Per un agente AI aziendale oggi valgono due gruppi di regole. Dall'AI Act: adottare misure per formare chi lo usa (articolo 4), non usarlo per pratiche vietate (articolo 5) e, dal 2 agosto 2026, far sapere alle persone che parlano con un sistema di AI (articolo 50). Dal GDPR: le regole sui dati personali che l'agente legge. Gli obblighi dei sistemi ad alto rischio partono dal 2 dicembre 2027.
Questa guida spiega le regole generali e non sostituisce un parere legale sul tuo caso.
Un agente AI è un sistema ad alto rischio?
Di solito no. L'AI Act considera ad alto rischio i sistemi usati negli ambiti dell'allegato III, fra cui la selezione e la gestione del personale, l'istruzione, l'accesso al credito e ai servizi essenziali, e quelli che fanno da componente di sicurezza di prodotti già regolati, elencati nell'allegato I (regolamento (UE) 2024/1689 su EUR-Lex). Un agente che prepara ordini, smista email o compila preventivi non rientra in questi ambiti. Un agente che filtra i curricula o valuta il lavoro dei dipendenti sì, e prima di costruirlo serve un parere legale.
Da quando valgono gli obblighi?
Le date sono quelle del regolamento modificato dal Digital Omnibus, il regolamento (UE) 2026/1744 in vigore dal 27 luglio 2026, che ha rinviato gli obblighi dei sistemi ad alto rischio e riscritto l'articolo 4 (regolamento (UE) 2026/1744 su EUR-Lex).
| Obbligo | Articolo | Da quando |
|---|---|---|
| Misure per sviluppare le competenze di chi usa l'AI | 4 | 2 febbraio 2025, testo riscritto dal 27 luglio 2026 |
| Pratiche vietate | 5 | 2 febbraio 2025, con alcuni divieti aggiunti dall'Omnibus dal 2 dicembre 2026 |
| Trasparenza verso le persone che interagiscono con l'AI | 50 | 2 agosto 2026 |
| Sistemi ad alto rischio dell'allegato III | capo III | 2 dicembre 2027 |
| Sistemi ad alto rischio dell'allegato I | capo III | 2 agosto 2028 |
Per un agente che lavora con i clienti l'obbligo più vicino è il terzo. Chi mette in servizio un sistema che interagisce con le persone deve fare in modo che sappiano di parlare con un'AI, salvo che sia evidente dal contesto.
Che cosa chiede il GDPR a un agente?
Quasi ogni agente aziendale legge dati personali: nomi nelle email, anagrafiche dei clienti, dati dei colleghi. Il GDPR chiede cinque cose (regolamento (UE) 2016/679 su EUR-Lex):
- Solo i dati necessari al compito, per il principio di minimizzazione (articolo 5).
- Un'informativa che citi il trattamento, per chi riceve risposte o decisioni preparate dall'agente (articoli 13 e 14).
- Un contratto di trattamento con ogni fornitore coinvolto, compreso quello del modello (articolo 28).
- Nessuna decisione solo automatica con effetti rilevanti, come rifiutare un credito o un reso, senza le garanzie previste (articolo 22). Un agente che prepara la decisione per una persona non rientra qui.
- Una valutazione d'impatto quando il trattamento presenta un rischio elevato, per esempio con dati sanitari o con il monitoraggio dei dipendenti (articolo 35).
Come si limitano in pratica i dati che l'agente vede è spiegato nella guida su come collegare un agente AI ai documenti e ai gestionali.
E in Italia?
In Italia la legge 132/2025, in vigore dal 10 ottobre 2025, aggiunge regole nazionali sull'intelligenza artificiale (legge 23 settembre 2025, n. 132, su Normattiva). Per chi usa agenti in azienda conta soprattutto l'articolo 11: il datore di lavoro informa i lavoratori quando usa sistemi di intelligenza artificiale, nei casi e nei modi previsti dalle norme sulla trasparenza del rapporto di lavoro. Un agente che assegna il lavoro alle persone o ne misura la quantità va comunicato prima di accenderlo.
Che cosa si prepara prima del rilascio?
Prima di mettere un agente al lavoro conviene avere pronti cinque documenti, anche brevi:
- la scheda delle regole d'ingaggio, firmata da chi è responsabile del processo;
- una nota che spiega perché l'uso non rientra fra le pratiche vietate né negli ambiti ad alto rischio;
- l'informativa aggiornata per clienti e dipendenti, se l'agente tratta i loro dati o lavora con loro;
- il contratto di trattamento con ogni fornitore, modello compreso;
- il registro della formazione di chi userà o seguirà l'agente.
Il registro delle operazioni e le metriche da tenere dopo il rilascio sono nella guida su come si porta un agente in produzione. Un quadro dell'AI Act pensato per le PMI è nell'articolo di Deepelse sull'AI Act per le aziende italiane.
Domande frequenti su agenti AI
Un chatbot sul sito deve dire che è un'intelligenza artificiale?
Sì. Dal 2 agosto 2026 l'articolo 50 dell'AI Act chiede che le persone che interagiscono con un sistema di AI ne siano informate, salvo che sia evidente dal contesto. Basta una frase chiara all'inizio della conversazione. Conviene fare lo stesso con un agente che risponde alle email dei clienti senza passare da una persona.
Chi risponde se l'agente sbaglia?
Verso clienti e dipendenti risponde l'azienda che lo usa, come per qualunque strumento di lavoro. Per questo contano la conferma umana sulle azioni che escono dall'azienda, il registro delle operazioni e un responsabile del processo con nome e cognome. Il rapporto con chi ha costruito l'agente si regola nel contratto di fornitura.
Serve una valutazione d'impatto per un agente AI?
Serve quando il trattamento dei dati presenta un rischio elevato per le persone, come chiede l'articolo 35 del GDPR: per esempio un agente che lavora su dati sanitari, su larga scala o per controllare i dipendenti. Per un agente che prepara bozze d'ordine dalle email di clienti aziendali di solito no. La decisione va presa con chi si occupa di protezione dei dati, e annotata.
Fonti
- Regolamento (UE) 2024/1689 (AI Act), articoli 4, 5, 6, 50 e allegati I e III, su EUR-Lex
- Regolamento (UE) 2026/1744 (Digital Omnibus sull'IA), nuove date e nuovo articolo 4, su EUR-Lex
- Regolamento (UE) 2016/679 (GDPR), articoli 5, 13, 14, 22, 28 e 35, su EUR-Lex
- Legge 23 settembre 2025, n. 132, articolo 11, su Normattiva
- Commissione europea, AI Act Service Desk, calendario di attuazione
Scritto da
Co-founder, CTO e COO di Deepelse
Giovanni Vanini è co-founder di Deepelse, dove guida la parte tecnica e operativa: architetture degli agenti, scelta dei modelli, integrazioni con gestionali e CRM, agenti vocali.
