Quali regole valgono se la tua attività usa l'AI? AI Act e formazione obbligatoria, privacy, segreto professionale e un registro da copiare (lezione 2)

Per una piccola impresa dell’UE che usa al lavoro strumenti di AI come ChatGPT o Copilot contano soprattutto tre gruppi di regole. L’AI Act ti chiede di aiutare chi usa l’AI per la tua attività a capirla, per esempio spiegando che i chatbot possono inventare le cose. Non serve un corso con attestato: la Commissione europea scrive che “Non è necessario un certificato” e che un’impresa può invece tenere un registro interno della formazione. Il GDPR, il regolamento europeo sulla privacy, si applica appena dati personali di clienti o dipendenti finiscono in un chatbot. Avvocati, commercialisti, medici e gli altri professionisti restano vincolati al segreto professionale, e in Italia la legge 132 del 2025 aggiunge regole proprie.

Questa è la lezione 2 di “L’AI nella tua attività: corso gratuito per piccole imprese e professionisti”. Spiega le regole in parole semplici e ti dà un registro della formazione da copiare. Non è una consulenza legale, e seguire questo corso non basta, da solo, a rendere la tua attività conforme all’AI Act o al GDPR. Per il tuo caso chiedi a un avvocato, alla tua associazione di categoria o al tuo ordine professionale.

Questo sito è scritto con strumenti di intelligenza artificiale, tra cui Claude di Anthropic. Questa pagina usa solo quello che dicono produttori, autorità pubbliche e studi pubblicati, con i link.

Cosa chiede l’AI Act a un’impresa che usa ChatGPT?

L’AI Act è la legge dell’UE sull’intelligenza artificiale. Quando la tua attività usa uno strumento di AI per lavoro, la legge la chiama “deployer”: chi “utilizza un sistema di IA sotto la propria autorità”, tranne quando lo usa nel corso di “un’attività personale non professionale” (articolo 3). Il testo italiano ufficiale scrive “IA” dove questo sito scrive “AI”. Un negozio che scrive le sue email con un chatbot è un deployer.

L’articolo 4, intitolato “Alfabetizzazione in materia di IA” (cioè le conoscenze che servono per usare l’AI con consapevolezza), dice che fornitori e deployer “adottano misure volte a sostenere lo sviluppo dell’alfabetizzazione in materia di IA del loro personale nonché di qualsiasi altra persona che si occupa del funzionamento e dell’utilizzo dei sistemi di IA per loro conto”. L’articolo non fa eccezioni per le piccole imprese; chiede invece alla Commissione e agli Stati membri di sostenerle.

Le domande e risposte sull’alfabetizzazione in materia di AI della Commissione europea, aggiornate il 20 ottobre 2026, rispondono proprio al caso di un’impresa i cui dipendenti usano ChatGPT per scrivere testi pubblicitari o per tradurre: “Sì, dovrebbero essere informati sui rischi specifici, ad esempio le allucinazioni”, cioè le risposte che l’AI si inventa. Tra le “altre persone” possono rientrare un appaltatore, un fornitore di servizi o un cliente che lavora con l’AI per tuo conto.

Dalla stessa pagina:

L’articolo 4 si applica dal 2 febbraio 2025.
Le autorità nazionali di vigilanza del mercato lo controllano e lo fanno rispettare dal 2 agosto 2026, con le sanzioni stabilite dalla legge di ciascun Paese.
“Qualsiasi sanzione deve essere proporzionata”, e una sanzione è più probabile quando un incidente dimostra che il personale non aveva ricevuto formazione o indicazioni adeguate.

Cosa ha cambiato il Digital Omnibus?

Il 19 novembre 2025 la Commissione ha proposto di semplificare le regole sull’AI con un pacchetto chiamato Digital Omnibus sull’AI (“omnibus digitale” nei testi italiani). Per l’articolo 4, la proposta spostava sulla Commissione e sugli Stati membri il compito di promuovere l’alfabetizzazione sull’AI. Il testo adottato, il Regolamento (UE) 2026/1744 dell’8 luglio 2026, l’ha invece lasciato come obbligo per le imprese. È stato pubblicato nella Gazzetta ufficiale dell’UE il 24 luglio 2026 ed è entrato in vigore il 27 luglio 2026. Secondo la Commissione, le modifiche:

lasciano l’alfabetizzazione sull’AI tra gli obblighi di fornitori e deployer, ma senza un livello specifico o “sufficiente” da raggiungere;
chiedono alla Commissione di pubblicare esempi pratici di come rispettare l’obbligo;
chiedono al comitato europeo per l’intelligenza artificiale (European AI Board) di adottare raccomandazioni.

L’articolo 4 modificato aggiunge che l’obbligo “non impone ai fornitori o ai deployer di garantire un livello specifico di alfabetizzazione in materia di IA per alcuna persona” (la frase è nella versione italiana del testo consolidato, sulla pagina dell’articolo 4 del Service Desk dell’AI Act). L’obbligo quindi è rimasto, mentre la proposta del 2025 prevedeva di toglierlo alle imprese.

Serve un corso con attestato?

No. La risposta della Commissione è breve: “Non è necessario un certificato. Le organizzazioni possono tenere un registro interno dei corsi di formazione e/o di altre iniziative di orientamento.” Aggiunge che “non sono imposti requisiti rigorosi o corsi di formazione obbligatori”, che non c’è l’obbligo di misurare quanto sanno i dipendenti e che non è richiesta nessuna struttura di governance specifica: non ti serve un responsabile dell’AI (AI officer).

C’è però un limite. La Commissione dice anche che limitarsi a chiedere al personale di leggere le istruzioni per l’uso “potrebbe essere inefficace”, e suggerisce di coprire almeno questi quattro punti:

Che cos’è l’AI e quali strumenti di AI usa la tua attività, con le loro opportunità e i loro pericoli.
Il tuo ruolo: usi strumenti fatti da altri, non li sviluppi.
I rischi di quegli strumenti e cosa deve saperne il personale; per un chatbot, per esempio, le risposte inventate, i dati personali e i documenti riservati.
Chi deve sapere cosa, in base al lavoro che fa, a quello che sa già e al contesto in cui usa l’AI.

Per un aiuto gratuito, la Commissione indica alle piccole imprese i poli europei dell’innovazione digitale (European Digital Innovation Hubs, EDIH), che “possono fungere da primo help desk per il regolamento sull’IA”, e l’Accademia per le competenze in materia di IA (AI Skills Academy), attiva dal 1° maggio 2026.

Cosa comporta la privacy per i dati dei clienti in un chatbot?

Un dato personale è “qualsiasi informazione relativa a una persona fisica identificata o identificabile”, come dice la guida per le piccole imprese delle autorità europee per la protezione dei dati. Il nome, l’email, lo storico degli ordini o i dati sanitari di un cliente sono dati personali, e i dati sulla salute appartengono alle categorie speciali che “meritano maggiore protezione”.

Quando incolli dati di clienti in un servizio di AI, è la tua attività a decidere perché quei dati vengono usati: per il GDPR è il titolare del trattamento. Un’azienda che tratta dati personali solo su tue istruzioni è un responsabile del trattamento, e la stessa guida dice che questo rapporto “deve essere disciplinato da un contratto”, spesso chiamato accordo sul trattamento dei dati o DPA (data processing agreement). Con la maggior parte dei piani personali il produttore può anche usare le tue chat per migliorare la sua AI, secondo la propria informativa sulla privacy. I piani business hanno condizioni separate, di solito con un accordo sul trattamento dei dati; la lezione 3 li mette a confronto, costi compresi.

In pratica:

Lascia fuori quello che non serve. Prima di incollare, sostituisci nomi, indirizzi e numeri con dati inventati.
Tieni fuori dagli account personali i dati sanitari, i documenti d’identità e le informazioni sul personale.
Controlla le impostazioni. Cosa succede a quello che scrivi spiega, assistente per assistente, se le chat vengono usate per l’addestramento e come disattivarlo.
In Italia il Garante per la protezione dei dati personali pubblica i suoi provvedimenti e le sue indicazioni sull’AI nella pagina dedicata all’intelligenza artificiale.

E il segreto professionale?

Usare un chatbot non cambia il segreto professionale a cui sono già tenuti avvocati, commercialisti, medici e gli altri professionisti. Il Consiglio degli ordini forensi europei (CCBE), nella sua guida sull’AI generativa del 2 ottobre 2025, avverte che gli avvocati “potrebbero violare i propri obblighi professionali e/o le norme sulla protezione dei dati applicabili già nel momento in cui inseriscono i dati in un sistema” (traduzione nostra: la guida è pubblicata in inglese).

In Italia la legge 23 settembre 2025, n. 132, pubblicata nella Gazzetta Ufficiale n. 223 del 25 settembre 2025 e in vigore dal 10 ottobre 2025, aggiunge due regole:

Professionisti (articolo 13). Nelle “professioni intellettuali” (la legge non le elenca; avvocati e commercialisti ne sono un esempio) l’uso dell’AI è finalizzato “al solo esercizio delle attività strumentali e di supporto all’attività professionale”, e deve prevalere il lavoro intellettuale del professionista. Il professionista deve comunicare al cliente quali sistemi di AI usa, “con linguaggio chiaro, semplice ed esaustivo”.
Sanità (articolo 7). I sistemi di AI sono un supporto nella prevenzione, nella diagnosi, nella cura e nella scelta della terapia, ma la decisione “è sempre rimessa agli esercenti la professione medica”, e il paziente ha diritto di essere informato quando vengono usate tecnologie di AI.

La stessa legge (articolo 11) dice che il datore di lavoro, o il committente, deve informare i lavoratori dell’uso dell’AI nei casi previsti dall’articolo 1-bis del decreto legislativo 26 maggio 1997, n. 152, che riguarda i sistemi automatizzati che aiutano a decidere su assunzioni, mansioni, valutazioni o licenziamenti, o che sorvegliano i lavoratori. Il tuo ordine professionale può avere regole proprie: prima di inserire informazioni su clienti o pazienti in uno strumento di AI, chiedi all’ordine.

Come si tiene un registro della formazione?

La Commissione non prescrive un formato. Una tabella semplice, conservata con gli altri documenti del personale, mostra chi ha imparato cosa e quando. Copiala in un documento o in un foglio di calcolo, una riga per persona e per sessione. Le due righe compilate sono esempi con nomi inventati, non persone reali:

Nome	Ruolo	Strumento di AI usato	Cosa ha imparato	Lezione o materiale	Data
A. Bianchi (esempio)	Accoglienza clienti	Gemini (account aziendale)	I chatbot possono inventare fatti; controllare prezzi e date; niente nomi di clienti nelle chat	Corso “L’AI nella tua attività”, lezioni 1 e 2	10/11/2026
L. Verdi (esempio, contabile esterno)	Contabilità	Copilot in Excel	Ricalcolare a mano le cifre; nessuna decisione fiscale presa dall’AI	Domande frequenti su Copilot in Excel, scheda delle regole interne	12/11/2026

Accanto al registro tieni l’elenco degli strumenti di AI che la tua attività usa e una pagina di regole interne (cosa si può inserire in un chatbot, chi controlla le bozze). Aggiungi una riga quando arriva una persona nuova o adotti un nuovo strumento.

Questo registro è un modello, non una consulenza legale. Compilarlo e seguire questo corso non bastano, da soli, a rendere la tua attività conforme.

Dove si ferma questa risposta?

Usi a rischio più alto. L’AI Act mette tra gli usi ad alto rischio, con obblighi aggiuntivi, l’AI usata per filtrare le candidature, valutare i candidati o controllare le prestazioni del personale. Chiedi a un consulente prima di usare l’AI per decisioni che riguardano persone.
Fuori dall’UE le regole sono diverse.
Le regole cambiano. Questa pagina viene ricontrollata ogni mese sulle fonti citate sopra.

Per continuare

Lezione 1: Cosa può fare davvero l’AI per una piccola impresa? propone cinque lavori, con le richieste da copiare.
Cosa succede a quello che scrivi spiega le impostazioni sui dati di ogni assistente.
L’AI per chi parte da zero è la guida completa all’AI di oggi.
Lezione 3: Quale piano AI serve a una piccola impresa, e quanto costa? confronta piani business, prezzi e condizioni sui dati.

Quiz: verifica cosa hai imparato

Scegli una risposta per ogni domanda: vedi subito se è giusta e perché. Le risposte non vengono inviate a nessuno.

Cosa dice la Commissione europea sugli attestati per l'alfabetizzazione sull'AI?
Mostra la risposta
Risposta giusta:C. Non è necessario un certificato; le organizzazioni possono tenere un registro interno
Le domande e risposte della Commissione dicono "Non è necessario un certificato" e che le organizzazioni possono tenere un registro interno dei corsi di formazione e delle altre iniziative di orientamento.
I tuoi dipendenti usano ChatGPT solo per tradurre le descrizioni dei prodotti. L'articolo 4 si applica?
Mostra la risposta
Risposta giusta:A. Sì: dovrebbero essere informati sui rischi, come le risposte inventate
La Commissione risponde proprio a questo caso: i dipendenti che usano ChatGPT per testi pubblicitari o traduzioni "dovrebbero essere informati sui rischi specifici, ad esempio le allucinazioni".
Cosa ha cambiato il Digital Omnibus nell'articolo 4?
Mostra la risposta
Risposta giusta:B. Ha mantenuto l'obbligo, ma dice che non è richiesto un livello specifico di alfabetizzazione sull'AI
Dopo il Digital Omnibus l'alfabetizzazione sull'AI resta un obbligo per fornitori e deployer, ma non è imposto alcun livello specifico o sufficiente.
Secondo la legge italiana 132 del 2025, cosa deve fare un professionista che usa l'AI?
Mostra la risposta
Risposta giusta:A. Informare il cliente sui sistemi di AI usati, con un linguaggio chiaro e semplice
L'articolo 13 dice che le informazioni sui sistemi di AI usati dal professionista vanno comunicate al cliente "con linguaggio chiaro, semplice ed esaustivo", e che l'AI può servire solo alle attività strumentali e di supporto al lavoro del professionista.

Domande frequenti

La formazione sull'AI è obbligatoria per i dipendenti secondo l'AI Act?

Un'impresa che usa sistemi di AI al lavoro deve adottare misure per sostenere l'alfabetizzazione sull'AI delle persone che li usano per suo conto, secondo l'articolo 4 dell'AI Act. La Commissione europea dice che non è imposto un formato di formazione specifico: le misure dipendono dagli strumenti che usi, dai rischi e da quello che il personale sa già. Per i dipendenti che usano ChatGPT per scrivere o tradurre testi, la Commissione dice che dovrebbero essere informati sui rischi specifici, per esempio le risposte inventate.

Serve un attestato AI Act per i miei dipendenti?

No. Le domande e risposte della Commissione europea sull'alfabetizzazione in materia di AI dicono: "Non è necessario un certificato." Le organizzazioni possono tenere un registro interno della formazione e delle altre indicazioni che danno. Un corso a pagamento può comunque essere utile, ma la legge non lo richiede.

Da quando si applicano le sanzioni dell'AI Act per la formazione mancante?

L'articolo 4 si applica dal 2 febbraio 2025, e dal 2 agosto 2026 le autorità nazionali di vigilanza del mercato lo controllano e lo fanno rispettare, secondo la legge di ciascun Paese. La Commissione dice che ogni sanzione deve essere proporzionata al caso, e che una sanzione è più probabile quando un incidente dimostra che il personale non aveva ricevuto formazione o indicazioni.

Un avvocato o un commercialista può usare ChatGPT con i dati dei clienti?

Il segreto professionale continua a valere. Il Consiglio degli ordini forensi europei avverte che gli avvocati possono violare i propri obblighi già nel momento in cui inseriscono i dati dei clienti in uno strumento di AI. In Italia la legge 132 del 2025 dice che i professionisti possono usare l'AI solo come supporto al proprio lavoro e devono informare i clienti sui sistemi di AI che usano. Chiedi le indicazioni del tuo ordine professionale.

Nella mia azienda serve un responsabile dell'AI?

Per l'articolo 4 no. La Commissione europea dice che per rispettarlo non è richiesta nessuna struttura di governance specifica. Conta che chi usa l'AI per la tua attività sappia come funziona, in cosa può sbagliare e cosa non deve inserirci.

Argomenti: AI per piccole imprese, corso AI, AI Act, alfabetizzazione AI, GDPR, segreto professionale, Italia, lavoro