Intelligenza artificiale: AI Act e legge italiana (L. 132/2025)

Il regolamento europeo: che cosa vieta e che cosa impone

L'AI Act è entrato in vigore il 1° agosto 2024 e applica un approccio basato sul rischio. Al livello più alto ci sono le pratiche vietate dell'art. 5, applicabili dal 2 febbraio 2025 insieme all'obbligo di garantire un livello adeguato di alfabetizzazione del personale: manipolazione subliminale o ingannevole che distorce il comportamento causando un danno significativo, sfruttamento delle vulnerabilità legate all'età, alla disabilità o alla situazione sociale, punteggio sociale, valutazione del rischio di commettere reati basata solo sulla profilazione o sui tratti della personalità, creazione di banche dati di riconoscimento facciale mediante scraping non mirato di immagini da internet o dalle telecamere, riconoscimento delle emozioni sul luogo di lavoro e negli istituti di istruzione, categorizzazione biometrica per dedurre dati sensibili, identificazione biometrica remota in tempo reale in spazi accessibili al pubblico a fini di attività di contrasto, salvo le eccezioni tassative con autorizzazione. Dal 2 agosto 2025 si applicano gli obblighi per i modelli di IA per finalità generali, che devono avere documentazione tecnica, informazioni per i fornitori a valle, una policy sul rispetto del diritto d'autore e una sintesi sufficientemente dettagliata dei contenuti usati per l'addestramento, con obblighi rafforzati di valutazione e mitigazione per i modelli con rischio sistemico. Dal 2 agosto 2026 si applica la maggior parte delle altre disposizioni, compresi gli obblighi di trasparenza dell'art. 50: chi interagisce con un sistema di IA deve saperlo, i contenuti sintetici vanno marcati in modo leggibile dalle macchine e i deepfake vanno dichiarati. Gli obblighi più pesanti riguardano i sistemi ad alto rischio, quelli elencati nell'allegato III, come i sistemi usati per la selezione del personale, l'accesso al credito, l'istruzione, i servizi essenziali e la giustizia, e quelli incorporati in prodotti già regolati dalla normativa di sicurezza dell'allegato I: sistema di gestione dei rischi, qualità dei dati, documentazione, registrazione degli eventi, sorveglianza umana, accuratezza e cibersicurezza, valutazione di conformità e marcatura. Le date originarie, 2 agosto 2026 per l'allegato III e 2 agosto 2027 per l'allegato I, sono state differite dal pacchetto omnibus sull'intelligenza artificiale, sul quale Parlamento e Consiglio hanno raggiunto un accordo politico il 7 maggio 2026: l'allegato III slitta al 2 dicembre 2027 e l'allegato I al 2 agosto 2028, mentre dal 2 dicembre 2026 si applica un nuovo divieto relativo alla generazione di immagini intime non consensuali e di materiale pedopornografico. Poiché il testo modificativo è recentissimo, conviene verificarne gli estremi di pubblicazione prima di costruirci sopra un piano di conformità. Le sanzioni arrivano a 35 milioni di euro o al 7 per cento del fatturato mondiale per le pratiche vietate e a 15 milioni o al 3 per cento per gli altri obblighi.

La legge italiana 132/2025

La legge non ripete il regolamento e non introduce un sistema sanzionatorio generale, che arriverà con i decreti delegati: sceglie alcuni settori e vi impone regole di uso. Le due più incisive per i privati sono l'art. 13 sulle professioni, che vieta di far svolgere all'IA la prestazione intellettuale e obbliga a informare il cliente, e l'art. 4 c. 4, che richiede il consenso genitoriale per l'accesso dei minori di quattordici anni. Nel lavoro e nella pubblica amministrazione i principi si sommano agli obblighi di informazione già previsti dal decreto trasparenza e alle regole sui controlli a distanza.

I reati e la responsabilità per i danni

La modifica penale più rilevante è il nuovo art. 612-quater del codice penale: chi cagiona un danno ingiusto a una persona cedendo, pubblicando o altrimenti diffondendo, senza il suo consenso, immagini, video o voci falsificati o alterati mediante sistemi di intelligenza artificiale e idonei a indurre in inganno sulla loro genuinità, è punito con la reclusione da uno a cinque anni; il delitto è a querela della persona offesa, ma si procede d'ufficio se il fatto è connesso ad altro delitto procedibile d'ufficio, se è commesso contro una persona incapace per età o infermità o contro una pubblica autorità a causa delle funzioni. È la risposta ai deepfake diffamatori e alle voci clonate usate per truffe e ricatti, e si affianca al revenge porn dell'art. 612-ter. A questo si aggiunge una nuova aggravante comune, l'art. 61 n. 11-undecies, per il fatto commesso mediante l'impiego di sistemi di IA quando questi, per natura o modalità di utilizzo, hanno costituito mezzo insidioso, hanno ostacolato la pubblica o privata difesa o hanno aggravato le conseguenze del reato; la sostituzione di persona commessa con IA è aggravata dall'art. 294 con la reclusione da due a sei anni; sono previste aggravanti anche per l'aggiotaggio, la manipolazione del mercato e le violazioni del diritto d'autore commesse con sistemi di IA, compresa l'estrazione illecita di testi e dati. Sul piano civile non esiste ancora una disciplina speciale: la proposta di direttiva europea sulla responsabilità civile da IA è stata ritirata nel 2025, e i danni si valutano con gli strumenti ordinari, la responsabilità per fatto illecito, quella per l'esercizio di attività pericolose quando ne ricorrono i presupposti, la responsabilità del produttore per prodotto difettoso secondo la disciplina aggiornata che include il software, e il contratto con il fornitore. Per chi usa l'IA nella propria attività il punto è semplice: la responsabilità verso il cliente resta sua, e l'errore dello strumento non è una scusante ma un difetto di controllo.

Che cosa fare

1. Mappare i sistemi di IA usati e il proprio ruolo: fornitore, deployer, importatore o distributore; identificare quelli ad alto rischio e quelli soggetti a trasparenza.
2. Verificare i divieti dell'art. 5, già applicabili, in particolare riconoscimento delle emozioni sul lavoro, categorizzazione biometrica e scraping di volti.
3. Formare il personale e documentare la formazione; nominare responsabili e definire procedure di controllo umano.
4. Informare: clienti nelle professioni (art. 13), lavoratori, utenti dei chatbot e destinatari di contenuti sintetici, con marcatura dei contenuti generati.
5. Contrattualizzare: garanzie del fornitore su conformità, dati di addestramento, diritto d'autore, sicurezza e indennizzi; valutare le implicazioni privacy con la valutazione d'impatto.

Fino al 2026 l'IA è regolata soprattutto da divieti e trasparenza; gli obblighi pesanti sull'alto rischio arriveranno nel 2027 e nel 2028, e in Italia la legge 132/2025 ha già fissato chi decide e chi risponde. Il valore giuridico dei documenti firmati e generati è nella pagina sulla firma elettronica; la rimozione dei contenuti illeciti nella pagina sulla responsabilità delle piattaforme; i controlli sui lavoratori nella pagina sulla privacy del lavoratore; la diffusione di immagini intime nella pagina sul revenge porn.