lavoro deve informare i lavoratori quando usa sistemi di intelligenza artificiale nell'organizzazione del lavoro, nei processi produttivi o nella gestione del personale.
Informazione ai clienti nelle professioni intellettuali: professionisti come avvocati, commercialisti e consulenti devono comunicare ai clienti se e come usano l'AI, che deve restare uno strumento di supporto e non sostituire il lavoro del professionista.
Centralità della persona: l'uso dell'AI nel lavoro deve tutelare la dignità e la sicurezza dei lavoratori e non può portare a discriminazioni.
Protezione dei dati: resta pienamente valido il GDPR, con l'attenzione a valutare i rischi prima di adottare sistemi che trattano dati personali.
La legge prevede anche un programma di investimenti fino a 1 miliardo di euro, tramite strumenti di venture capital, per startup e PMI attive nell'intelligenza artificiale, nella cybersicurezza e nelle tecnologie emergenti.
Cosa prevede l'AI Act e il calendario 2025–2028
L'AI Act europeo entra in vigore a tappe. A luglio 2026 il cosiddetto Digital Omnibus (Regolamento UE 2026/1744) ha rinviato alcune scadenze, soprattutto per i sistemi ad alto rischio:
Da quando | Cosa si applica |
|---|---|
Febbraio 2025 | Divieto di alcune pratiche di AI, come la manipolazione o il social scoring |
Agosto 2025 | Obblighi per i fornitori di modelli di AI di uso generale (come i grandi modelli linguistici) |
2 agosto 2026 | Applicazione generale, compresi gli obblighi di trasparenza per chatbot e contenuti generati dall'AI |
2 dicembre 2027 | Obblighi per i sistemi ad alto rischio, per esempio nella selezione del personale o nella valutazione del credito |
2 agosto 2028 | Obblighi per i sistemi ad alto rischio integrati in prodotti regolamentati |
Il Digital Omnibus ha anche ammorbidito l'obbligo di alfabetizzazione sull'AI previsto dall'articolo 4: le aziende devono favorire lo sviluppo delle competenze sull'AI del proprio personale ed essere in grado di documentarlo, senza dover garantire un livello preciso per ogni persona.
Gli obblighi in pratica per una PMI
Collaboratori
Informa i dipendenti sugli strumenti di AI usati in azienda e su come incidono sul loro lavoro. Offri una formazione di base e tieni traccia di chi l'ha seguita.
Clienti
Se sul sito o su WhatsApp usi un chatbot, l'utente deve capire subito che sta parlando con un sistema di AI. Se sei un professionista, comunica ai clienti l'uso dell'AI nel tuo lavoro, per esempio nella lettera d'incarico.
Dati
Evita di inserire negli strumenti gratuiti dati personali di clienti o dipendenti, contratti, dati finanziari riservati o password. Preferisci versioni aziendali con accordi chiari sul trattamento dei dati e, dove possibile, hosting nell'Unione europea.
Controllo umano
I risultati dell'AI vanno controllati da una persona prima di essere usati, soprattutto nella comunicazione con i clienti e nelle decisioni che riguardano le persone.
Una policy aziendale sull'AI in 5 passi
Mappa gli strumenti: scopri quali strumenti di AI vengono già usati in azienda, anche in modo informale.
Scegli quelli ammessi: indica quali strumenti si possono usare e con quale tipo di account.
Definisci i dati: chiarisci quali informazioni si possono inserire e quali no.
Stabilisci i controlli: decidi chi verifica i risultati e in quali casi serve sempre una persona.
Forma e informa: spiega la policy al team, comunicala ai dipendenti e aggiorna l'informativa privacy.
Checklist rapida
Hai un elenco degli strumenti di AI usati in azienda?
I dipendenti sono stati informati sull'uso dell'AI?
Il tuo chatbot dichiara chiaramente di essere un'intelligenza artificiale?
L'informativa privacy cita l'uso di sistemi di AI?
Hai organizzato e documentato una formazione di base?
Usi l'AI in ambiti ad alto rischio, come la selezione del personale? Se sì, pianifica l'adeguamento entro dicembre 2027.
Domande frequenti
La Legge 132/2025 vale anche per le piccole imprese?
Sì. Gli obblighi di informazione verso i dipendenti e, per i professionisti, verso i clienti valgono indipendentemente dalle dimensioni dell'azienda. Per una piccola impresa bastano però misure semplici e proporzionate.
Posso usare ChatGPT in azienda?
Sì, con alcune attenzioni: definisci quali dati si possono inserire, preferisci versioni aziendali con accordi chiari sul trattamento dei dati e fai controllare i risultati da una persona.
Il chatbot del mio sito deve dichiarare di essere un'AI?
Sì. Dal 2 agosto 2026 l'AI Act richiede che gli utenti siano informati quando interagiscono con un sistema di intelligenza artificiale. Basta un messaggio chiaro all'inizio della conversazione.
Cosa rischio se non mi adeguo?
Oltre alle sanzioni previste dall'AI Act e dal GDPR, il rischio più concreto per una PMI è perdere la fiducia di clienti e dipendenti. Una policy chiara riduce entrambi i rischi con poco sforzo.
Conclusione
Le nuove regole non sono un freno: sono la base per usare l'intelligenza artificiale con fiducia. Una policy chiara, un po' di trasparenza e strumenti scelti con attenzione bastano per mettere in regola la maggior parte delle PMI.
Realizziamo agenti AI e automazioni che tengono conto fin dall'inizio di privacy, trasparenza e controllo umano, con hosting nell'Unione europea e accessi limitati ai soli dati necessari.
Prenota una consulenza gratuita →
Questo articolo ha scopo informativo e non sostituisce una consulenza legale. Per il tuo caso specifico rivolgiti a un professionista.
