Foto ritoccate, descrizioni prodotto, chatbot su WhatsApp, risposte alle recensioni. Il problema non è l'IA: è che nessuno ti ha detto cosa devi scrivere sotto.
L'AI Act ti riguarda non come impresa tecnologica ma come utilizzatore. La legge chiama questo ruolo deployer e gli assegna obblighi propri, diversi da quelli di chi l'IA la costruisce.
La parte pesante — documentazione tecnica, valutazioni di conformità, organismi notificati — non ti tocca quasi mai. Quello che ti tocca è più semplice e più noioso: dire le cose come stanno, sapere cosa stai usando, e assicurarti che chi lavora con te capisca cosa ha per le mani.
Invece di elencare gli articoli, guardiamo cosa succede in bottega.
Hai un assistente automatico sul sito, su Messenger o su WhatsApp Business. Il cliente scrive, risponde un sistema.
Cosa devi fare. Il cliente deve capire, al primo contatto, che sta parlando con una macchina. Non in fondo alle FAQ: nel momento in cui inizia la conversazione. Basta un messaggio di apertura chiaro.
L'obbligo tecnico di progettare il sistema in modo trasparente è del fornitore. Ma se compri un chatbot che si spaccia per una persona e lo metti online tu, il problema pratico diventa tuo.
Qui serve una distinzione che quasi tutti sbagliano.
Se usi l'IA per migliorare una foto reale — scontorno, luce, rimozione di un cavo elettrico dallo sfondo — non stai producendo un deepfake. Nessun obbligo di dichiarazione.
Se usi l'IA per generare o manipolare contenuti che rappresentano persone, luoghi o eventi reali in modo da sembrare autentici, sei nell'art. 50 c. 4 e devi dichiararlo. Casi che capitano: un modello generato che indossa il tuo prodotto e sembra una persona vera; un "prima e dopo" dove il dopo è un render; la vetrina del negozio ricostruita in IA e pubblicata come fotografia.
Cosa devi fare. Dichiarazione chiara alla prima esposizione: prima riga della caption o dicitura sull'immagine. Non in un hashtag in fondo ad altri venti.
Descrizioni prodotto, post promozionali e risposte alle recensioni scritti con l'IA non richiedono dichiarazione. L'obbligo sui testi riguarda quelli pubblicati per informare il pubblico su questioni di interesse pubblico: cronaca, salute, temi di rilevanza collettiva.
La descrizione di una sedia impagliata non è interesse pubblico. Un articolo sul blog del negozio di alimentari che spiega le proprietà di un integratore comincia ad avvicinarsi.
E anche in quei casi l'obbligo cade se il testo passa da una revisione umana sostanziale e una persona identificabile se ne assume la responsabilità editoriale. Cioè se fai quello che dovresti fare comunque.
Attenzione, perché qui non si parla di trasparenza ma di divieti, e i divieti sono in vigore da febbraio 2025.
L'art. 5 vieta i sistemi di riconoscimento delle emozioni sul luogo di lavoro, salvo motivi medici o di sicurezza. Se un fornitore ti propone una videosorveglianza che analizza lo stato emotivo dei dipendenti o misura l'attenzione del personale, stai comprando qualcosa che in Europa è vietato.
Vietato anche lo scraping non mirato di immagini facciali per costruire banche dati di riconoscimento.
Oltre all'AI Act qui si apre un fronte GDPR e Statuto dei lavoratori ben più stretto. Prima di firmare, fai leggere il contratto a qualcuno che se ne intende.
Se usi uno strumento IA per filtrare candidature sei in allegato III: sistema ad alto rischio. Gli obblighi scattano il 2 dicembre 2027, quindi hai tempo, ma non tantissimo: un percorso di conformità completo richiede in media fra 8 e 14 mesi.
Per un'impresa artigiana con tre dipendenti la risposta pratica è di solito un'altra: i curriculum leggili tu. Non è il punto in cui l'IA ti fa risparmiare abbastanza da giustificare il carico normativo.
Chiede alle organizzazioni di assicurare un livello adeguato di competenza sull'IA fra il personale che la usa. Vale per la multinazionale e vale per te con due dipendenti: cambia la profondità, non l'esistenza dell'obbligo. Il Digital Omnibus ha attenuato il verbo da "garantire" a "promuovere". È un alleggerimento, non una cancellazione.
In pratica significa tre cose:
E che tu possa dimostrarlo. Un foglio con data, nomi, argomenti e durata basta per un'impresa piccola. Non serve un corso certificato da diecimila euro, qualunque cosa dica chi te lo sta vendendo.
Gran parte della confusione nasce da qui, quindi vale la pena chiarire i confini.
E non è il GDPR. Sono due normative distinte che si sovrappongono in un punto preciso: i dati personali che finiscono dentro i sistemi IA. Quel punto, nella pratica di un'impresa piccola, è il rischio più concreto dei due. L'elenco clienti incollato in una chat per farci scrivere una newsletter è un problema di protezione dati, ed è quello che si vede più spesso.
Le violazioni degli obblighi di trasparenza possono costare fino a 15 milioni di euro o al 3% del fatturato mondiale annuo, a seconda di quale importo sia più alto. Le pratiche vietate arrivano più in alto.
Vale però la pena inquadrarle: le cifre dei regolamenti europei sono calibrate sulle grandi piattaforme, e l'applicazione è proporzionata alla gravità e alle dimensioni dell'impresa. Chi ti vende la conformità agitando i 15 milioni davanti a un negozio di ferramenta sta facendo leva sulla paura, non sull'informazione.
Il rischio realistico per te non è la multa europea. È il cliente che scopre che la foto del prodotto era generata, o il concorrente che segnala il tuo chatbot travestito da persona.
È lavoro da una giornata per la maggior parte delle imprese artigiane e commerciali. Non da un progetto di consulenza da seimila euro.