Il regolamento europeo sull’intelligenza artificialesi apre in una scheda nuova è scritto in gran parte per chi i sistemi li produce. Uno studio professionale non li produce: li usa. Le pagine che lo riguardano sono poche, e conviene sapere quali.
Il ruolo: non fornitore, ma utilizzatore
Il regolamento distingue fra chi immette sul mercato un sistema di intelligenza artificiale e chi lo utilizza sotto la propria autorità nell’ambito di un’attività professionale. Uno studio che compra un abbonamento a un assistente sta nella seconda categoria, quella che il regolamento chiama deployer.
La distinzione conta perché quasi tutti gli obblighi pesanti (valutazione di conformità, documentazione tecnica, sistema di gestione della qualità, marcatura) stanno dalla parte del fornitore. Un professionista che comprasse un sistema e lo rivendesse con il proprio marchio cambierebbe categoria, e quello è il caso da tenere a mente prima di aggiungere una funzione «assistita» a un servizio proprio.
Le date, in ordine
Il regolamento non è entrato in applicazione tutto insieme. Dal 2 febbraio 2025 valgono i divieti sulle pratiche vietate e l’articolo 4 sull’alfabetizzazione in materia di intelligenza artificiale. Dal 2 agosto 2025 valgono le regole sulla governance, quelle sui modelli per finalità generali e le sanzioni del capo XII. Dal 2 agosto 2026 si applicano la trasparenza dell’articolo 50 e il sistema sanzionatorio a regime, con le autorità nazionali pienamente operative.
E poi c’è la data che è cambiata dopo essere stata scritta. Il pacchetto detto digital omnibus, il regolamento (UE) 2026/1744si apre in una scheda nuova, pubblicato il 24 luglio 2026 ed entrato in vigore il 27, è la prima modifica di sostanza all’AI Act e ha spostato in avanti gli obblighi sui sistemi ad alto rischio: al 2 dicembre 2027 quelli dei sistemi autonomi dell’allegato III (biometria, lavoro, istruzione, credito, infrastrutture critiche, giustizia), e al 2 agosto 2028 quelli dei sistemi incorporati in prodotti dell’allegato I.
Per uno studio professionale il rinvio non cambia niente, ed è la cosa più utile da sapere: quegli obblighi riguardano l’alto rischio, e un assistente che riassume documenti non è un sistema ad alto rischio. Vale la pena conoscere la data lo stesso, perché è quella che spiega perché intorno al 2 agosto 2026 si è letto tutto e il contrario di tutto.
L’articolo 4, che è l’unico che riguarda tutti
L’alfabetizzazione è l’obbligo che si dimentica perché non produce un documento da consegnare a nessuno. L’articolo 4 chiede a fornitori e utilizzatori di adottare misure per garantire un livello sufficiente di competenza in materia di intelligenza artificiale al proprio personale e a chi utilizza i sistemi per loro conto, tenuto conto delle conoscenze, dell’esperienza e del contesto d’uso.
Per uno studio vuol dire che chi usa un assistente deve sapere che cosa fa e dove sbaglia. Non serve un corso universitario: serve che il praticante sappia che il modello inventa le citazioni e che il documento incollato esce. Quello che serve è che qualcuno gliel’abbia detto, e che si possa dimostrare.
Che cosa vuol dire «alfabetizzazione», messa in pratica
L’articolo 4 non chiede un corso, non fissa un monte ore e non prevede un attestato. Chiede una formazione proporzionata agli strumenti impiegati, all’esperienza di chi li usa e ai rischi del contesto. Detto così non si sa da dove cominciare, quindi ecco la versione che sta in un pomeriggio e che si può mostrare.
Uno: l’elenco. Quali strumenti di intelligenza artificiale entrano nello studio, con il nome, chi li ha attivati e con quale abbonamento. È il passaggio che quasi sempre scopre due o tre abbonamenti personali di cui il titolare non sapeva niente. Due: chi li usa, per ciascuno. Tre: il briefing, che dura un’ora e dice quattro cose. Il modello inventa e lo fa con sicurezza; il testo incollato esce dallo studio; i risultati vanno verificati sulla fonte; per queste categorie di documenti non si usa. Quattro: la nota scritta che riassume quell’ora, con la data e chi c’era. Cinque: la revisione, una volta l’anno o quando entra uno strumento nuovo.
La quarta voce è quella che trasforma l’adempimento in qualcosa di dimostrabile, ed è anche la più trascurata: l’alfabetizzazione non produce un documento da consegnare a nessuno, quindi se nessuno lo scrive non resta traccia che sia avvenuta. La stessa pagina può contenere la regola su che cosa è ammesso, ed è la ragione per cui conviene scriverle insieme.
La trasparenza dell’articolo 50
Dal 2 agosto 2026 gli obblighi di trasparenza sono operativi. Riguardano in prevalenza chi fornisce i sistemi (dire che si sta interagendo con una macchina, marcare i contenuti sintetici) e toccano un utilizzatore quando genera o manipola contenuti che sembrano autentici, o quando usa sistemi di riconoscimento delle emozioni o di categorizzazione biometrica.
Uno studio che si limita a farsi riassumere documenti non ricade in quei casi. Uno che pubblica testi generati come se fossero propri sta in una zona che vale la pena guardare con attenzione.
Se un giorno il sistema fosse ad alto rischio
C’è un caso in cui uno studio incontra davvero l’alto rischio, e non è quello che ci si aspetta: non è il software legale, è il software del personale. L’allegato III comprende i sistemi usati per la selezione, per l’assegnazione dei compiti e per la valutazione dei dipendenti, quindi uno studio con dieci persone che adottasse uno strumento di screening dei curricula ci finirebbe dentro, mentre uno che si fa riassumere le comparse no.
Anche in quel caso gli obblighi restano quelli di un utilizzatore, e l’articolo 26 li elenca: usare il sistema secondo le istruzioni del fornitore; affidare la sorveglianza umana a persone che abbiano competenza e autorità per esercitarla; assicurarsi che i dati in ingresso siano pertinenti allo scopo; conservare i log generati dal sistema; e informare i lavoratori interessati prima di metterlo in uso. È un elenco corto, ma va letto prima di firmare il contratto, non dopo, perché le prime due voci dipendono da che cosa il fornitore mette nelle sue istruzioni.
Quello che l’AI Act non fa
Questa è la parte da tenere a mente. L’AI Act non sostituisce il GDPRsi apre in una scheda nuova e non risolve nessuna delle domande sulla riservatezza: un documento con dentro i dati di un cliente mandato a un fornitore resta un trattamento di dati personali, con la sua base giuridica, il suo destinatario e il suo eventuale trasferimento, esattamente come prima.
Sono due regolamenti che si sovrappongono senza sostituirsi, e per uno studio professionale il secondo resta quello che morde di più. Come il GDPR guarda i modelli di linguaggio sta nell’articolo dedicato; la legge italianasi apre in una scheda nuova, che aggiunge un obbligo che l’AI Act non ha, sta in quello sulla 132/2025.