La legge sull’intelligenza artificiale: cosa dicono l’AI Act e la legge italiana 132/2025

Guida in 3 parti. Questo è il primo articolo di una serie: la legge e cosa dice. Gli altri due approfondiscono l’uso dell’AI sui siti web in generale e negli e-commerce WooCommerce.

Chi lavora online — con un sito, un blog, un negozio o semplicemente usando ChatGPT, Claude o Copilot — si chiede cosa dica davvero la legge sull’intelligenza artificiale. La risposta breve è che l’AI si può usare, ma dentro un quadro di regole che punta a trasparenza, sicurezza e tutela delle persone. Le norme di riferimento sono l’AI Act europeo e, in Italia, la legge 23 settembre 2025, n. 132, a cui si affiancano il GDPR e la normativa a tutela dei consumatori.

In questo articolo spieghiamo, con parole semplici, cosa sono queste norme, a chi si rivolgono, quali sono le date importanti e quali principi bisogna conoscere. Senza allarmismi: l’obiettivo non è spaventare, ma dare un quadro chiaro. Le informazioni sono verificate su fonti ufficiali aggiornate al 6 agosto 2026.

Che cos’è l’AI Act

L’AI Act è il Regolamento (UE) 2024/1689. La parola chiave è “regolamento”: a differenza di una direttiva, un regolamento europeo si applica direttamente in tutti gli Stati membri, senza bisogno di una legge nazionale che lo traduca. Vale quindi anche in Italia così com’è.

È la prima legge organica al mondo sull’intelligenza artificiale. Il suo scopo non è vietare l’AI, ma renderla affidabile: garantire che i sistemi rispettino i diritti fondamentali, la sicurezza e la trasparenza, favorendo allo stesso tempo l’innovazione.

L’approccio basato sul rischio

L’AI Act non tratta tutti i sistemi allo stesso modo. Usa un approccio basato sul rischio: più un sistema può incidere sulle persone, più obblighi comporta. Ci sono quattro livelli.

• Rischio inaccettabile: pratiche vietate (ad esempio alcune forme di manipolazione o di punteggio sociale). Sono proibite.
• Alto rischio: sistemi usati in ambiti delicati (selezione del personale, credito, istruzione, infrastrutture critiche, ecc.). Comportano obblighi rigorosi.
• Rischio limitato: sistemi soggetti soprattutto a obblighi di trasparenza, come i chatbot o i generatori di contenuti. Qui rientra la maggior parte degli strumenti usati da siti e negozi.
• Rischio minimo: la stragrande maggioranza delle applicazioni, senza obblighi specifici.

Per la maggior parte delle piccole e medie imprese, l’AI usata quotidianamente (scrivere testi, tradurre, rispondere ai clienti) ricade nel rischio limitato o minimo, non nell’alto rischio.

Le date da conoscere

L’AI Act è entrato in vigore il 1º agosto 2024, ma i suoi obblighi si attivano in modo scaglionato:

• 2 febbraio 2025: divieto delle pratiche vietate e prime misure sull’alfabetizzazione.
• 2 agosto 2025: regole per i modelli di AI per finalità generali (GPAI, i grandi modelli “general purpose”).
• 2 agosto 2026: applicazione generale e, soprattutto, obblighi di trasparenza dell’articolo 50. La Commissione europea ha pubblicato le relative linee guida il 20 luglio 2026.
• 2 dicembre 2027: obblighi per i sistemi ad alto rischio dell’Allegato III, rinviati rispetto alla data originaria dal cosiddetto Digital Omnibus (per l’Allegato I la data è il 2 agosto 2028).

Il Digital Omnibus è un pacchetto di semplificazione entrato in vigore il 27 luglio 2026: ha spostato in avanti le scadenze più pesanti dell’alto rischio e alleggerito alcuni obblighi, senza però toccare la trasparenza dell’articolo 50, che resta applicabile dal 2 agosto 2026.

Fornitore e deployer: due ruoli diversi

L’AI Act distingue due figure principali, con obblighi molto diversi.

Il fornitore (in inglese provider) è chi sviluppa un sistema di intelligenza artificiale e lo mette sul mercato con il proprio nome. Ha gli obblighi più consistenti, soprattutto per i sistemi ad alto rischio.

Il deployer, o utilizzatore professionale, è chi usa un sistema AI nella propria attività. La maggior parte delle imprese — chi installa un plugin, chi usa un chatbot di terzi, chi scrive testi con ChatGPT — è un deployer. Diventa fornitore solo se sviluppa, modifica in modo sostanziale o rivende un sistema a proprio nome. Capire in quale ruolo ci si trova è il primo passo per sapere cosa si deve fare.

Gli obblighi di trasparenza (articolo 50)

L’articolo 50 è la parte che tocca più da vicino chi ha un sito o un negozio. In sintesi prevede che:

• quando una persona interagisce con un sistema AI (ad esempio un chatbot), deve esserne informata, salvo che sia già evidente;
• i contenuti generati artificialmente (testo, immagini, audio, video) devono, a carico dei fornitori, essere marcati come tali in formato leggibile dalle macchine;
• i deepfake, cioè i contenuti che raffigurano in modo realistico persone reali, vanno dichiarati come artificiali;
• i testi generati con AI e pubblicati per informare il pubblico su questioni di interesse pubblico vanno dichiarati, salvo quando il contenuto è stato sottoposto a revisione umana e qualcuno si assume la responsabilità editoriale della pubblicazione.

Un punto importante, spesso frainteso: non esiste un obbligo generale di scrivere “generato con AI” sotto ogni testo. L’obbligo sui testi riguarda un ambito preciso (l’informazione su questioni di interesse pubblico) e prevede l’eccezione della revisione editoriale.

Per applicare correttamente questi obblighi, la Commissione europea ha pubblicato le Linee guida sull’articolo 50 (20 luglio 2026) e un Codice di buone pratiche sulla trasparenza dei contenuti generati dall’intelligenza artificiale: due documenti ufficiali che aiutano a capire come rispettare le regole.

L’alfabetizzazione (articolo 4)

L’articolo 4 ha introdotto il tema dell’alfabetizzazione in materia di intelligenza artificiale: fare in modo che chi usa questi strumenti abbia competenze e consapevolezza adeguate. Il Digital Omnibus, in vigore dal 27 luglio 2026, ha semplificato questo aspetto, dando un ruolo maggiore alla Commissione e agli Stati membri nel promuovere l’alfabetizzazione e alleggerendo l’obbligo diretto per gli utilizzatori che non gestiscono sistemi ad alto rischio. Formare chi lavora con l’AI resta comunque una buona pratica utile e raccomandata.

L’AI Act non sostituisce le altre leggi

Questo è forse il concetto più importante. L’AI Act non prende il posto delle norme che già esistono. Continuano ad applicarsi, in parallelo:

• il GDPR (Regolamento UE 2016/679) per i dati personali;
• la normativa a tutela dei consumatori;
• la disciplina delle pratiche commerciali scorrette;
• le regole sui cookie;
• il diritto d’autore.

Molti obblighi che spesso vengono attribuiti “all’AI” derivano in realtà da queste altre norme. Confondere le fonti porta a errori: per capire cosa fare occorre guardare alla norma giusta.

GDPR e decisioni automatizzate

Quando un sistema AI tratta dati personali, si applica il GDPR. Un articolo particolarmente rilevante è il 22, che riguarda le decisioni prese unicamente in modo automatizzato e che producono effetti giuridici o incidono in modo significativo sulla persona (ad esempio negare un servizio o bloccare un account). In questi casi servono una base giuridica adeguata e garanzie, tra cui la possibilità di ottenere l’intervento umano, di esprimere la propria opinione e di contestare la decisione. Se invece l’AI si limita a suggerire e la decisione la prende una persona, il quadro è diverso.

Consumatori: prezzi personalizzati e recensioni

Due temi molto concreti derivano dalla normativa sui consumatori, non dall’AI Act. Il primo: se un prezzo viene personalizzato sul singolo cliente sulla base di una decisione automatizzata, la Direttiva 2011/83/UE (come modificata dalla Direttiva “Omnibus” 2019/2161 e recepita nel Codice del Consumo) impone di informarne il consumatore. Il secondo: le recensioni false — clienti inventati, testimonianze fabbricate, valutazioni artificiali spacciate per reali — sono vietate dalla disciplina delle pratiche commerciali sleali (Direttiva 2005/29/CE). L’AI può aiutare a gestire recensioni autentiche, ma non a crearne di false.

La legge italiana 132/2025

L’Italia ha approvato una propria legge sull’intelligenza artificiale: la legge 23 settembre 2025, n. 132, pubblicata in Gazzetta Ufficiale il 25 settembre 2025 ed entrata in vigore il 10 ottobre 2025. Si compone di 28 articoli e va letta in coordinamento con l’AI Act, che resta la cornice europea di riferimento.

La legge italiana adotta un approccio antropocentrico: l’AI deve restare al servizio della persona. Tra i punti rilevanti, stabilisce principi su ricerca, sviluppo e adozione dell’AI; per le professioni intellettuali (articolo 13) prevede che i sistemi AI siano strumenti di supporto, mantenendo la prevalenza del lavoro intellettuale della persona; interviene sul lavoro, sulla sanità, sulla pubblica amministrazione e sulla giustizia, e introduce deleghe al Governo per l’attuazione. La legge individua inoltre le autorità nazionali competenti in materia — con un ruolo per l’Agenzia per l’Italia Digitale (AgID) e l’Agenzia per la Cybersicurezza Nazionale (ACN) — fermi restando i poteri del Garante privacy e dell’AGCM nei rispettivi ambiti.

Le sanzioni

L’AI Act prevede sanzioni, ma vanno lette con equilibrio. Gli importi più alti riguardano le pratiche vietate (fino a 35 milioni di euro o al 7% del fatturato mondiale annuo). Per la violazione di altri obblighi, inclusi quelli di trasparenza, i massimali sono inferiori (indicativamente fino a 15 milioni o al 3%), e sono ancora più bassi per la comunicazione di informazioni inesatte alle autorità. Questi tetti rappresentano il massimo teorico per violazioni gravi e sistematiche: le autorità applicano criteri di proporzionalità, tenendo conto anche delle dimensioni dell’impresa. Per una piccola attività che usa l’AI con trasparenza e buon senso, il rischio concreto è ben diverso dal massimo edittale. Sul fronte GDPR e consumatori restano applicabili le rispettive sanzioni, secondo le regole di quelle norme.

Cosa fare, in pratica

Il quadro può sembrare complesso, ma i passaggi concreti sono ordinati: capire quali strumenti AI si usano, in quale ruolo (quasi sempre come utilizzatori), quali dati vengono trattati, e applicare i principi di trasparenza e verifica umana dove servono. Nella maggior parte dei casi non occorrono stravolgimenti, ma piccoli accorgimenti: dichiarare i chatbot, controllare i contenuti prima di pubblicarli, aggiornare le informative e formare chi lavora con questi strumenti.

Nei prossimi articoli della serie vediamo come tutto questo si traduce concretamente su un sito web e in un e-commerce WooCommerce.

Come possiamo aiutarti

G Tech Group supporta le aziende sul piano tecnico: analisi degli strumenti e dei plugin AI, verifica dei flussi di dati, configurazione corretta di chatbot e automazioni, sicurezza e trasparenza dei siti, in collaborazione con il consulente legale o privacy del cliente. Scrivici a info@gtechgroup.it o scopri i nostri servizi di sicurezza informatica.

Avvertenza

Questo contenuto ha finalità informative e non sostituisce una consulenza legale, privacy o fiscale. Gli obblighi applicabili dipendono dalle caratteristiche del sistema utilizzato, dai dati trattati e dalle modalità operative dell’attività.

Fonti ufficiali

Fonti consultate direttamente. Per ciascuna è indicata la parte dell’articolo che supporta.

• Regolamento (UE) 2024/1689 (AI Act) — testo integrale, EUR-Lex (Unione europea). Definizione di regolamento, approccio al rischio, ruoli fornitore/deployer, artt. 4 e 50, sanzioni (art. 99). eur-lex.europa.eu/eli/reg/2024/1689/oj
• Commissione europea — Quadro normativo sull’intelligenza artificiale (AI Act), «Shaping Europe’s Digital Future». Inquadramento generale e approccio basato sul rischio. digital-strategy.ec.europa.eu/policies/regulatory-framework-ai
• Commissione europea — Linee guida sugli obblighi di trasparenza (art. 50), 20 luglio 2026. Ambito e contenuto degli obblighi di trasparenza. Linee guida art. 50
• Commissione europea — Codice di buone pratiche sulla trasparenza dei contenuti generati dall’IA. Marcatura dei contenuti sintetici. Code of Practice
• Commissione europea — Governance e applicazione dell’AI Act (Ufficio europeo per l’IA). Autorità e vigilanza a livello UE. Governance & enforcement
• Commissione europea — Il Digital Omnibus entra in vigore (27/07/2026). Semplificazioni e rinvio dell’alto rischio. AI Omnibus enters into force
• Consiglio dell’Unione europea — AI Act. Iter e adozione. consilium.europa.eu
• Parlamento europeo — AI Act, la prima regolamentazione sull’IA. Sintesi istituzionale. europarl.europa.eu
• Regolamento (UE) 2016/679 (GDPR), EUR-Lex. Art. 22, dati personali, profilazione. eur-lex.europa.eu/eli/reg/2016/679/oj
• Comitato europeo per la protezione dei dati (EDPB). Orientamenti su trattamento e decisioni automatizzate. edpb.europa.eu
• Direttiva 2011/83/UE, Direttiva (UE) 2019/2161 «Omnibus», Direttiva 2005/29/CE, EUR-Lex. Prezzi personalizzati, recensioni, pratiche sleali. eur-lex.europa.eu/eli/dir/2019/2161/oj
• Legge 23 settembre 2025, n. 132, Gazzetta Ufficiale della Repubblica Italiana (in vigore dal 10/10/2025). Quadro nazionale italiano. gazzettaufficiale.it — L. 132/2025
• Garante per la protezione dei dati personali — garanteprivacy.it · AGCM — agcm.it

Ultimo controllo delle fonti: 6 agosto 2026.