Dall’utilizzo dell’intelligenza artificiale nei luoghi di lavoro alla trasparenza verso i clienti: le principali novità della normativa italiana e le misure organizzative da adottare.

L’intelligenza artificiale è ormai presente in numerose attività aziendali: dalla gestione delle risorse umane all’assistenza clienti, dall’analisi dei dati alla produzione di documenti e contenuti. Ma quali regole devono rispettare le imprese che utilizzano questi strumenti?

La Legge 23 settembre 2025, n. 132, entrata in vigore il 10 ottobre 2025, introduce nell’ordinamento italiano disposizioni e deleghe in materia di intelligenza artificiale, affiancandosi al Regolamento europeo (UE) 2024/1689, conosciuto come AI Act.

La normativa italiana non sostituisce quella europea, ma ne integra il quadro con principi, disposizioni settoriali e strumenti di governance nazionale. L’obiettivo è favorire un utilizzo dell’AI che sia innovativo, trasparente e rispettoso dei diritti fondamentali delle persone.

Per le aziende, questo significa affrontare l’intelligenza artificiale non soltanto come opportunità tecnologica, ma anche come materia di organizzazione, responsabilità e conformità normativa.

Legge 132 del 23 settembre 2025: cosa dice e quali obblighi introduce per le imprese

Mappatura degli strumenti AI: il primo passo per conoscere i rischi

Articolo 11: intelligenza artificiale e tutela dei lavoratori

Informativa ai dipendenti: quando il datore di lavoro deve intervenire

Supervisione umana: chi risponde delle decisioni dell’AI?

Policy aziendali e alfabetizzazione: organizzare un utilizzo responsabile

Articolo 13: trasparenza verso i clienti nelle professioni intellettuali

Legge 132/2025, AI Act e GDPR: tre riferimenti da coordinare

Cosa dovrebbero fare concretamente le imprese?

Conclusioni: dall’innovazione alla governance dell’intelligenza artificiale

Mappatura degli strumenti AI: il primo passo per conoscere i rischi

Un’impresa può utilizzare sistemi di intelligenza artificiale senza averne una visione complessiva. Si pensi ai software gestionali che integrano funzionalità predittive, agli strumenti di selezione del personale, ai chatbot o alle piattaforme generative utilizzate quotidianamente dai collaboratori.

Per questo motivo, una delle prime attività consigliate consiste nel predisporre un inventario degli strumenti AI effettivamente impiegati nei processi aziendali.

La Legge 132/2025 non introduce un obbligo generalizzato di inventario per tutte le imprese. Tuttavia, una mappatura strutturata rappresenta una misura organizzativa utile per individuare gli strumenti utilizzati, comprenderne le finalità e verificare gli eventuali obblighi applicabili.

L’analisi dovrebbe considerare il fornitore, le funzioni svolte dal sistema, le categorie di dati trattati, i soggetti che possono utilizzarlo e l’eventuale influenza sulle decisioni aziendali.

Queste informazioni consentono di effettuare una prima classificazione secondo l’AI Act, distinguendo, per esempio, sistemi soggetti a specifici obblighi di trasparenza da sistemi classificati ad alto rischio.

Quando vengono trattati dati personali, occorre inoltre verificare la conformità al GDPR e valutare se ricorrano le condizioni per effettuare una valutazione d’impatto sulla protezione dei dati (DPIA).

La DPIA non è automaticamente obbligatoria per qualsiasi utilizzo dell’AI: la sua necessità dipende dalle caratteristiche del trattamento e dai rischi per i diritti e le libertà delle persone.

Articolo 11: intelligenza artificiale e tutela dei lavoratori

Uno degli aspetti più significativi della Legge 132/2025 riguarda l’utilizzo dell’intelligenza artificiale nei rapporti di lavoro.

L’articolo 11 stabilisce che l’AI debba essere impiegata per migliorare le condizioni lavorative, tutelare l’integrità psicofisica delle persone e accrescere la qualità delle prestazioni e la produttività.

L’utilizzo deve essere sicuro, affidabile e trasparente, senza compromettere la dignità dei lavoratori o la riservatezza dei loro dati personali.

La norma richiama inoltre il divieto di discriminazione e l’obbligo di rispettare i diritti fondamentali delle persone.

Questi principi assumono particolare rilevanza quando gli strumenti AI vengono utilizzati per attività quali la selezione dei candidati, la valutazione delle prestazioni, l’organizzazione dei turni o l’assegnazione delle mansioni.

Immaginiamo un’azienda che introduca un software capace di analizzare automaticamente i curriculum e attribuire un punteggio ai candidati. In questo caso non è sufficiente verificare che il programma funzioni correttamente: occorre anche comprendere quali criteri utilizzi, se possa produrre effetti discriminatori e quali obblighi derivino dalla sua classificazione ai sensi dell’AI Act.

Informativa ai dipendenti: quando il datore di lavoro deve intervenire

L’articolo 11 introduce un importante richiamo alla trasparenza nei rapporti di lavoro.

Il datore di lavoro o il committente deve informare il lavoratore dell’utilizzo dell’intelligenza artificiale nei casi e secondo le modalità previste dall’articolo 1-bis del D.Lgs. 152/1997.

È una precisazione fondamentale: non ogni utilizzo di uno strumento AI comporta automaticamente gli stessi adempimenti informativi.

Occorre valutare la funzione concretamente svolta dal sistema, il suo grado di automazione e il suo impatto sull’organizzazione e sulla gestione del rapporto di lavoro.

L’impresa dovrebbe quindi verificare se gli strumenti adottati rientrino nelle fattispecie disciplinate dalla normativa e predisporre, quando necessario, comunicazioni comprensibili e adeguatamente documentate.

La conservazione delle evidenze relative alle informazioni fornite ai lavoratori costituisce una buona prassi organizzativa. La firma per presa visione può rappresentare uno strumento utile, ma non deve essere confusa con un requisito universalmente imposto per qualsiasi comunicazione sull’AI.

Restano inoltre applicabili le disposizioni del GDPR e, quando pertinenti, quelle dello Statuto dei lavoratori in materia di controlli a distanza.

Supervisione umana: chi risponde delle decisioni dell’AI?

Un principio fondamentale della disciplina europea e italiana è la centralità della persona.

L’intelligenza artificiale può supportare l’analisi delle informazioni, formulare previsioni e suggerire decisioni. Questo, però, non significa che ogni risultato prodotto da un algoritmo debba essere accettato automaticamente.

L’AI Act prevede specifici requisiti di supervisione umana per i sistemi ad alto rischio, mentre il GDPR disciplina, tra l’altro, le decisioni basate unicamente su trattamenti automatizzati quando ricorrono le condizioni previste dall’articolo 22.

Le misure da adottare dipendono quindi dal contesto e dalla normativa applicabile.

Per un’impresa è opportuno definire chi può utilizzare gli strumenti AI, chi verifica i risultati e chi assume le decisioni finali.

La supervisione, inoltre, deve essere effettiva: non basta prevedere formalmente l’intervento di una persona se questa non dispone delle competenze e delle informazioni necessarie per valutare criticamente i risultati del sistema.

Policy aziendali e alfabetizzazione: organizzare un utilizzo responsabile

L’adozione di una policy interna sull’intelligenza artificiale rappresenta una misura particolarmente utile per le imprese.

Il documento può disciplinare gli strumenti autorizzati, le finalità consentite, le informazioni che non devono essere inserite nei sistemi AI, le modalità di verifica dei risultati e le procedure per segnalare anomalie o utilizzi impropri.

Un esempio concreto riguarda l’impiego di piattaforme generative per redigere documenti aziendali.

Un collaboratore potrebbe inserire inconsapevolmente dati personali, informazioni riservate o documentazione contrattuale all’interno di un servizio esterno, senza conoscere le condizioni applicabili al trattamento delle informazioni.

Una policy chiara, accompagnata da adeguate istruzioni, aiuta a ridurre questi rischi.

Occorre inoltre ricordare che l’articolo 4 dell’AI Act disciplina l’alfabetizzazione in materia di intelligenza artificiale (AI literacy), richiedendo ai fornitori e ai deployer di adottare misure per assicurare un livello sufficiente di competenza del personale e degli altri soggetti che utilizzano i sistemi AI per loro conto.

La formazione deve essere proporzionata alle conoscenze delle persone, al contesto operativo e ai rischi connessi agli strumenti utilizzati.

Articolo 13: trasparenza verso i clienti nelle professioni intellettuali

Un’altra novità significativa riguarda i professionisti.

L’articolo 13 della Legge 132/2025 stabilisce che, nell’esercizio delle professioni intellettuali, i sistemi di intelligenza artificiale debbano essere utilizzati per attività strumentali e di supporto, mantenendo prevalente il lavoro intellettuale del professionista.

La disposizione richiede inoltre che le informazioni relative ai sistemi AI utilizzati siano comunicate al destinatario della prestazione con linguaggio chiaro, semplice ed esaustivo.

Si pensi a un professionista che utilizzi l’intelligenza artificiale per analizzare documenti, elaborare bozze o organizzare informazioni a supporto della propria attività.

L’impiego di questi strumenti non elimina la necessità di una valutazione professionale autonoma, né deve compromettere il rapporto fiduciario con il cliente.

È importante precisare che l’articolo 13 riguarda le professioni intellettuali e non introduce indistintamente lo stesso obbligo informativo per qualsiasi impresa che utilizzi sistemi AI.

Per le altre attività economiche potranno comunque trovare applicazione specifici obblighi di trasparenza previsti dall’AI Act, dal GDPR o da ulteriori disposizioni settoriali.

Legge 132/2025, AI Act e GDPR: tre riferimenti da coordinare

Per comprendere correttamente gli adempimenti aziendali occorre considerare tre livelli normativi complementari.

La Legge 132/2025 introduce principi e disposizioni nazionali, con particolare attenzione anche al lavoro e alle professioni intellettuali.

L’AI Act europeo disciplina i sistemi di intelligenza artificiale secondo un approccio basato sul rischio, individuando pratiche vietate, requisiti per determinate categorie di sistemi e obblighi differenziati per fornitori e utilizzatori.

Il GDPR continua invece ad applicarsi quando l’utilizzo dell’AI comporta trattamenti di dati personali.

Questa distinzione è essenziale: un sistema può essere soggetto a obblighi derivanti dall’AI Act e, contemporaneamente, richiedere specifiche verifiche sulla liceità del trattamento dei dati, sulla trasparenza, sulla sicurezza e sulla protezione dei diritti degli interessati.

La conformità a una normativa non comporta automaticamente la conformità alle altre.

Cosa dovrebbero fare concretamente le imprese?

Per affrontare il tema in modo strutturato, le aziende possono avviare un percorso organizzativo basato su alcune attività fondamentali:

• Individuare gli strumenti AI utilizzati, compresi quelli integrati nei software già presenti.
• Valutare le finalità, i rischi e gli obblighi normativi applicabili a ciascun sistema.
• Verificare gli utilizzi dell’AI nei processi di gestione del personale e gli eventuali obblighi informativi.
• Aggiornare, quando necessario, la documentazione GDPR e le valutazioni d’impatto.
• Definire responsabilità, regole operative e modalità di supervisione umana.
• Formare il personale e documentare le iniziative di alfabetizzazione AI.
• Verificare periodicamente l’adeguatezza delle misure adottate.

Non si tratta di un elenco di obblighi identici per tutte le organizzazioni. Gli adempimenti effettivi dipendono dalle caratteristiche dei sistemi, dal ruolo dell’impresa e dal contesto nel quale l’intelligenza artificiale viene utilizzata.

Conclusioni: dall’innovazione alla governance dell’intelligenza artificiale

La Legge 132/2025 rappresenta un passaggio importante nell’evoluzione della disciplina italiana sull’intelligenza artificiale.

Il messaggio per le imprese è chiaro: adottare strumenti AI non significa soltanto introdurre nuove tecnologie, ma anche comprenderne il funzionamento, governarne i rischi e rispettare i diritti delle persone coinvolte.

La mappatura dei sistemi, la trasparenza verso lavoratori e clienti, la formazione e la definizione delle responsabilità costituiscono elementi centrali di un approccio organizzativo consapevole.

Per le PMI, il primo obiettivo dovrebbe essere conoscere gli strumenti già utilizzati e verificare quali regole siano effettivamente applicabili.

Perché un’intelligenza artificiale affidabile non dipende soltanto dalla qualità degli algoritmi, ma anche dalla capacità dell’organizzazione di utilizzarli in modo responsabile, sicuro e documentabile.

– Trasparenza AI – Questo contenuto è stato realizzato con il supporto di sistemi di Intelligenza Artificiale generativa. Il contenuto finale è sottoposto a revisione umana e controllo editoriale ed è validato da Kairos s.r.l., che ne assume la responsabilità editoriale.
Scopri come utilizziamo l’Intelligenza Artificiale →