Intelligenza artificiale al lavoro: obblighi in vigore per imprese e professionisti

Chi usa per lavoro ChatGPT, Copilot, l’assistente del gestionale o un generatore di immagini ha, per il regolamento europeo sull’intelligenza artificiale, obblighi propri: pochi, leggeri, in parte già in vigore. Altri, per chi esercita una professione intellettuale e per i datori di lavoro, vengono dalla legge italiana.

Le norme, aggiornate a oggi

Il quadro europeo è il regolamento (UE) 2024/1689 del 13 giugno 2024 (AI Act), modificato dal regolamento (UE) 2026/1744 dell’8 luglio 2026, l’«Omnibus digitale sull’IA», in vigore dal 27 luglio 2026: non è più una proposta.

In Italia vale la legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025, e dal 30 settembre 2026 il decreto legislativo 9 settembre 2026, n. 160. Il decreto riguarda in gran parte le forze di polizia, ma ha regole valide per tutti: nelle cause per danni causati con un sistema di IA il giudice può ordinare l’esibizione della documentazione del sistema e, se il danno deriva dalla violazione di un obbligo del regolamento europeo, il nesso di causalità si presume salvo prova contraria; il danneggiato può agire direttamente contro l’assicuratore. La presunzione opera però solo se ci sono un danno e una violazione accertata: non punisce il solo inadempimento. Il decreto estende inoltre la responsabilità degli enti del decreto legislativo 231/2001 alla diffusione illecita di contenuti falsificati con l’IA: chi ha un modello organizzativo dovrà aggiornarlo.

Il secondo decreto attuativo, su vigilanza, sanzioni amministrative, professioni e lavoro, è stato approvato dal Consiglio dei ministri il 4 agosto 2026 ma non risulta ancora pubblicato in Gazzetta Ufficiale: fino ad allora non produce effetti.

Alfabetizzazione del personale: l’articolo 4, come riscritto

L’articolo 4 si applica dal 2 febbraio 2025. In origine chiedeva di garantire un livello sufficiente di competenza; dal 27 luglio 2026, nel testo sostituito dall’Omnibus, l’obbligo è di adottare misure volte a sostenere lo sviluppo di quella competenza nel personale e nelle altre persone che usano l’IA per conto dell’impresa, tenendo conto di conoscenze e contesto d’uso, senza dover garantire un livello specifico in capo ad alcuno.

Secondo le domande e risposte della Commissione europea l’obbligo riguarda anche l’impresa i cui dipendenti usano un assistente per scrivere o tradurre, con un contenuto minimo: conoscere i rischi tipici, a cominciare dalle risposte inventate. Non servono attestati; basta una traccia interna. Per chi lavora da solo, senza collaboratori, la norma ha però poco contenuto pratico.

Trasparenza: l’articolo 50, dal 2 agosto 2026

Dal 2 agosto 2026 si applicano gli obblighi di trasparenza, per lo più a carico dei fornitori dei sistemi; all’utilizzatore professionale ne restano soprattutto due. Chi genera o manipola un «deep fake», cioè immagini, audio o video che somigliano a persone, oggetti, luoghi, entità o eventi esistenti e che sembrerebbero falsamente autentici, deve dichiararne l’origine artificiale, anche quando è la foto realistica di un prodotto. Per le opere manifestamente creative o satiriche basta una segnalazione che non ne ostacoli la fruizione. Il testo generato con l’IA e pubblicato per informare il pubblico su questioni di interesse pubblico va dichiarato, salvo revisione umana con responsabilità editoriale. Un terzo obbligo, informare le persone esposte, riguarda il riconoscimento delle emozioni e la categorizzazione biometrica.

Secondo le linee guida della Commissione del luglio 2026, che non sono vincolanti, i deep fake generati prima del 2 agosto non vanno etichettati a ritroso, anche se la Commissione invita a farlo quando non richiede uno sforzo sproporzionato; per i testi su questioni di interesse pubblico conta la pubblicazione, e se escono dal 2 agosto in poi vanno dichiarati. Chi ha un assistente virtuale sul sito controlli che l’utente sia avvisato di parlare con una macchina: l’obbligo è del fornitore, ma chi mette in servizio con il proprio nome un assistente costruito su un modello di terzi può essere considerato fornitore a sua volta, e conviene chiarirlo nel contratto.

Le pratiche vietate

I divieti dell’articolo 5, in vigore dal 2 febbraio 2025, sono per lo più lontani da una piccola impresa, salvo uno: il riconoscimento delle emozioni sul luogo di lavoro, vietato salvo ragioni mediche o di sicurezza, come fanno certi software di monitoraggio dell’umore dei dipendenti. Dal 2 dicembre 2026 è vietato anche generare immagini intime di persone riconoscibili senza consenso.

Professionisti: l’informativa al cliente

Per l’articolo 13 della legge 132/2025, nelle professioni intellettuali l’IA serve solo a supporto, con prevalenza del lavoro del professionista, e i sistemi utilizzati vanno comunicati al cliente con linguaggio chiaro, semplice ed esaustivo. Il testo non parla di albi, e se la regola riguardi anche le professioni non organizzate in ordini è discusso. Non c’è una forma prescritta né una sanzione propria, ma l’omissione può pesare sul piano deontologico e della diligenza: la lettera d’incarico è la sede più prudente.

Datori di lavoro: l’informativa ai dipendenti

L’articolo 11 della stessa legge obbliga il datore di lavoro a informare il lavoratore dell’uso dell’IA nei casi e con le modalità dell’articolo 1-bis del decreto legislativo 26 maggio 1997, n. 152: solo per i sistemi decisionali o di monitoraggio integralmente automatizzati che incidono su assunzione, gestione del rapporto, mansioni, sorveglianza o valutazione. L’assistente usato per scrivere preventivi non la fa scattare; il software che assegna turni o valuta le prestazioni senza intervento umano sì, e l’informativa va data prima dell’avvio, anche alle rappresentanze sindacali e ai collaboratori coordinati e continuativi. Restano fermi i limiti dello Statuto dei lavoratori al controllo a distanza. Gli obblighi europei per i sistemi ad alto rischio usati nella gestione del personale si applicheranno dal 2 dicembre 2027.

I dati dei clienti caricati nei sistemi

Caricare in un assistente la pratica di un cliente è un trattamento soggetto al regolamento (UE) 2016/679. Per il servizio specifico vanno verificati l’accordo con il fornitore come responsabile del trattamento ai sensi dell’articolo 28, il trasferimento dei dati fuori dall’Unione e l’uso dei contenuti per addestrare il modello. Le versioni gratuite di regola non prevedono quell’accordo: non vanno usate con dati dei clienti. Con dati sanitari serve più cautela; per i professionisti vale anche il segreto professionale.

Che cosa verificare, in pratica

• Quali strumenti di IA si usano davvero, con quale account e con quali dati.
• Una breve istruzione interna sui rischi, con traccia di chi l’ha ricevuta.
• Per i professionisti, una clausola nella lettera d’incarico sugli strumenti di IA usati.
• Se un software decide o monitora in modo automatico turni, compiti o valutazioni, l’informativa dell’articolo 1-bis.
• Per i contenuti realistici generati con l’IA dal 2 agosto 2026 e pubblicati, l’indicazione che sono artificiali; per quelli precedenti resta comunque utile.

Le indicazioni di questa pagina hanno carattere informativo e danno conto della normativa vigente alla data di pubblicazione; non sostituiscono l’esame della singola posizione, che può presentare profili qui non trattati.