Un software che seleziona candidature, un assistente che riassume documenti, un sistema che suggerisce una diagnosi o genera un’immagine: dietro attività molto diverse può esserci l’intelligenza artificiale. La legge italiana sull’intelligenza artificiale serve a fissare alcuni limiti e garanzie nazionali, ma va letta insieme al regolamento europeo noto come AI Act. Per chi usa questi strumenti, la domanda pratica non è soltanto quale tecnologia scegliere: è anche quando si può usare, con quali controlli e chi risponde delle conseguenze.

Che cos’è la legge italiana sull’intelligenza artificiale

La norma di riferimento è la legge 23 settembre 2025, n. 132, intitolata Disposizioni e deleghe al Governo in materia di intelligenza artificiale. È entrata in vigore il 10 ottobre 2025 e definisce un quadro generale per lo sviluppo, l’adozione e il controllo dell’IA in Italia.

Non sostituisce l’AI Act dell’Unione europea, il regolamento 2024/1689. Questa distinzione è essenziale: un regolamento europeo si applica direttamente negli Stati membri, mentre la legge italiana interviene soprattutto su aspetti interni, autorità competenti, settori sensibili e adeguamenti delle norme esistenti. In caso di dubbio, un’impresa o un professionista non dovrebbe quindi cercare una sola risposta in un solo testo.

L’impostazione della legge ruota attorno a principi comprensibili anche fuori dall’ambito tecnico: uso umano e responsabile, tutela dei diritti, sicurezza, trasparenza, protezione dei dati personali, non discriminazione e controllo delle decisioni che incidono sulle persone. Non significa che ogni strumento di IA debba essere spiegato riga per riga a chiunque lo utilizzi. Significa però che, quando una decisione può produrre effetti rilevanti, non deve diventare opaca solo perché è stata elaborata da un algoritmo.

Il rapporto con l’AI Act europeo

L’AI Act classifica i sistemi di intelligenza artificiale in base al rischio. Alcune pratiche sono vietate, altre possono essere utilizzate solo rispettando obblighi più stringenti. Un chatbot usato per organizzare appunti non presenta normalmente gli stessi rischi di un sistema che influenza l’accesso al lavoro, all’istruzione, al credito o a un servizio essenziale.

Le regole europee stanno diventando applicabili in più fasi. Dal febbraio 2025 si applicano, tra l’altro, i divieti relativi a determinate pratiche considerate inaccettabili e l’obbligo di promuovere un adeguato livello di alfabetizzazione sull’IA. Dal 2 agosto 2025 sono operative alcune disposizioni sui modelli di IA per finalità generali. La parte principale delle regole, incluse molte prescrizioni per i sistemi ad alto rischio, si applica dal 2 agosto 2026; per alcune categorie collegate a prodotti regolamentati la scadenza è successiva.

La legge italiana sull’intelligenza artificiale completa questo quadro. Individua ruoli nazionali di vigilanza e coordinamento e indica criteri per ambiti nei quali un errore non è un semplice inconveniente tecnico. Salute, lavoro, attività professionali, giustizia, informazione e tutela dei minori richiedono infatti attenzioni diverse. Non esiste una regola unica valida per ogni applicazione.

Il controllo umano non è una formalità

Uno dei punti più rilevanti è il principio della supervisione umana. L’IA può assistere una persona, proporre una valutazione, evidenziare anomalie e velocizzare procedure ripetitive. Non dovrebbe però trasformarsi nell’unico soggetto che decide su situazioni capaci di incidere in modo concreto su diritti, opportunità o condizioni personali.

Nella sanità, per esempio, un sistema può aiutare a leggere immagini, stimare probabilità o gestire dati clinici. La valutazione e la decisione restano comunque riconducibili al professionista sanitario, che deve poter capire il contesto e intervenire. Affidarsi senza verifica a un risultato generato da un sistema può ridurre i tempi, ma aumenta il rischio di errori non individuati, dati incompleti o risultati non adatti al singolo caso.

Lo stesso ragionamento vale per il lavoro. L’uso di sistemi automatizzati può contribuire a organizzare turni, filtrare candidature o analizzare flussi operativi, ma non deve ledere dignità, riservatezza o parità di trattamento. Un datore di lavoro che impiega questi strumenti deve valutare con attenzione quali dati entrano nel sistema, quali conseguenze produce l’output e se esiste un controllo reale prima di una decisione rilevante.

Il controllo umano, però, funziona solo se è effettivo. Inserire una firma finale dopo un processo totalmente automatizzato non basta, se la persona incaricata non ha tempo, competenze e informazioni per contestare il risultato. In pratica servono procedure chiare: chi verifica, con quali criteri, come può correggere un errore e come viene registrata la decisione finale.

Trasparenza: informare senza creare confusione

La trasparenza non coincide con la pubblicazione del codice sorgente. In molti casi non sarebbe utile né possibile, anche per ragioni di sicurezza e riservatezza commerciale. Ciò che conta è fornire alle persone coinvolte informazioni proporzionate: sapere che si sta interagendo con un sistema di IA, comprendere a grandi linee lo scopo del trattamento e conoscere i canali per chiedere chiarimenti o segnalare un problema.

Per contenuti artificialmente generati o modificati, come immagini, audio e video, diventano particolarmente importanti l’identificabilità e la provenienza. La legge affronta anche il rischio della diffusione illecita di contenuti alterati con l’IA quando provocano un danno ingiusto. Per chi pubblica contenuti, la cautela non riguarda soltanto le falsificazioni evidenti: anche un materiale realistico, condiviso senza contesto, può ingannare chi lo riceve.

Trasparenza vuol dire anche non presentare l’IA come infallibile. Un assistente testuale può inventare riferimenti, confondere date o usare un tono sicuro per un’affermazione errata. Un generatore di immagini può riprodurre stereotipi o inserire dettagli inesistenti. Dichiarare i limiti di uno strumento non ne riduce l’utilità: permette di usarlo per ciò che sa fare e di verificare ciò che non può garantire.

Dati personali, riservatezza e diritto d’autore

La disciplina dell’IA non elimina gli obblighi già previsti dal regolamento europeo sulla protezione dei dati, il GDPR. Se in un sistema vengono inseriti nominativi, documenti riservati, dati sanitari, informazioni su clienti o dati dei dipendenti, occorre chiedersi se il trattamento sia lecito, necessario e adeguatamente protetto.

Un errore frequente consiste nel copiare documenti interni in un chatbot pubblico per ottenerne un riassunto. Anche quando il risultato sembra utile, questa scelta può esporre informazioni che non dovrebbero lasciare l’organizzazione. La soluzione dipende dal servizio usato, dalle impostazioni contrattuali e tecniche, dal tipo di dati e dalle misure adottate. In presenza di dati sensibili o confidenziali, la prudenza deve essere maggiore.

La legge richiama inoltre la tutela delle opere dell’ingegno e del contributo umano. L’uso dell’IA nella produzione di testi, immagini, musica o software non rende automaticamente liberi da vincoli i materiali impiegati per addestrare o alimentare un sistema. Chi pubblica un contenuto generato dovrebbe verificare le condizioni del servizio, la provenienza degli elementi utilizzati e l’eventuale presenza di marchi, opere riconoscibili o dati personali.

Cosa dovrebbero fare imprese e professionisti

Non tutte le attività hanno bisogno dello stesso livello di documentazione. Un piccolo studio che usa l’IA per correggere bozze non affronta gli stessi rischi di un’azienda che la usa per valutare candidati. Tuttavia, alcune verifiche iniziali sono utili quasi sempre.

Prima di adottare un sistema, conviene definire lo scopo concreto: ridurre i tempi di risposta, classificare richieste, creare bozze o supportare un’analisi. Poi occorre individuare quali dati vengono inseriti, chi accede al servizio e se l’output viene controllato da una persona competente. È opportuno anche stabilire quando non usare lo strumento, ad esempio per documenti con dati particolarmente delicati o per decisioni che richiedono una valutazione individuale approfondita.

La formazione merita attenzione. L’alfabetizzazione sull’IA non richiede che tutti sappiano programmare, ma che chi la utilizza riconosca errori plausibili, limiti, rischi di riservatezza e possibili discriminazioni nei risultati. Una breve istruzione operativa, aggiornata quando cambia il servizio, può essere più utile di un divieto generico o di un uso lasciato interamente all’iniziativa personale.

Diritti e attenzione per chi subisce una decisione

Chi riceve una risposta, una valutazione o una decisione influenzata da un sistema di IA dovrebbe poter capire a chi rivolgersi. Questo è particolarmente rilevante quando l’esito è negativo o inatteso. Un canale umano per chiedere riesame non garantisce che ogni richiesta venga accolta, ma evita che una persona resti bloccata davanti a una decisione non spiegabile.

La qualità dei dati è un altro elemento decisivo. Un sistema può essere tecnicamente avanzato e produrre comunque risultati ingiusti se è addestrato su dati incompleti, vecchi o sbilanciati. Per questo la conformità non è un modulo da compilare una volta sola. Richiede controlli periodici, registrazione degli incidenti, correzioni e, quando necessario, la sospensione dell’uso.

Usare bene l’intelligenza artificiale non significa rinunciare alla velocità. Significa decidere dove la velocità è davvero un vantaggio e dove, invece, servono tempo, competenza e responsabilità umana. È da questa distinzione concreta che può nascere un uso più utile e più affidabile della tecnologia.