Policy sull’intelligenza artificiale

Enrico Giubertoni lavora sull’intelligenza artificiale applicata al marketing, e la usa anche per produrre il proprio lavoro. Questa pagina dice come, con gli articoli di legge accanto, perché un cliente ha diritto di saperlo prima di firmare e perché una legge italiana lo impone.

Il regolamento europeo sull’intelligenza artificiale, il regolamento (UE) 2024/1689 che tutti chiamano AI Act, divide chi sta nel mercato in ruoli. Enrico Giubertoni è un deployer, che è la parola che la traduzione ufficiale italiana lascia in inglese: all’articolo 3, punto 4, il deployer è «una persona fisica o giuridica […] che utilizza un sistema di IA sotto la propria autorità», fuori dall’uso personale. Usa strumenti fatti da altri, nel proprio lavoro professionale.

Non è un fornitore, che secondo l’articolo 3, punto 3, è chi sviluppa un sistema o lo fa sviluppare e lo mette sul mercato con il proprio nome o marchio, anche gratuitamente. La distinzione conta: se un giorno consegnasse a un cliente un assistente automatico con il proprio marchio, di quel sistema diventerebbe fornitore, con obblighi diversi, e questa pagina lo direbbe.

Le idee, la struttura e le decisioni di un progetto sono sue. L’intelligenza artificiale accelera un lavoro che resta suo, e ogni documento consegnato passa da una sua revisione riga per riga. Questa è anche la regola dell’articolo 13, comma 1, della legge 23 settembre 2025, n. 132, la legge italiana sull’intelligenza artificiale: nelle professioni intellettuali l’uso di questi sistemi «è finalizzato al solo esercizio delle attività strumentali e di supporto all’attività professionale e con prevalenza del lavoro intellettuale oggetto della prestazione d’opera».

L’articolo 13, comma 2, della stessa legge chiede che «le informazioni relative ai sistemi di intelligenza artificiale utilizzati dal professionista sono comunicate al soggetto destinatario della prestazione intellettuale con linguaggio chiaro, semplice ed esaustivo», e la ragione che la legge dà è il rapporto fiduciario. In pratica:

• all’inizio di un incarico il cliente riceve l’elenco degli strumenti di intelligenza artificiale che verranno usati e per quale parte del lavoro;
• nei materiali consegnati si indica dove l’intelligenza artificiale ha avuto un ruolo sostanziale, per esempio nell’analisi di un corpus di testi o nella prima stesura di un documento poi riscritto;
• se durante il progetto cambia lo strumento, il cliente lo sa prima, non dopo.

I dati riservati di un cliente, i suoi documenti e i suoi numeri restano fuori dai servizi di intelligenza artificiale pubblici. Quando un progetto richiede di elaborare dati del cliente con questi strumenti, si concorda per iscritto quale strumento, con quale trattamento dei dati e per quanto tempo, e quando ci sono dati personali l’accordo è quello previsto dall’articolo 28 del regolamento europeo 2016/679 sulla protezione dei dati, che vuole «istruzione documentata» del titolare e vieta di passare i dati ad altri senza una sua autorizzazione scritta.

Le misure concrete, cioè dove stanno i file, chi ha accesso, come si cancellano, sono quelle dell’articolo 32 dello stesso regolamento. Nei servizi che lo consentono, l’uso dei contenuti inseriti per addestrare i modelli è disattivato.

Nessuna valutazione di persone, nessuna selezione e nessun provvedimento nasce da un calcolo automatico: l’articolo 22 del regolamento europeo 2016/679 dà a chiunque «il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato», e in un progetto la decisione finale è sempre umana e attribuibile a una persona con un nome.

L’articolo 5 dell’AI Act elenca le pratiche vietate: tecniche subliminali o ingannevoli che distorcono il comportamento, sfruttamento delle vulnerabilità dovute a età, disabilità o condizione economica, punteggio sociale, previsione del rischio che una persona commetta un reato sulla base della sola profilazione, raccolta indiscriminata di volti da internet o dalle telecamere, categorizzazione biometrica che deduce convinzioni o orientamenti, identificazione biometrica a distanza in tempo reale negli spazi pubblici. Nessuna di queste fa parte del suo lavoro.

Una però va nominata per esteso, perché è l’unica che un consulente e formatore può incrociare davvero: la lettera f) vieta i sistemi che deducono le emozioni delle persone sul luogo di lavoro e negli istituti di istruzione, salvo motivi medici o di sicurezza. Nei percorsi di formazione non si usano strumenti che misurano l’attenzione, il coinvolgimento o lo stato d’animo dei partecipanti.

Un dato prodotto da un modello linguistico viene verificato alla fonte prima di entrare in un documento. I numeri, le citazioni e i riferimenti normativi portano la loro fonte, e quando una fonte manca la frase viene tolta. Questa pagina è un esempio del metodo: i testi del regolamento europeo e della legge italiana sono stati scaricati e letti articolo per articolo, e le frasi fra virgolette sono trascritte da quei testi.

L’articolo 50 dell’AI Act, che si applica dal 2 agosto 2026, mette l’obbligo di marcare i contenuti generati in capo al fornitore del sistema, e mette in capo al deployer due obblighi propri. Il primo riguarda le immagini, l’audio e i video manipolati che costituiscono un deep fake: se un materiale di questo tipo venisse prodotto per un cliente, sarebbe dichiarato. Il secondo riguarda il «testo pubblicato allo scopo di informare il pubblico su questioni di interesse pubblico», e lo stesso articolo esclude l’obbligo quando il contenuto «è stato sottoposto a un processo di revisione umana o di controllo editoriale e una persona fisica o giuridica detiene la responsabilità editoriale della pubblicazione».

Su questo sito la responsabilità editoriale è dichiarata e ha un nome: Enrico Giubertoni. Ogni articolo passa da una sua revisione, e i dati, le fonti e i collegamenti sono controllati prima della pubblicazione.

L’articolo 25 della legge 132/2025 ha modificato la legge sul diritto d’autore, la legge 633/1941, che ora protegge le opere dell’ingegno «umano» comprese quelle «create con l’ausilio di strumenti di intelligenza artificiale, purché costituenti risultato del lavoro intellettuale dell’autore». Gli output di un incarico stanno dentro questa definizione, e il diritto d’uso che il cliente riceve è quello descritto nel codice di condotta.

Non dichiara nessuna conformità certificata all’AI Act, perché per un professionista che usa strumenti di intelligenza artificiale quella certificazione non esiste: il regolamento prevede valutazione della conformità e marcatura soltanto per i sistemi ad alto rischio, e in capo a chi li fornisce. C’è di più, e conviene saperlo: il decreto legislativo 9 settembre 2026, n. 160, all’articolo 19, stabilisce che la conformità al regolamento, «anche se certificata», «non esclude di per sé la responsabilità». Un bollino non sostituisce il modo di lavorare, e questa pagina descrive il secondo.

Il quadro è cambiato di recente, e le date che circolano sono spesso quelle vecchie. Queste sono verificate sui testi ufficiali il 21 settembre 2026:

• Regolamento (UE) 2024/1689, l’AI Act: in vigore dal 1° agosto 2024, si applica in generale dal 2 agosto 2026. Le pratiche vietate e l’alfabetizzazione si applicano dal 2 febbraio 2025, le regole sui modelli per finalità generali e la governance dal 2 agosto 2025.
• Regolamento (UE) 2026/1744, l’Omnibus digitale sull’intelligenza artificiale, dell’8 luglio 2026 ed in vigore dal 27 luglio 2026: ha riscritto l’articolo 4 sull’alfabetizzazione, aggiunto due divieti all’articolo 5 che si applicano dal 2 dicembre 2026, e spostato le date dei sistemi ad alto rischio al 2 dicembre 2027 per quelli dell’allegato III e al 2 agosto 2028 per quelli dell’allegato I.
• Legge 23 settembre 2025, n. 132, la legge italiana sull’intelligenza artificiale, in vigore dal 10 ottobre 2025: all’articolo 3, comma 5, dichiara di non produrre nuovi obblighi rispetto al regolamento europeo, e all’articolo 13 pone quello che riguarda le professioni intellettuali.
• Decreto legislativo 9 settembre 2026, n. 160, in vigore dal 30 settembre 2026: fra le altre cose introduce nel processo civile la presunzione del nesso di causalità quando un danno deriva dalla violazione degli obblighi del regolamento.
• In Italia le autorità sono AgID come autorità di notifica e l’Agenzia per la cybersicurezza nazionale come autorità di vigilanza del mercato, secondo l’articolo 20 della legge 132/2025.

Questa pagina porta la data dell’ultima verifica sui testi ufficiali. Il pacchetto attuativo della legge italiana non è completo, quindi la pagina cambierà quando cambia la norma. Chi trova un riferimento sbagliato lo scriva all’indirizzo di posta elettronica nel piede del sito: una correzione su una pagina come questa vale più di un complimento.

Verificata il 21 settembre 2026 sui testi di EUR-Lex, Normattiva e Gazzetta Ufficiale.