Usi l'AI per decidere sulle persone
Se selezioni i candidati, valuti i dipendenti o decidi l'affidabilità di un cliente con l'AI, sei nei sistemi ad alto rischio: qui gli obblighi sono molti di più.
AI Act
Cosa ti chiede l'AI Act se in azienda si usa l'AI, e cosa invece non ti riguarda
Per quasi tutte le piccole imprese è un obbligo solo: preparare chi usa l'AI, e poterlo dimostrare.
Perché ti riguarda
L'AI è quasi sicuramente già in azienda, e non l'hai decisa tu
Un tuo collaboratore incolla un'offerta nella chat per farsela rileggere, un altro carica l'elenco clienti per sistemare una colonna. In Italia più di un lavoratore su due usa già l'AI con account propri, al posto o accanto a quelli dell'azienda (Osservatorio HR Innovation, Politecnico di Milano, 2026).
Lo fanno per andare più veloci. Le informazioni della tua azienda però finiscono su account che non governi, e nessuno ha deciso cosa si può caricare e cosa no. Da qui l'AI Act ti riguarda, che tu l'abbia scelto o no.
L'obbligo
Ti chiede una cosa: chi usa l'AI deve saperla usare, e tu devi poterlo dimostrare
È l'articolo 4, l'unico obbligo che vale per tutte le aziende che usano l'AI, senza soglie di dimensione. Non ti dice come formare le persone. Ti dice che devi poter dimostrare che sono preparate al modo in cui l'AI si usa da te. Un attestato generico preso online conta poco, se poi lavorano su preventivi e dati dei clienti senza un criterio.
Il resto dell'AI Act, le valutazioni di conformità, la documentazione tecnica, le registrazioni europee, riguarda i sistemi ad alto rischio. Se non usi l'AI per selezionare il personale, valutare i dipendenti o decidere l'affidabilità di un cliente, non ti tocca.
Quando serve di più
In tre casi preparare le persone non basta
Sono le situazioni in cui l'AI Act chiede altro. Se ti ci riconosci, meglio approfondire prima di andare avanti.
Hai un chatbot o pubblichi contenuti fatti con l'AI
Se un chatbot risponde ai clienti, o pubblichi testi e immagini generati con l'AI, l'articolo 50 chiede di dirlo in chiaro a chi li riceve.
L'AI lavora sui dati di clienti e dipendenti
Se l'AI tratta dati personali, accanto all'AI Act resta il GDPR. Lo vediamo qui sotto, con i casi in cui dove stanno i dati fa la differenza.
Le date
Muoverti prima del 2 agosto 2026 vuol dire farlo con calma
2 febbraio 2025
L'obbligo dell'articolo 4 è in vigore.
2 agosto 2026
Le autorità nazionali iniziano a vigilare in modo pieno sull'applicazione del regolamento.
Riferimento: Reg. UE 2024/1689, articoli 4 e 113; legge 132/2025. Chi controlla in Italia e come funzionano le sanzioni li trovi nelle domande frequenti.
Vuoi sapere cosa ti tocca e cosa no?
Guardiamo insieme l'AI che gira già da te e cosa ti serve per l'articolo 4. Poi decidi tu.
Non solo AI Act
Se l'AI lavora sui dati dei clienti, resta anche il GDPR
L'AI Act guarda a chi usa l'AI. Il GDPR, la legge che c'era già, guarda ai dati personali. Quando l'AI tratta dati di clienti, dipendenti o fornitori, valgono insieme.
Sul GDPR sei coperto. L'AI che facciamo entrare in azienda è Claude, di Anthropic: il trattamento dei dati è regolato da un contratto dedicato (il DPA) e da certificazioni di sicurezza verificate da enti esterni, e nei piani per le aziende i tuoi dati non addestrano i modelli. Vale anche se i dati non stanno in Europa: conta il contratto, non il paese in cui girano.
Quando la posizione conta
Per alcune aziende, dove stanno i dati decide una gara o un contratto
Tenere i dati in Europa non è quasi mai un obbligo di legge, la conformità c'è comunque. Conta in casi precisi:
Un bando o un cliente lo mette per iscritto
Gare con settori regolati (pubblica amministrazione, sanità, banche e assicurazioni, difesa), oppure bandi e clienti che scrivono nero su bianco il vincolo di tenere i dati in Europa. In quel caso non è una scelta, è un requisito.
Tratti dati delicati
Dati sulla salute, dati biometrici, o grandi quantità di dati personali. Qui conviene ridurre al minimo il giro fuori dall'Europa.
Vuoi stare lontano da leggi straniere
Tenere i dati in Europa, presso fornitori con garanzie, riduce l'esposizione a norme di accesso di altri paesi, come il CLOUD Act americano.
Se non ti ci riconosci, dove stanno i dati non è un tuo problema: usi l'AI in regola senza pensarci.
Per l'IT
Conforme al GDPR, e i dati restano in Europa se serve
Conformità. Claude è fornito da Anthropic, che agisce come responsabile del trattamento con un DPA dedicato, clausole contrattuali standard, gestione dei diritti degli interessati e certificazioni SOC 2 Type 2, ISO 27001, ISO 27017, ISO 27018 e CSA STAR. Nei piani commerciali i dati non addestrano i modelli.
Residenza del dato. Sul piano Claude Team e sull'API diretta di Anthropic l'elaborazione avviene su infrastruttura negli Stati Uniti (region "us", inferenza "us" o "global"). La residenza in Europa passa dai cloud partner: AWS Bedrock e Google Vertex con regioni europee, con Microsoft Foundry atteso nel 2026. È una configurazione a livello Platform o Enterprise, non l'abbonamento Team.
In sintesi. Nei piani commerciali Anthropic non usa i tuoi dati per addestrare i modelli. Claude è conforme al GDPR tramite DPA e certificazioni. Se i dati devono restare in Europa, si ottiene con un deployment su AWS Bedrock o Google Vertex in regione europea, a livello Enterprise o Platform.
Quale configurazione ti serve dipende dal tuo caso. La scegliamo insieme.
Formazione in regola con l'AI Act
Prepari le persone sul lavoro vero, e resti tu a poterlo dimostrare
Con AI Kick-Off l'AI entra in azienda dalla porta principale: si lavora da te, sui tuoi file, con le persone che la useranno ogni giorno, e le prepari sul lavoro di tutti i giorni, non su esempi da manuale. Nominate insieme una persona di riferimento AI che porta avanti il tema anche dopo di noi.
Alla fine hai la prova per l'articolo 4: gli attestati individuali e la documentazione a supporto. Non ti diamo la conformità al posto tuo, ti mettiamo nelle condizioni di dimostrare la tua parte.
E se i dati devono restare in casa, c'è la versione locale, tracciata e verificabile. AI Locale →
Domande frequenti
Vale anche per le aziende piccole?
Sì. L'articolo 4 non ha soglie di dimensione: vale per chiunque usi sistemi di AI in azienda. Cambia quanto è semplice adeguarsi, non se devi farlo.
Da quando si rischiano sanzioni?
L'obbligo dell'articolo 4 è in vigore dal 2 febbraio 2025. Dal 2 agosto 2026 le autorità nazionali vigilano in modo pieno sull'applicazione del regolamento. Il capo sulle sanzioni si applica dal 2 agosto 2025, mentre per alcuni sistemi ad alto rischio integrati in prodotti regolamentati il termine arriva al 2 agosto 2027.
Chi controlla in Italia?
La vigilanza è ripartita tra l'Agenzia per la Cybersicurezza Nazionale (ACN), che effettua i controlli di mercato e applica le sanzioni, e l'AgID, che presidia notifica e accreditamento. Il quadro nazionale è stato completato dalla legge 132 del 2025.
Basta un attestato di un corso online?
Il regolamento chiede una preparazione adeguata al modo in cui l'AI si usa da te. Un attestato generico dimostra poco se poi le persone usano l'AI su preventivi e dati dei clienti senza un criterio. Conta quello che sai dimostrare sul lavoro reale.
Cosa vi resta in mano per l'AI Act dopo AI Kick-Off?
La prova di aver preparato le persone all'uso dell'AI: gli attestati individuali dei partecipanti e la documentazione a supporto dell'articolo 4. È quello che ti serve per dimostrare la tua parte, se qualcuno te la chiede.
L'AI Act sostituisce il GDPR?
No, valgono tutti e due: se l'AI tratta dati personali, il GDPR resta. Per questo l'uso dell'AI in azienda si imposta decidendo prima quali dati possono uscire e quali restano in casa.
Dove finiscono i nostri dati quando usiamo l'AI?
Vengono trattati dal fornitore dell'AI (Anthropic, per Claude) secondo un contratto che regola la privacy (il DPA) e con certificazioni di sicurezza verificate da enti esterni. Nei piani per le aziende non addestrano i modelli. Sei in regola col GDPR anche se i dati non stanno fisicamente in Europa.
I nostri dati possono restare in Europa?
Sì, se serve. La residenza in Europa si ottiene con una configurazione dedicata: un deployment su AWS Bedrock o Google Vertex in regione europea, a livello Enterprise o Platform. Sul piano standard l'elaborazione avviene su infrastruttura negli Stati Uniti. Quale configurazione ti serve dipende dal tuo caso, lo vediamo insieme.
Vuoi sapere cosa significa per la tua azienda?
Lasciaci i tuoi dati e lo vediamo insieme, sull'AI che gira già da te: cosa ti serve per l'articolo 4 e dove tenere i tuoi dati.