Nella piramide del rischio dell'AI Act c'è un piano dove non si discute di adempimenti: quello delle pratiche vietate. Sono elencate nell'articolo 5, sono applicabili dal 2 febbraio 2025, non hanno mai preso un rinvio — nemmeno con il Digital Omnibus, che anzi ne ha aggiunte — e portano la sanzione più alta: fino a 35 milioni di euro o al 7% del fatturato mondiale.
Vale la pena leggerle una volta per bene, perché nella maggior parte dei casi scoprirai di non averle mai sfiorate. E in qualche caso scoprirai il contrario.
Manipolazione e sfruttamento delle vulnerabilità
Vietati i sistemi che usano tecniche subliminali o volutamente manipolative per distorcere in modo rilevante il comportamento delle persone, causando o potendo causare un danno significativo.
Vietati anche i sistemi che sfruttano le vulnerabilità dovute all'età, alla disabilità o a una specifica situazione sociale o economica, con lo stesso effetto.
Cosa non ci rientra: la pubblicità persuasiva ordinaria, le tecniche di marketing lecite, i sistemi di raccomandazione. La linea è il pregiudizio significativo unito a una manipolazione che aggira la capacità di scelta consapevole.
Punteggio sociale
Vietata la valutazione o classificazione delle persone basata sul comportamento sociale o su caratteristiche personali, quando produce trattamenti pregiudizievoli in contesti diversi da quelli in cui i dati sono stati generati, oppure sproporzionati rispetto al comportamento.
Non è vietata la valutazione settoriale legittima: il merito creditizio non è punteggio sociale, è un impiego classificato ad alto rischio con obblighi dal 2 dicembre 2027. Il divieto colpisce il punteggio generalizzato che segue la persona da un ambito all'altro.
Biometria e polizia predittiva
Vietata la categorizzazione biometrica per dedurre razza, opinioni politiche, appartenenza sindacale, convinzioni religiose o filosofiche, vita sessuale o orientamento sessuale.
Vietata la creazione o l'ampliamento di banche dati di riconoscimento facciale mediante scraping non mirato di immagini da internet o da filmati di videosorveglianza.
Vietati i sistemi che valutano il rischio che una persona commetta un reato basandosi unicamente sulla profilazione o su tratti della personalità.
Sull'identificazione biometrica remota in tempo reale in spazi pubblici per finalità di applicazione della legge il regime è restrittivo e derogabile solo in casi eccezionali. In Italia i decreti attuativi del 4 agosto 2026 hanno confermato l'impostazione: casi eccezionali, tempi limitati, autorizzazione giudiziaria.
Emozioni sul lavoro e a scuola
Vietato il riconoscimento delle emozioni nei luoghi di lavoro e negli istituti di istruzione, salvo motivi medici o di sicurezza.
È il divieto che tocca più aziende italiane senza che lo sappiano, perché diversi strumenti venduti come "people analytics" o "analisi della qualità delle conversazioni" fanno esattamente questo sugli operatori.
I divieti aggiunti nel 2026
Il Regolamento (UE) 2026/1744 ha aggiunto divieti su deepfake a contenuto sessuale non consensuale e materiale di abuso su minori generato con IA, applicabili dal 2 dicembre 2026. In Italia una parte della materia è già coperta dal codice penale.
Il precedente italiano che vale come avvertimento
Sullo scraping di volti non serve immaginare: il Garante ha sanzionato Clearview AI per 20 milioni di euro nel 2022, ordinando la cancellazione dei dati riferiti a persone in Italia. Allora era una violazione del GDPR; oggi quella condotta è anche una pratica espressamente vietata dall'AI Act.
Cosa fare, in cinque minuti
Prendi l'elenco dei sistemi che usi e chiediti, per ciascuno: deduce stati emotivi delle persone? deduce caratteristiche protette? assegna punteggi che seguono le persone fuori dal contesto? raccoglie volti in modo indiscriminato? sfrutta vulnerabilità di soggetti deboli?
Cinque no e sei fuori dal piano dei divieti. Un sì e devi fermarti oggi, non nel 2027 — perché qui non c'è nessuna scadenza futura dietro cui ripararsi.
Una nota personale
Io di mestiere costruisco sistemi IA privati per studi professionali e piccole imprese italiane. Non vendo corsi e non vendo pacchetti di conformità da 4.000 euro con la copertina lucida. I regolamenti li leggo perché mi tocca, e li racconto come li ho capiti. Se hai una domanda, sul gruppo Telegram di Super Squalo (t.me/Squalogruppo) si discute di questa roba ogni giorno, e si risponde gratis.
Le pratiche vietate sono l'unica parte dell'AI Act che non si risolve con un documento. Si risolve spegnendo.
Domande frequenti
Il marketing personalizzato è vietato?
No. Il divieto riguarda tecniche subliminali o manipolative che distorcono in modo rilevante il comportamento causando un danno significativo, e lo sfruttamento di vulnerabilità di soggetti deboli. La pubblicità persuasiva lecita resta soggetta alle normative su consumatori e dati personali.
Il merito creditizio è punteggio sociale?
No. È un impiego classificato ad alto rischio nell'Allegato III, con obblighi dal 2 dicembre 2027. Il divieto riguarda i punteggi sociali generalizzati con effetti sproporzionati o in contesti estranei.
I divieti hanno avuto rinvii?
No, sono applicabili dal 2 febbraio 2025. Il Digital Omnibus ne ha aggiunti di nuovi con applicazione dal 2 dicembre 2026.