11/11/2026

idee

AI nelle imprese: scadenze, obblighi e come evitare sanzioni entro dicembre 2026

Ashokkumar (ManageEngine): l'EU AI Act richiede trasparenza e watermark per l'AI generativa, con scadenze critiche già nelle prossime settimane

L'EU AI Act sta imponendo regole stringenti alle imprese che utilizzano l'intelligenza artificiale. La normativa distingue le soluzioni in base al livello di rischio e prevede obblighi di trasparenza, etichettatura e conservazione dei log. Il termine più vicino a cui le organizzazioni devono adeguarsi è il 2 dicembre 2026, data in cui diventa obbligatorio apporre un watermark a tutti i contenuti prodotti da sistemi di AI generativa.
Secondo uno studio recente di IBM, il 77% delle aziende intervistate ammette di trovarsi in difficoltà nel gestire la rapida crescita dell'AI. La pressione normativa è quindi reale: le imprese non possono più affidarsi al semplice fatto di aver scelto un fornitore affidabile. "L'EU AI Act sta iniziando a fornire una risposta e i requisiti di trasparenza previsti dal regolamento sono già in vigore", afferma Kavitha Ashokkumar, enterprise analyst di ManageEngine.

"Molte imprese rientrano inevitabilmente nella categoria di rischio limitato; in questo caso, qualsiasi organizzazione che utilizzi chatbot o AI generativa per creare contenuti o immagini è tenuta a rispettare l'obbligo di trasparenza. La regola fondamentale di questa categoria è semplice: evitare che le persone scambino l'IA per un essere umano", prosegue Ashokkumar.

Le modalità operative per garantire la trasparenza sono tre:

- L'utente deve essere informato sin dal primo contatto che sta interagendo con un chatbot o un assistente basato su AI.
- Qualsiasi immagine, audio o video generato dall'AI deve riportare un'etichetta o un watermark che ne certifichi l'origine artificiale.
- I contenuti multimediali prodotti dall'AI, inclusi i deepfake che imitano persone reali, richiedono una dichiarazione esplicita ogni volta che vengono utilizzati.
Oltre a questi requisiti di trasparenza, l'articolo 9 dell'AI Act impone alle imprese di effettuare una valutazione del rischio, documentare le cause di eventuali problemi, implementare misure di controllo e verificare l'efficacia delle soluzioni adottate. Per i sistemi a rischio elevato, l'articolo 12 richiede la conservazione dei log per almeno sei mesi. "Sebbene nella maggior parte dei casi i log possano essere conservati dal fornitore, solitamente vengono cancellati automaticamente dopo 30 giorni: una criticità che deve essere risolta. Dopotutto, un log inaccessibile è utile quanto una telecamera di sicurezza che nessuno riesce a sbloccare", continua Ashokkumar.

L'articolo 14, infine, sottolinea l'importanza della supervisione umana: gli operatori devono capire le capacità e i limiti del sistema, interpretare gli output e sapere quando contestarli. l'EU AI Act pone un quesito semplice: "La vostra organizzazione sa cosa sta facendo l'AI che utilizza ed è in grado di dimostrarlo?" I mesi supplementari servono a preparare questa risposta, non a rimandarla.
Per avviare la conformità, le aziende devono prima costruire un inventario dettagliato dei propri sistemi di AI, identificando per ciascuno le funzioni chiave (cosa analizza, cosa genera, che decisione prende). Questo approccio consente di collocare ogni soluzione nella corretta fascia di rischio. Ad esempio, una piattaforma commercialmente denominata "Intelligent Talent Acquisition Platform" può sembrare un semplice strumento di recruiting, ma se influisce sulle decisioni di assunzione rientra nella categoria a rischio elevato.

"È proprio questo che l'EU AI Act richiede alle organizzazioni: non di rinunciare all'AI, ma di assumerne la responsabilità. In ultima analisi, ogni inventario compilato, ogni sistema classificato e ogni registro conservato rappresentano una risposta preparata in anticipo per la persona che si trova dall'altra parte dell'algoritmo", conclude Ashokkumar.
Con le scadenze prorogate solo per le disposizioni legate ai sistemi di AI ad alto rischio, le aziende hanno tempo limitato per adeguare i processi, ma gli obblighi di trasparenza e responsabilità rimangono in vigore. La chiave è avviare subito l'attività di mappatura, classificazione e implementazione delle misure richieste, in modo da rispettare le norme entro dicembre 2026 e ridurre il rischio di sanzioni.