AI Act e ChatGPT in azienda: cosa si può fare e cosa no

Il fornitore del gestionale delle risorse umane ha attivato, senza dirlo a nessuno, una funzione che analizza il tono di voce degli operatori del call center per misurarne il coinvolgimento. È vietata dal 2 febbraio 2025, eppure quasi nessuna azienda che la usa lo sa. È il tipo di sorpresa che l'AI Act riserva a chi pensa che il regolamento riguardi solo chi sviluppa modelli. In realtà tocca chiunque usi ChatGPT, Claude o Gemini in azienda, e la buona notizia è che nella maggior parte dei casi quell'uso è del tutto lecito. Il criterio che tiene insieme tutto è semplice: il regolamento non guarda allo strumento, guarda all'uso. Lo stesso assistente può essere libero in un contesto e ad alto rischio in un altro.

Ciò che è vietato, senza eccezioni

Due pratiche restano fuori discussione, qualunque sia il consenso raccolto. Un software che misura il coinvolgimento dal tono di voce degli operatori, o l'attenzione dall'espressione facciale, viola l'articolo 5 del regolamento fin dal 2 febbraio 2025: il consenso del lavoratore non rende lecita la pratica, non esiste una versione ammessa con l'autorizzazione dell'interessato. Restano permessi solo gli usi per motivi medici o di sicurezza, per esempio rilevare la sonnolenza di chi guida un mezzo. L'altro divieto riguarda i profili dei clienti che producono trattamenti sfavorevoli in contesti scollegati da quello in cui i dati sono stati raccolti: se un punteggio interno costruito per uno scopo genera uno svantaggio in un ambito diverso, si avvicina al punteggio sociale vietato dallo stesso articolo 5, ed è un confine sottile che vale sempre la pena far valutare da chi segue la conformità.

Il criterio unico: non lo strumento, ma l'uso

Prima di elencare cosa è permesso, vale la pena fissare il principio che spiega perché la stessa tecnologia cambia verdetto da un caso all'altro. Gli obblighi scattano quando il risultato esce verso l'esterno, quando riguarda persone, o quando il sistema decide al posto di qualcuno. Un assistente che riassume un verbale interno e uno che risponde ai clienti sul sito sono la stessa tecnologia, ma vivono in due categorie di rischio diverse, con obblighi diversi.

Ciò che si può fare senza adempimenti particolari

Riassumere documenti e verbali interni non comporta obblighi oltre all'alfabetizzazione del personale prevista dall'articolo 4, perché il risultato resta interno e non riguarda decisioni su persone. Scrivere bozze di email e testi commerciali è permesso: se il testo finale viene rivisto da una persona e pubblicato come contenuto aziendale, non è un contenuto sintetico ai sensi dell'articolo 50, ma un testo aziendale scritto con un aiuto. Vale la stessa logica per tradurre documentazione. Scrivere e correggere codice è permesso, con l'unica attenzione ai contratti di licenza del fornitore, materia distinta dall'AI Act. E analizzare dati aggregati e anonimi è permesso, e resta fuori anche dal GDPR se i dati sono davvero anonimi.

Ciò che si può fare con un avviso

Un chatbot sul sito che risponde ai clienti richiede un avviso chiaro, visibile prima che la conversazione cominci: l'utente deve sapere di parlare con un sistema automatico, e una riga nascosta nelle condizioni d'uso non soddisfa l'obbligo, in vigore dal 2 agosto 2026 con sanzioni fino a 15 milioni di euro o al 3% del fatturato. Le immagini o i video generati per la comunicazione vanno etichettati come contenuti generati o manipolati artificialmente, sui social, sul sito, nelle campagne: la marcatura tecnica leggibile dalle macchine, per i sistemi già sul mercato al 2 agosto 2026, diventa obbligatoria dal 2 dicembre 2026. Un assistente vocale che gestisce le chiamate ha lo stesso obbligo del chatbot, da assolvere all'inizio della telefonata, perché chi chiama deve capire subito con cosa sta parlando. E l'analisi del sentiment sulle recensioni dei clienti è permessa con avviso se produce decisioni che toccano le persone: il divieto sul riconoscimento delle emozioni riguarda il posto di lavoro e le scuole, non i clienti.

Ciò che diventa alto rischio dal 2027

Tre usi molto diffusi ricadono nell'allegato III, con obblighi che scattano dal 2 dicembre 2027 ma che richiedono almeno dodici mesi di lavoro di conformità: valutazione dei rischi, documentazione, sorveglianza umana strutturata, informazione alle persone coinvolte. La selezione automatica dei curriculum e la valutazione del merito creditizio dei clienti condividono questa categoria e questa scadenza; nel frattempo restano comunque in vigore gli obblighi del GDPR, articolo 22 compreso, sul diritto a non essere sottoposti a decisioni puramente automatizzate. L'assegnazione di turni o la valutazione delle prestazioni dei dipendenti rientra nello stesso allegato, per la gestione dei lavoratori, e qui si somma la normativa giuslavoristica italiana, che ha regole proprie sul controllo a distanza.

Le due cose da fare questa settimana

La prima è guardare il chatbot, se in azienda ce n'è uno: l'avviso c'è, ed è visibile prima che l'utente scriva? È l'adempimento più rapido da verificare e quello con l'esposizione più immediata. La seconda è chiedere al fornitore del gestionale quali funzioni di AI sono attive: quasi nessuna azienda lo sa, e le funzioni di analisi emotiva dentro i software per le risorse umane sono più diffuse di quanto si immagini. Se se ne trova una attiva, va spenta subito, perché quel divieto è in vigore da oltre un anno.

Da tenere presente anche la Legge 132/2025, in vigore dal 10 ottobre 2025, il cui articolo 11 introduce obblighi informativi specifici verso i lavoratori quando l'AI viene impiegata in ambito lavorativo, rafforzando il quadro già previsto dal regolamento europeo. Il riferimento normativo di fondo resta il Regolamento (UE) 2024/1689, articoli 4, 5, 26, 50, 99 e allegato III, insieme al GDPR per la parte sulle decisioni automatizzate. Questo quadro non sostituisce una valutazione legale sul caso concreto. Se vuoi verificare gli usi di AI già attivi nella tua azienda, parliamone.