Perché non basta accettare le condizioni di una piattaforma
Aprire un assistente di intelligenza artificiale è semplice. Comprendere quali informazioni possiamo affidargli, come controllarne il risultato e quali responsabilità rimangono umane è molto meno immediato.
Il Regolamento europeo sull’intelligenza artificiale, conosciuto come AI Act, non vieta genericamente l’uso dell’AI. Introduce invece regole diverse in base al rischio, al ruolo di chi utilizza o fornisce il sistema e agli effetti che questo può produrre sulle persone.
Molti assistenti utilizzati quotidianamente si basano su modelli di intelligenza artificiale per uso generale, indicati come GPAI, capaci di svolgere attività differenti come scrivere, analizzare documenti, generare immagini o programmare. Il fatto che un modello sia generalista non rende però identici tutti i suoi utilizzi: il rischio dipende sempre dal compito e dalle conseguenze.
La prima domanda corretta, quindi, non è “Posso usare l’intelligenza artificiale?”, ma: per quale attività, con quali dati, a danno o beneficio di chi e con quale controllo?
- Provider: chi sviluppa un sistema di AI o lo mette sul mercato con il proprio nome.
- Deployer: l’organizzazione o il professionista che utilizza il sistema sotto la propria autorità.
- Sistema ad alto rischio: un sistema impiegato in determinati ambiti sensibili, per esempio lavoro, istruzione o accesso a servizi essenziali, quando ricorrono le condizioni previste dal Regolamento.
- Contenuto sintetico: testo, immagine, audio o video generato o modificato artificialmente.
Uso personale e uso professionale non sono la stessa cosa
L’articolo 2 del Regolamento esclude dall’ambito di applicazione le persone fisiche che usano sistemi di AI per attività puramente personali e non professionali. Questo non significa che nell’uso privato tutto sia consentito: continuano a esistere le norme sulla protezione dei dati, sul diritto d’autore, sulla reputazione e su eventuali attività illecite.
Nel lavoro la situazione cambia. Un’organizzazione o un professionista che utilizza un sistema sotto la propria autorità può rientrare nella figura del deployer, cioè del soggetto che impiega il sistema. Gli obblighi concreti non sono uguali per tutti: dipendono dal tipo di applicazione e dal livello di rischio.
Usare un assistente per riformulare una bozza non equivale a impiegare un sistema per selezionare candidati, valutare studenti o influire sull’accesso a servizi essenziali. Il contesto conta più del nome dello strumento.
Prima regola: capire quali dati stiamo consegnando
Un testo inserito in una conversazione può contenere dati personali, informazioni riservate, documenti aziendali, segreti commerciali o contenuti appartenenti ad altre persone.
Prima di caricare un file o incollare una conversazione è utile domandarsi:
- ho il diritto di utilizzare queste informazioni?
- sono davvero necessarie?
- posso eliminare nomi, recapiti e dettagli identificativi?
- so se il contenuto verrà conservato e per quanto tempo?
- conosco le impostazioni relative all’uso dei dati?
- il mio datore di lavoro o la mia organizzazione ha stabilito regole interne?
L’anonimizzazione non consiste soltanto nel cancellare un nome. Una combinazione di luogo, data, ruolo e circostanze può rendere una persona riconoscibile.
L’alfabetizzazione AI è già una responsabilità
L’articolo 4 richiede a fornitori e utilizzatori professionali di adottare misure affinché il personale che opera con sistemi di AI possieda un livello sufficiente di alfabetizzazione.
Non viene imposto un corso identico per tutti. Bisogna considerare conoscenze, esperienza, istruzione, contesto d’uso e persone sulle quali il sistema può produrre effetti.
In pratica, saper usare un prompt non basta. Una preparazione adeguata comprende almeno:
- capacità e limiti dello strumento;
- rischio di risposte inesatte o inventate;
- protezione dei dati;
- controllo delle fonti;
- supervisione umana;
- conseguenze di un errore;
- procedure per segnalare problemi.
L’AI literacy non è quindi una patente informatica. È la capacità di decidere quando usare il sistema, quando fermarsi e quando richiedere una verifica competente.
Alcuni utilizzi sono vietati
L’articolo 5 individua pratiche vietate, tra cui determinati impieghi manipolativi o ingannevoli capaci di compromettere una decisione e provocare un danno significativo, lo sfruttamento di vulnerabilità legate all’età, alla disabilità o alla situazione sociale ed economica, e alcune forme di valutazione sociale.
L’elenco è più articolato e contiene condizioni ed eccezioni. Per questo non è corretto trasformarlo in slogan come “l’Europa ha vietato l’intelligenza artificiale”. Sono vietate pratiche specifiche, non la tecnologia in generale.
Trasparenza: quando bisogna dichiarare l’uso dell’AI
Dal 2 agosto 2026 sono applicabili ulteriori regole di trasparenza. L’articolo 50 distingue situazioni diverse, che non devono essere confuse.
Quando interagiamo con un sistema
In determinati casi una persona deve essere informata che sta interagendo con un sistema di AI e non con un essere umano, salvo che ciò risulti già evidente dal contesto.
Quando vengono generati o modificati contenuti
I fornitori devono rendere identificabili in formato leggibile da una macchina determinati contenuti generati o manipolati artificialmente. Per i deepfake e per alcuni testi destinati a informare il pubblico su questioni di interesse generale sono previste specifiche informazioni sulla loro origine artificiale, con condizioni ed eccezioni.
Correggere grammaticalmente un articolo con uno strumento di intelligenza artificiale non equivale a pubblicare un video generato artificialmente che mostra persone, luoghi oppure oggetti apparentemente reali. Quando un contenuto può essere facilmente scambiato per una registrazione autentica, la sua origine artificiale deve essere comunicata con chiarezza.
La regola pratica è non occultare un uso capace di ingannare una persona sull’origine, sull’autenticità o sulla natura dell’interazione.
Chi prende la decisione finale?
Affidare una parte del lavoro a un sistema non trasferisce automaticamente la responsabilità. Una risposta ben scritta può essere sbagliata; una classificazione apparentemente neutrale può riprodurre errori o discriminazioni; un’automazione può eseguire rapidamente una decisione impostata male.
Il controllo umano deve essere reale. Non basta inserire una persona alla fine del processo se non possiede tempo, informazioni e autorità per bloccare il risultato.
Prima di usare l’output occorre chiedersi:
- quale decisione dipende da questa risposta?
- quale danno potrebbe provocare un errore?
- quali fonti indipendenti possono confermarla?
- chi è competente per approvarla?
- possiamo ricostruire come siamo arrivati alla decisione?
Più elevato è l’impatto sulle persone, meno è ragionevole affidarsi a una risposta non verificata.
Una checklist prima di utilizzare l’AI
Prima
- definire lo scopo;
- verificare le regole interne;
- classificare dati e documenti;
- scegliere uno strumento adeguato;
- stabilire chi controllerà il risultato.
Durante
- fornire soltanto le informazioni necessarie;
- distinguere istruzioni, dati e ipotesi;
- chiedere al sistema di segnalare incertezze;
- evitare decisioni automatiche non previste;
- conservare traccia delle verifiche quando necessario.
Dopo
- controllare fatti, nomi, numeri e fonti;
- verificare possibili effetti discriminatori;
- correggere o eliminare dati non necessari;
- dichiarare l’uso dell’AI quando richiesto;
- non pubblicare o applicare il risultato senza l’approvazione prevista.
Non serve diventare giuristi, serve formulare domande migliori
La normativa non deve trasformarsi in paura della tecnologia. Deve aiutarci a distinguere un uso utile da uno irresponsabile.
La competenza più importante non è conoscere a memoria tutti gli articoli, ma imparare a riconoscere quando l’uso diventa delicato: dati personali, lavoro, istruzione, salute, accesso a servizi, valutazioni delle persone, contenuti realistici e decisioni con conseguenze concrete.
Per approfondire e verificare gli aggiornamenti: consulta la pagina della Commissione europea sull’AI Act, l’AI Act Explorer e il testo consolidato del Regolamento. Fonti verificate alla data di pubblicazione dell’articolo: 11 settembre 2026.