9. Regole e responsabilità del CEO

Questo capitolo esiste per una ragione semplice: delle regole sull'AI risponde chi guida l'azienda, non il consulente e non l'IT. Non devi diventare un giurista. Devi sapere cosa è obbligatorio oggi, cosa arriva domani, quali sono i rischi reali per una PMI, e — soprattutto — cosa pretendere dal consulente perché la conformità sia dentro il metodo e non un costo aggiunto alla fine.

Le regole sono tre, sovrapposte: il regolamento europeo sull'AI (l'AI Act), la legge italiana sull'intelligenza artificiale (la legge 132/2025) e le regole sulla protezione dei dati che già conosci (il GDPR). Vediamole con gli occhi di chi ne risponde.

Il calendario: cosa è obbligatorio oggi

Dal febbraio 2025: divieti e alfabetizzazione

Dal 2 febbraio 2025 sono vietate alcune pratiche — manipolazione, sfruttamento delle vulnerabilità, punteggio sociale, e altre che difficilmente riguardano una PMI — ed è in vigore l'obbligo di alfabetizzazione (articolo 4): chi usa sistemi AI deve garantire che il personale che li opera abbia un livello adeguato di conoscenza, documentato. È l'obbligo più trascurato e il più facile da rispettare, perché coincide con la formazione «come lavorare con il tuo AI Team» del capitolo 5, purché sia documentata con contenuti, partecipanti, date e attestati.

Dal 2 agosto 2026: trasparenza e sanzioni

Dal 2 agosto 2026 sono applicabili le disposizioni generali, con due conseguenze pratiche per te. La trasparenza (articolo 50): chi interagisce con un sistema AI deve saperlo — il tuo agente di assistenza deve dichiarare di essere un agente — e i contenuti generati o manipolati dall'AI (immagini, audio, video, testi destinati a informare il pubblico) devono essere marcati come tali; per i sistemi già sul mercato prima di agosto la scadenza è il 2 dicembre 2026. E il regime sanzionatorio: le sanzioni sono applicabili, con le autorità nazionali designate.

Cosa è stato rinviato

Il «Digital Omnibus» (regolamento 2026/1744, in vigore dal 27 luglio 2026) ha rinviato gli obblighi per i sistemi ad alto rischio — selezione e gestione del personale, accesso a servizi essenziali, credito, istruzione, infrastrutture critiche — al 2 dicembre 2027, e quelli per i sistemi integrati in prodotti regolamentati (macchinari, dispositivi medici) al 2 agosto 2028. Ha confermato tutto il resto. Non è una tregua: è tempo per prepararsi. Un agente che oggi ti aiuta a selezionare curricula, o a decidere un affidamento, sarà alto rischio tra quindici mesi, e va progettato oggi come tale.

Attenzione. «Il rinvio» è la frase che sento più spesso dai CEO che hanno letto un titolo di giornale. Il rinvio riguarda solo i sistemi ad alto rischio. Alfabetizzazione, trasparenza e sanzioni sono in vigore. Chi mette online un agente che non si dichiara tale, oggi, è già fuori regola.

Chi sei per la legge: il «deployer»

L'AI Act distingue chi costruisce un sistema AI (il provider) da chi lo usa nella propria attività (il deployer). Una PMI che inserisce agenti nei propri processi è quasi sempre un deployer, e questo è rassicurante: gli obblighi del deployer sono meno pesanti di quelli del provider. Diventi provider — con obblighi molto maggiori — se costruisci un sistema e lo metti sul mercato con il tuo marchio, o se modifichi in modo sostanziale un sistema esistente. Per questo il contratto con il consulente deve dire chi è chi: chi è provider, chi è deployer, chi è titolare e chi responsabile del trattamento dei dati. È una clausola, non un dettaglio.

Gli obblighi concreti di una PMI deployer

Quattro cose, tutte gestibili dentro il metodo.

Alfabetizzazione. Formazione documentata del personale che lavora con gli agenti.

Trasparenza. Gli agenti che parlano con clienti o dipendenti si dichiarano; i contenuti generati destinati al pubblico sono marcati; le informative sono aggiornate.

Supervisione umana. Le decisioni con effetti significativi sulle persone — clienti, dipendenti, candidati — hanno un punto di controllo umano: è il modello «persona sopra il ciclo» del capitolo 2, ed è ciò che il playbook decisionale già prevede.

Documentazione. Contratti sulla protezione dei dati con i fornitori, registro dei trattamenti aggiornato con gli agenti attivi, valutazioni d'impatto dove il rischio è alto, registro delle modifiche agli agenti.

La legge italiana: cosa aggiunge

La legge 132/2025, in vigore dal 10 ottobre 2025, non aggiunge obblighi oltre quelli europei, ma li precisa in quattro punti che ti riguardano.

Verso i lavoratori. Il datore di lavoro deve informare i dipendenti dell'uso di sistemi AI che li riguardano — funzionalità, logica, dati usati, possibili effetti — con i meccanismi già previsti per gli strumenti automatizzati. Si collega direttamente alla trasparenza del piano di riorganizzazione del capitolo 5: la comunicazione con i numeri veri non è solo buona gestione, è un obbligo.

Nelle professioni. Chi esercita una professione intellettuale può usare l'AI solo come strumento di supporto, resta pienamente responsabile del risultato e deve informare il cliente in modo chiaro. Vale per studi e società di servizi professionali, e vale per il tuo consulente: se produce i tuoi documenti con il suo team di agenti, deve dirtelo.

Nella sanità. L'AI è ammessa come supporto alla decisione del medico, mai in sostituzione, con obblighi rafforzati di informazione al paziente. Il capitolo 11 ne parla.

Per i minori. Sotto i quattordici anni serve il consenso dei genitori. Riguarda chi vende a famiglie e scuole.

La legge designa le autorità di vigilanza (AgID e l'Agenzia per la cybersicurezza nazionale), introduce un reato per la diffusione di contenuti falsificati con l'AI, e prevede decreti attuativi entro l'ottobre 2026 su dati, formazione e responsabilità: il consulente deve tenerti aggiornato.

Il GDPR non è cambiato, ma gli agenti lo toccano di più

Il regolamento sulla protezione dei dati che conosci dal 2018 resta il livello di base. Gli agenti lo toccano più dei software tradizionali per un motivo: leggono e scrivono dati personali in continuo — clienti, dipendenti, fornitori — e li passano a fornitori di modelli, spesso fuori dall'Unione. Le regole pratiche sono quattro: un contratto sulla protezione dei dati con ogni fornitore prima di qualsiasi trattamento; dati minimizzati rispetto allo scopo (l'agente vede solo ciò che gli serve); una valutazione d'impatto dove il trattamento è rischioso; e — soprattutto — nessun dato aziendale in strumenti personali. L'AI ombra del capitolo 5 è, prima di tutto, una violazione del GDPR che tu non vedi.

I rischi reali per una PMI

Le sanzioni

Le sanzioni dell'AI Act sono a tre livelli: fino a 35 milioni di euro o il 7% del fatturato mondiale per le pratiche vietate; fino a 15 milioni o il 3% per le altre violazioni; fino a 7,5 milioni o l'1% per informazioni scorrette alle autorità. Per le PMI si applica il minore dei due importi. A queste si aggiungono le sanzioni del GDPR, fino a 20 milioni o il 4%. Sono cifre pensate per i grandi, ma per una PMI anche una frazione è un problema, e la reputazione costa di più della sanzione.

I rischi che vedo davvero

Nella mia esperienza i rischi concreti per una PMI non sono le ispezioni: sono tre. Il reclamo di un cliente che scopre di aver parlato con un agente non dichiarato, o che riceve una decisione automatica senza poter parlare con una persona. La contestazione di un dipendente — o del sindacato — per un sistema AI introdotto senza informazione, magari in un momento di riorganizzazione. E la fuga di dati attraverso strumenti personali non governati. Tutti e tre si prevengono con il metodo, non con un avvocato.

La conformità dentro il metodo

Il modo più economico di essere conformi è progettare gli agenti conformi fin dall'inizio: la conformità aggiunta dopo costa molte volte di più. Nel metodo del Manuale del Consulente la conformità è una serie di «cancelli» lungo la vita dell'agente, e questo è ciò che devi pretendere.

Prima di iniziare la relazione: il contratto quadro con i ruoli (provider, deployer, titolare, responsabile). Prima di ogni progetto: il contratto sulla protezione dei dati, senza il quale non si tratta nulla. Prima di pubblicare un agente: la verifica di conformità (si dichiara? quali dati tocca? c'è supervisione umana? è potenzialmente alto rischio?) e le informative firmate. A ogni modifica sostanziale: ripetizione dei controlli. E tutto ciò che viene firmato o accettato finisce in un registro che non si cancella: in caso di verifica, mostri evidenze, non autodichiarazioni.

Dato con fonte. La formazione documentata del personale è l'obbligo più trascurato: in Italia solo il 7% delle PMI ha avviato programmi strutturati di formazione sull'AI, mentre l'obbligo di alfabetizzazione è in vigore dal febbraio 2025 e non è stato toccato dai rinvii. Fonte: Osservatorio Innovazione Digitale nelle PMI, Politecnico di Milano, maggio 2026; Agenda Digitale, 2026.

La checklist del CEO

Sei domande a cui devi saper rispondere sì. Se una è no, è la prima cosa di cui parlare con il consulente.

Cosa portare via da questo capitolo

Delle regole rispondi tu. Oggi sono in vigore alfabetizzazione, trasparenza e sanzioni; l'alto rischio arriva a fine 2027. Sei quasi certamente un deployer, con obblighi gestibili: formazione documentata, agenti che si dichiarano, supervisione umana, documentazione. La legge italiana aggiunge l'informazione ai lavoratori e ai clienti dei professionisti. E la conformità va dentro il metodo, come cancelli prima di ogni passo, non come costo alla fine.

Suggerimento. Chiedi oggi al tuo consulente — o a chi gestisce i vostri strumenti — l'inventario dei sistemi AI già in uso in azienda, compresi quelli «personali» dei dipendenti. Nel 90% dei casi scoprirai strumenti che non conoscevi. È il primo passo della conformità e, spesso, il primo passo dell'audit.