Il Regolamento (UE) 2024/1689 sull’intelligenza artificiale (AI Act) è pienamente applicabile dal 2 agosto 2026 per i sistemi AI ad alto rischio.
I datori di lavoro che utilizzano o sviluppano sistemi AI nell’ambito dei processi produttivi e della gestione del personale devono confrontarsi con un nuovo strato normativo che si sovrappone — e si integra — con gli obblighi previsti dal D.Lgs. 81/2008.
Il Regolamento (UE) 2024/1689, noto come AI Act, è entrato in vigore il 1° agosto 2024 e prevede un’applicazione progressiva delle sue disposizioni: le norme sui sistemi AI vietati si applicano dal febbraio 2025, mentre quelle sui sistemi AI ad alto rischio elencati nell’Allegato III si applicano pienamente dal 2 agosto 2026. Tra i sistemi classificati come ad alto rischio rientra esplicitamente la categoria dei sistemi AI utilizzati in ambito occupazionale.
Chatbot e assistenti virtuali devono dichiarare la propria natura
In particolare, l’Allegato III, punto 4, dell’AI Act classifica come ad alto rischio i sistemi AI utilizzati per: il reclutamento e la selezione del personale, la valutazione e la promozione dei lavoratori, l’allocazione dei compiti basata sul profilo individuale, il monitoraggio e la valutazione delle prestazioni, la gestione della relazione di lavoro inclusa la cessazione. Si tratta di applicazioni sempre più diffuse nelle grandi imprese e nelle piattaforme digitali del lavoro.
Quindi dal 2 agosto, chi usa un chatbot o un assistente virtuale dovrà sapere subito di avere davanti una macchina.
La regola riguarda, per esempio, i chatbot del servizio clienti, i centralini automatici, gli assistenti vocali e i personaggi digitali costruiti per sostenere una conversazione. Un messaggio iniziale, una voce registrata o un avviso sullo schermo potrà chiarire la natura del sistema.
L’avvertenza può essere evitata quando il contesto rende già evidente che si tratta di un sistema automatico. Un robot presentato come assistente digitale non dovrà ripeterlo a ogni risposta. Un chatbot progettato per sembrare un operatore umano dovrà invece dichiararlo in modo chiaro.
Sono previste eccezioni per alcuni sistemi usati dalle autorità nelle indagini e nella prevenzione dei reati. Anche in questi casi restano necessarie garanzie per tutelare le persone coinvolte.
Per i datori di lavoro che si trovano nella veste di utilizzatori (deployers) di sistemi AI ad alto rischio sviluppati da terze parti, gli obblighi principali previsti dall’AI Act riguardano: l’utilizzo del sistema conformemente alle istruzioni del fornitore, la supervisione umana adeguata, la segnalazione di incidenti gravi al fornitore e alle autorità competenti, la tenuta dei log di utilizzo laddove tecnicamente fattibile, l’informazione ai lavoratori che sono soggetti a decisioni basate su sistemi AI.
Quest’ultimo punto si raccorda con la disciplina in materia di informazione e trasparenza già prevista dal GDPR (Reg. UE 2016/679) per le decisioni automatizzate che producono effetti significativi sulle persone (art. 22), e con le disposizioni del D.Lgs. 81/2008 in materia di informazione ai lavoratori sui rischi del lavoro (art. 36).
Testi, video e immagini generati devono essere riconoscibili
Una seconda regola riguarda i sistemi che generano o modificano immagini, video, audio e testi. Dal 2 agosto, i contenuti prodotti con l’IA dovranno contenere un segnale tecnico che permetta a piattaforme e strumenti automatici di riconoscerne l’origine.
Il segnale potrà essere inserito nei metadati del file, in un watermark invisibile o in altre informazioni digitali incorporate nel contenuto. Non servirà quindi sempre una scritta visibile come “creato con l’IA”.
L’obbligo riguarda il fornitore del sistema. Chi sviluppa un generatore di immagini, un servizio per clonare le voci o uno strumento capace di produrre video sintetici dovrà fare in modo che i file conservino una traccia riconoscibile.
La regola si applica, per esempio, a una fotografia interamente generata dall’IA, a un video in cui viene sostituito il volto di una persona, a una registrazione con una voce clonata o a un’immagine nella quale viene aggiunto o rimosso un oggetto in modo da cambiarne il significato.
Restano escluse le normali funzioni di ritocco che non trasformano in modo sostanziale il contenuto. Correggere la luminosità, ridurre il rumore, aumentare la nitidezza o sistemare i colori non dovrebbe far scattare l’obbligo. Sono operazioni già comuni nei software fotografici e negli smartphone prima della diffusione dell’IA generativa.
Il confine dipende quindi dall’effetto della modifica. Un semplice miglioramento tecnico resta fuori. Una manipolazione che cambia ciò che l’immagine, il video o l’audio mostrano richiede invece una marcatura riconoscibile.
L’etichetta per i testi di interesse pubblico
L’obbligo di dichiarazione riguarda anche i testi generati o manipolati dall’IA e pubblicati con lo scopo di informare il pubblico su questioni di interesse generale.
La norma può coinvolgere articoli, comunicati, contenuti politici, informazioni sanitarie, finanziarie o istituzionali prodotti dagli algoritmi e diffusi senza un controllo editoriale effettivo.
In tutti questi casi il pubblico deve sapere che il testo è stato generato o modificato attraverso l’AI.
L’etichetta non è richiesta quando il contenuto è stato sottoposto a una revisione umana o a un controllo editoriale, e una persona fisica o giuridica assume la responsabilità editoriale della pubblicazione.
Una redazione può quindi utilizzare strumenti generativi come supporto, a condizione che il risultato venga realmente verificato e pubblicato sotto la responsabilità di un editore identificabile.
Il codice europeo di buone pratiche sulla trasparenza resta volontario, mentre gli obblighi contenuti nel regolamento sono vincolanti. Le aziende che aderiscono al codice possono utilizzarlo per dimostrare più facilmente la propria conformità. Chi sceglie soluzioni diverse dovrà provarne autonomamente l’adeguatezza.
Questo obbliga tutti coloro che usano, hanno usato o intendono usare, un’AI per creare il proprio DVR o per aggiornarlo a doverlo dichiarare.
Inoltre, nell’ambito della sicurezza sul lavoro in senso stretto, i sistemi AI trovano applicazione crescente in funzioni come: il monitoraggio delle condizioni di sicurezza tramite analisi video (rilevamento automatico del mancato uso di DPI, rilevamento di comportamenti a rischio), la manutenzione predittiva degli impianti, l’analisi degli infortuni e near-miss per l’identificazione di pattern di rischio, i sistemi di sorveglianza sanitaria basati su dati biometrici. Alcune di queste applicazioni possono ricadere nelle categorie ad alto rischio dell’AI Act o, per le funzioni di monitoraggio dei lavoratori, nelle aree soggette a restrizioni del GDPR.
Inoltre, l’uso dell’IA nei processi aziendali tra i quali:
selezione del personale;
videosorveglianza;
gestione degli accessi;
manutenzione predittiva;
gestione logistica;
customer care (già indicata poco sopra).
Può/possono generare rischi nuovi o modificare quelli esistenti. Il datore di lavoro, in collaborazione con RSPP, medico competente e rappresentanti dei lavoratori, dovrà:
- Individuare i sistemi IA presenti in azienda
- Classificare il rischio secondo l’AI Act
- Valutare l’impatto sul lavoratore e sul processo
- Aggiornare il DVR integrando i rischi legati all’IA
- Pianificare misure di prevenzione e formazione specifica
Un esempio concreto? Un sistema IA di valutazione automatica dei curriculum usato in fase di selezione potrebbe discriminare inconsapevolmente alcuni candidati: ciò costituisce un rischio psicosociale e organizzativo da valutare nel DVR.
Le disposizioni dell’AI Act entreranno in vigore progressivamente:
- Seconda metà 2025: obblighi per sistemi ad alto rischio
- 2026: piena applicazione del Regolamento
Il DVR andrà aggiornato contestualmente all’introduzione o all’utilizzo significativo di un sistema IA, come previsto dall’art. 29 del D.Lgs. 81/08.
I datori di lavoro che introducono sistemi AI nei processi produttivi sono invitati, dunque, a condurre una mappatura preliminare delle applicazioni AI in uso o in fase di adozione, verificando per ciascuna la classificazione ai sensi dell’AI Act, gli obblighi applicabili, l’impatto sulla valutazione dei rischi ex D.Lgs. 81/2008 (in particolare per quanto riguarda i rischi da interfaccia uomo-macchina e da automazione) e le eventuali implicazioni sulla contrattazione collettiva, che in alcuni settori già disciplina l’utilizzo di sistemi di sorveglianza tecnologica.
La deroga del Digital Omnibus sulla trasparenza degli output
Il Digital Omnibus, vale a dire il pacchetto europeo che semplifica la normativa digitale, ha introdotto a questo proposito una deroga transitoria molto circoscritta.
I sistemi di generazione di contenuti già immessi sul mercato prima del 2 agosto 2026 avranno tempo fino al 2 dicembre 2026 per adeguarsi alla marcatura leggibile dalle macchine. I sistemi immessi sul mercato dal 2 agosto in poi devono essere conformi fin dall’inizio. Il rinvio riguarda soltanto l’obbligo tecnico dell’articolo 50, paragrafo 2; le altre regole sulla trasparenza partono regolarmente il 2 agosto.
Deepfake: l’etichetta deve essere visibile alle persone
Quando un’organizzazione o una persona utilizza professionalmente un sistema di IA per creare o manipolare immagini, video o audio che producono un deepfake, deve dichiarare che il contenuto è stato generato o alterato artificialmente.
Per deepfake si intende un contenuto che riproduce in modo realistico persone, oggetti, luoghi o avvenimenti che in realtà non esistono – o che non esistono nelle forme riprodotte – e che potrebbe apparire autentico a chi lo guarda o lo ascolta.
La regola riguarda il soggetto che pubblica o utilizza il contenuto, definito dal regolamento “deployer”, e si aggiunge alla marcatura tecnica che deve essere predisposta dal fornitore del sistema.
Per opere artistiche, satiriche, creative o di fantasia, l’informazione può essere fornita in una forma compatibile con la fruizione dell’opera.
Un film, una mostra o un programma comico non devono essere interrotti continuamente da avvisi invasivi, ma l’esistenza della manipolazione artificiale deve comunque essere comunicata in modo appropriato.
Fonti normative:
- Regolamento (UE) 2024/1689 — AI Act, Allegato III (sistemi AI ad alto rischio)
- Art. 36 D.Lgs. 81/2008 — informazione ai lavoratori
- Regolamento (UE) 2016/679 — GDPR, art. 22 (decisioni automatizzate)
- Commissione Europea — Linee guida applicazione AI Act, 2025
Fonti: 123 consulenza.it, ldgservice.it, repubblica.it
