È la domanda che mi arriva più di ogni altra, di solito scritta di sera e con un filo di panico: "Squalo, in azienda usiamo ChatGPT per le email e qualche riassunto. Siamo fuorilegge?"
Risposta secca: no. Risposta onesta: sì, l'AI Act ti riguarda, ma ti tocca una frazione minuscola di quello che hai letto in giro. E quella frazione conviene farla, perché costa poco e ti para il sedere.
Prima cosa: non sei un fornitore
Se usi ChatGPT, Copilot, Gemini o Claude con l'abbonamento aziendale, tu sei un deployer. Gli obblighi pesanti — documentazione tecnica del modello, policy sul copyright, sintesi dei dati di addestramento, valutazione di conformità — stanno tutti in capo a chi il modello lo costruisce e lo mette sul mercato. Quelli sono in vigore dal 2 agosto 2025 e riguardano OpenAI, Microsoft, Google, Anthropic. Non te.
La cosa cambia se ci costruisci sopra un prodotto tuo, con il tuo marchio, e lo dai a clienti terzi. Lì diventi fornitore e la faccenda si fa seria. Ma "usare ChatGPT per le email" non è questo.
Quello che invece ti tocca davvero
Uno: l'alfabetizzazione IA. L'articolo 4 dell'AI Act, nella versione riscritta dal Digital Omnibus e applicabile dal 27 luglio 2026, chiede "misure effettive e proporzionate" perché chi usa l'IA per conto tuo abbia un livello di competenza adeguato alle mansioni e al contesto.
Non serve un master. Serve che in segreteria si sappia che i dati incollati nel prompt escono dall'azienda, che il commerciale sappia che il modello inventa numeri con la faccia serissima, che chi firma sappia di essere responsabile di quello che firma. Mezza giornata, un documento di due pagine, la firma di chi ha partecipato. Fatto.
Due: la trasparenza dell'articolo 50, applicabile dal 2 agosto 2026. Se l'IA parla direttamente con clienti o dipendenti — un chatbot sul sito, un risponditore, un assistente interno — quelle persone devono sapere che stanno parlando con una macchina. Se pubblichi contenuti generati con l'IA destinati a informare il pubblico, servono etichette, a meno che ci sia stata revisione editoriale umana con un responsabile in carne e ossa.
Le email al singolo cliente scritte con l'aiuto dell'IA e riviste da te non sono "contenuti destinati a informare il pubblico su questioni di interesse generale". Puoi respirare.
Tre: sapere cosa gira in azienda. Questo l'AI Act non te lo impone in questi termini se non sei ad alto rischio, ma è la cosa più utile che puoi fare. Un foglio con: sistema, chi lo usa, per cosa, con quali dati. Ti serve per l'alfabetizzazione, ti serve per il GDPR, ti serve il giorno in cui qualcuno fa una domanda.
Il problema vero non è l'AI Act
Ed è qui che casca l'asino. Mentre ti preoccupi di un regolamento che ti chiede tre cose facili, stai probabilmente violando il GDPR, che è in vigore dal 2018 e in Italia ha già prodotto multe vere.
Il Garante ha bloccato ChatGPT il 30 marzo 2023 e a dicembre 2024 ha sanzionato OpenAI per 15 milioni di euro. Ha bloccato Replika nel febbraio 2023. Ha multato Clearview AI per 20 milioni nel 2022. Ha colpito Synlab con 2,5 milioni nel 2024 sulla gestione dei dati sanitari. Nessuna di queste storie riguarda l'AI Act: riguardano i dati personali.
Quindi la domanda giusta non è "l'AI Act mi riguarda". È: cosa sto incollando dentro quel prompt? Nomi di clienti, cartelle cliniche, buste paga, contratti, codici fiscali. Perché quella roba, sulle versioni consumer, può finire nell'addestramento e in ogni caso esce dal tuo perimetro.
Il piano da mezza giornata
Fai l'elenco degli strumenti IA usati in azienda. Scrivi due pagine di regole d'uso — cosa si può incollare e cosa no — e falle firmare a chi le usa. Verifica se hai chatbot o contenuti pubblici generati dall'IA e sistemali con una frase di trasparenza. Passa agli account aziendali con clausola di non-training dove tratti dati altrui.
Quattro voci. Poi torna a lavorare, che l'alto rischio non arriva prima di dicembre 2027 e con ogni probabilità non ti riguarderà mai.
Una nota personale
Io di mestiere costruisco sistemi IA privati per studi professionali e piccole imprese italiane. Non vendo corsi e non vendo pacchetti di conformità da 4.000 euro con la copertina lucida. I regolamenti li leggo perché mi tocca, e li racconto come li ho capiti. Se hai una domanda, sul gruppo Telegram di Super Squalo (t.me/Squalogruppo) si discute di questa roba ogni giorno, e si risponde gratis.
Il regolamento europeo non ti manderà in rovina. Un prompt pieno di dati dei clienti, quello sì.
Domande frequenti
Devo dichiarare ai clienti che uso l'IA per scrivere le email?
L'articolo 50 riguarda i sistemi che interagiscono direttamente con le persone e i contenuti sintetici destinati al pubblico. Una email scritta da te con l'aiuto dell'IA e da te rivista non rientra. Diverso il caso di un risponditore automatico che dialoga da solo con il cliente.
La versione gratuita di ChatGPT va bene per il lavoro?
Per contenuti senza dati personali né informazioni riservate, tecnicamente sì. Nel momento in cui entrano dati di clienti, pazienti o dipendenti servono account business con clausole adeguate, oppure modelli che girano su infrastruttura tua.
Rischio una multa AI Act come piccola impresa?
Per PMI e start-up il regolamento prevede l'applicazione dell'importo inferiore fra somma fissa e percentuale sul fatturato. Il rischio concreto per un uso ordinario di strumenti generici è basso: quello alto riguarda pratiche vietate e obblighi di trasparenza ignorati su larga scala.