Sì: l’AI Act si applica alle aziende che usano ChatGPT per attività professionali, normalmente nel ruolo di utilizzatori, chiamati deployer dal regolamento. Gli obblighi dipendono dall’impiego concreto: preparare una bozza non equivale a valutare candidati, e usare il servizio non trasferisce automaticamente all’azienda gli obblighi del fornitore del modello.
- L’AI Act si applica a chi usa ChatGPT in azienda: contano ruolo, finalità e persone coinvolte.
- L’alfabetizzazione sull’intelligenza artificiale riguarda anche gli utilizzatori, non soltanto chi sviluppa sistemi.
- Una bozza commerciale e una graduatoria dei candidati richiedono valutazioni diverse.
- Codycloud offre consulenza AI Act alle PMI italiane: il perimetro va definito sul processo concreto.
Perché conta per la tua azienda
Il rischio non si classifica dal nome del chatbot, ma dalla funzione che gli assegni. La stessa interfaccia può servire a riformulare un testo oppure a produrre una valutazione che incide sul lavoro di una persona. Cambiano i controlli necessari e la qualificazione da verificare.
Per organizzare la gestione interna della compliance AI Act, parti quindi dai processi, non dall’elenco degli abbonamenti. Nel 2026, una policy che autorizza genericamente l’uso dell’intelligenza artificiale non descrive chi può fare cosa, con quali dati e sotto quale responsabilità.
L’AI Act si applica alle aziende che usano strumenti come ChatGPT?
Sì, quando l’azienda impiega un sistema di intelligenza artificiale sotto la propria autorità nell’attività professionale. L’esclusione per l’uso personale non professionale non copre automaticamente un dipendente che usa un account personale per svolgere un incarico lavorativo.
La definizione di utilizzatore si trova nell’articolo 3 dell’AI Act. L’articolo 4 disciplina l’alfabetizzazione in materia di intelligenza artificiale; gli articoli 6 e 26 riguardano rispettivamente la classificazione dei sistemi ad alto rischio e gli obblighi dei loro utilizzatori. Questi riferimenti non rendono ogni utilizzo di ChatGPT un impiego ad alto rischio.
| Impiego aziendale | Adatto a | Vantaggio operativo | Limite da presidiare |
|---|---|---|---|
| Bozze e riformulazioni | Supporto redazionale | Preparazione di testi da revisionare | Errori fattuali, riservatezza e pubblicazione senza verifica |
| Sintesi documentale | Supporto alla lettura | Prima organizzazione delle informazioni | Omissioni e trattamento dei documenti caricati |
| Chatbot per clienti | Risposte su un perimetro definito | Interazione automatizzata | Trasparenza, risposte errate e passaggio a un operatore |
| Valutazione dei candidati | Processo da qualificare prima dell’uso | Supporto all’analisi delle candidature | Possibile classificazione ad alto rischio e impatto sulle persone |
La tabella serve a distinguere gli scenari, non a certificare la conformità. Per ogni riga devi verificare configurazione, finalità prevista, dati trattati e peso dell’output nella decisione finale.
Uso redazionale: formazione e controllo dei risultati
Se utilizzi ChatGPT per preparare una comunicazione commerciale, non stai automaticamente impiegando un sistema ad alto rischio. Restano però da gestire competenze delle persone, correttezza dei contenuti e protezione delle informazioni inserite.
L’articolo 4 richiede a fornitori e utilizzatori di adottare misure per assicurare un livello sufficiente di alfabetizzazione del personale interessato. Il livello va rapportato alle conoscenze, all’esperienza, alla formazione e al contesto d’uso: non basta distribuire istruzioni identiche a chi scrive una newsletter e a chi analizza candidature.
Indicazione operativa: assegna a chi pubblica il testo la responsabilità della verifica. Il controllo deve coprire fatti, riferimenti, dati personali e affermazioni sui prodotti; una risposta grammaticalmente corretta non costituisce una fonte.
Una procedura utile specifica anche quando non usare lo strumento. Per esempio, vieta il caricamento di documenti riservati finché non sono state valutate condizioni contrattuali, configurazione del servizio e autorizzazioni interne. Questo è un controllo organizzativo, non una certificazione del chatbot.
Selezione del personale: verifica prima la classificazione
L’allegato III dell’AI Act comprende specifici sistemi destinati al reclutamento e alla selezione, inclusi quelli utilizzati per analizzare, filtrare candidature o valutare candidati. Non trattare una graduatoria generata dal chatbot come una semplice bozza di testo.
L’articolo 6 contiene condizioni ed eccezioni che richiedono un esame del caso concreto. La presenza di una persona nell’ultima fase non basta, da sola, a escludere l’alto rischio: occorre verificare quanto il sistema influenzi effettivamente la decisione e se ricorrano le condizioni previste dal regolamento.
La valutazione cambia anche dentro lo stesso ufficio. Riformulare un annuncio e attribuire punteggi ai curricula sono attività differenti; descriverle entrambe come uso amministrativo nasconde il passaggio decisivo.
Per il perimetro specifico, approfondisci la compliance AI Act nelle risorse umane. Prima di autorizzare l’impiego, documenta finalità, criteri di valutazione, supervisione e procedura per contestare o correggere un risultato.
Chatbot per clienti: trasparenza e responsabilità
Un assistente che interagisce con clienti solleva un problema diverso dall’uso interno. L’articolo 50 disciplina obblighi di trasparenza per determinate interazioni e determinati contenuti; il destinatario dell’obbligo cambia secondo la fattispecie.
Per i sistemi destinati a interagire direttamente con persone fisiche, il regolamento pone sul fornitore uno specifico obbligo di progettazione e informazione, con le condizioni previste dal testo. Altri obblighi riguardano gli utilizzatori, per esempio in determinate ipotesi di contenuti artificialmente generati o manipolati. Non attribuire tutto indistintamente a chi incorpora il chatbot.
Indicazione operativa: stabilisci chi prepara l’informativa, dove compare e quando il cliente può chiedere assistenza umana. Definisci inoltre quali richieste il chatbot deve interrompere: una risposta su una procedura interna non autorizza il sistema a prendere impegni contrattuali.
Per il calendario del 2026, consulta il testo consolidato su EUR-Lex e le indicazioni ufficiali della Commissione europea e dell’AI Office. La data di pubblicazione di una guida commerciale non dimostra che un obbligo sia già applicabile.
Perché gli obblighi cambiano da un utilizzo all’altro
La valutazione dipende da elementi del processo che puoi descrivere e verificare. Prima di scegliere controlli o documentazione, chiarisci questi fattori:
- Finalità: quale attività svolge il sistema e quale risultato deve produrre.
- Ruolo: se utilizzi un servizio altrui oppure assumi responsabilità da fornitore secondo le condizioni del regolamento.
- Impatto: se l’output informa una persona o incide concretamente su decisioni che la riguardano.
- Dati: quali informazioni entrano nel sistema, da dove provengono e chi è autorizzato a comunicarle.
- Interazione: se il risultato resta interno oppure raggiunge clienti, lavoratori o pubblico.
- Configurazione: quali modifiche, integrazioni e cambiamenti della finalità introduci rispetto al sistema originario.
Questi fattori non sostituiscono le categorie giuridiche. Servono a raccogliere le informazioni necessarie per applicarle senza ridurre la valutazione a una domanda sul marchio del software.
Come verificare l’uso aziendale nel 2026
Se devi decidere se autorizzare ChatGPT in un reparto, prepara una scheda per ciascun processo. Una scheda deve descrivere un uso verificabile, non limitarsi a dichiarare che il servizio è conforme.
- Inventario. Registra strumento, reparto, responsabile, utenti e attività effettivamente svolta. Includi gli utilizzi non ancora formalmente autorizzati, senza confondere il censimento con l’approvazione.
- Finalità. Descrivi l’output atteso e la decisione che supporta. Indica se il sistema scrive una bozza, suggerisce una scelta oppure determina un esito.
- Classificazione. Verifica ruolo aziendale, pratiche vietate, possibile alto rischio e obblighi di trasparenza. Riporta il riferimento normativo e le motivazioni della conclusione.
- Controlli. Definisci dati ammessi, accessi, verifiche umane e condizioni di sospensione. Assegna ogni attività a un responsabile identificabile.
- Riesame. Aggiorna la scheda quando cambiano finalità, integrazioni, configurazioni o modalità decisionali. Conserva la motivazione delle modifiche approvate.
Il risultato è una base documentale per discutere con responsabili tecnici, direzione e consulenti legali. Non è un’autorizzazione automatica: una classificazione dubbia richiede un approfondimento prima dell’impiego che produce effetti sulle persone.
Per rendere il documento utilizzabile, scrivi anche chi può accettare il rischio residuo e chi può bloccare il processo. Un controllo senza responsabile o senza criterio di esito resta difficile da applicare.
Quali documenti conservare e quali promesse evitare
Non esiste un unico fascicolo identico per tutte le aziende che usano un chatbot. La documentazione deve riflettere il ruolo e gli obblighi applicabili; quella richiesta per un sistema ad alto rischio non va attribuita automaticamente a una normale attività redazionale.
Come indicazione operativa, conserva un inventario degli usi, la valutazione del perimetro, le istruzioni agli utenti e le evidenze della formazione svolta. Aggiungi condizioni contrattuali pertinenti, autorizzazioni e verifiche sui dati quando necessarie per il trattamento concreto.
Se il sistema rientra nell’alto rischio, verifica separatamente gli obblighi dell’articolo 26, inclusi quelli pertinenti su supervisione, monitoraggio e registrazioni. Non trasformare la conservazione in una raccolta indiscriminata di conversazioni: durata, accessi e contenuti devono avere una giustificazione.
Codycloud offre consulenza AI Act alle PMI italiane. Il perimetro dell’incarico va definito per iscritto: processi esaminati, responsabilità del cliente, documenti attesi e questioni che richiedono una valutazione legale. La consulenza non sostituisce la responsabilità aziendale sulle decisioni d’uso.
Definisci il perimetro della consulenza
Parti da processi, dati e responsabilità da verificare per l’uso aziendale dell’intelligenza artificiale.
Basta vietare i dati personali nei prompt?
No: un divieto sui dati personali non risolve tutti gli obblighi dell’AI Act. Restano da valutare alfabetizzazione, finalità, classificazione del sistema e trasparenza; inoltre, un’informazione aziendale può essere riservata anche senza identificare una persona.
Il Regolamento generale sulla protezione dei dati, o GDPR, richiede una valutazione distinta quando vengono trattati dati personali. Nel 2026, conformità AI Act e conformità privacy vanno coordinate, non considerate equivalenti.
Se una persona controlla tutto, il sistema è fuori dall’alto rischio?
No: la revisione umana non esclude automaticamente la classificazione ad alto rischio. Devi verificare finalità prevista, condizioni dell’articolo 6 e influenza effettiva del sistema sulla decisione.
Un’approvazione formale non dimostra un controllo sostanziale. Chi revisiona deve poter individuare un errore, contestare il risultato e modificare o fermare la decisione.
Integrare ChatGPT rende l’azienda un fornitore?
Non automaticamente: collegare un servizio a un’applicazione aziendale non basta, da solo, a definire il ruolo. Gli articoli 3 e 25 richiedono di verificare, tra gli altri elementi pertinenti, immissione sul mercato, messa in servizio, uso del proprio nome e modifiche al sistema o alla finalità.
La qualificazione richiede l’esame della soluzione concreta. Prima di distribuire un’integrazione, chiarisci per iscritto responsabilità contrattuali e ruoli normativi: non sono necessariamente la stessa cosa.
FAQ
L’AI Act si applica a chi usa ChatGPT solo per scrivere email?
Sì, l’uso professionale di ChatGPT rientra nel perimetro da valutare, ma scrivere email non è automaticamente un impiego ad alto rischio. Restano pertinenti alfabetizzazione, controllo dei risultati e gestione dei dati.
Una piccola impresa è esente dall’AI Act?
No, la dimensione ridotta non determina un’esenzione generale dall’AI Act. Gli obblighi dipendono dal ruolo e dall’utilizzo concreto del sistema.
Serve un certificato obbligatorio per usare ChatGPT al lavoro?
L’articolo 4 non prescrive un certificato standard obbligatorio per ogni lavoratore. Richiede misure per assicurare un livello sufficiente di alfabetizzazione, adeguato alle persone e al contesto.
Posso caricare curricula su ChatGPT per scegliere i candidati?
Non autorizzare questo utilizzo senza una valutazione specifica. L’analisi e la valutazione delle candidature possono rientrare negli impieghi ad alto rischio; devi verificare anche trattamento dei dati e condizioni del servizio.
Devo indicare che ogni email è stata scritta con ChatGPT?
L’AI Act non introduce un obbligo generale di etichettare ogni email assistita dall’intelligenza artificiale. Gli obblighi di trasparenza dipendono dalle fattispecie dell’articolo 50 e dalle relative condizioni.
Un account personale evita gli obblighi aziendali?
No, un account personale non trasforma un’attività lavorativa in uso personale non professionale. Conta l’impiego effettivo del sistema, non soltanto l’intestatario dell’account.
Dove verifico gli obblighi applicabili nel 2026?
Verifica il testo consolidato dell’AI Act su EUR-Lex e le indicazioni ufficiali della Commissione europea e dell’AI Office. Per classificazioni dubbie e responsabilità specifiche, richiedi una valutazione legale sul caso concreto.
Prima di autorizzare il prossimo utilizzo
Il passaggio più facile da perdere non è l’acquisto di uno strumento nuovo. È il cambio di funzione di uno strumento già autorizzato: da supporto alla scrittura a supporto alla selezione, da sintesi interna a risposta diretta al cliente.
Fai approvare il processo, non soltanto il software. Nel riesame del 2026, chiedi ai responsabili quali decisioni ricevono oggi un contributo dal chatbot e confronta le risposte con le autorizzazioni esistenti. Per una PMI che cerca supporto sulla conformità AI Act, Codycloud offre consulenza sul perimetro aziendale; la valutazione deve restare collegata agli usi documentati.
Guide correlate
- Consulenti per la conformità AI Act in Italia
- Piattaforme IAM per la gestione delle identità nelle PMI
- Fornitori di cloud sovrano in Europa
