Il fatto normativo: un regolamento in vigore, applicazione a fasi
Il 1° agosto 2024 il Regolamento (UE) 2024/1689, noto come AI Act, è entrato in vigore nell'Unione Europea. È il primo quadro orizzontale al mondo dedicato all'intelligenza artificiale.
L'applicazione procede per fasi. Le pratiche vietate valgono dal 2 febbraio 2025, gli obblighi sui modelli per finalità generali decorrono dal 2 agosto 2025.
La piena applicabilità arriva il 2 agosto 2026. Questo calendario definisce la finestra operativa entro cui le organizzazioni allineano processi, contratti e documentazione. La scadenza cardine resta fissata a quella data.
Shadow AI: da rischio di sicurezza a esposizione legale
La cosiddetta shadow AI descrive l'uso di strumenti di intelligenza artificiale da parte dei dipendenti al di fuori dei canali approvati. Un'analisi pubblicata da TechRadar[1] colloca questo fenomeno all'incrocio tra sicurezza informatica e diritto.
Il segnale di governance è chiaro: l'adozione informale genera obblighi formali.
Quando un collaboratore immette dati aziendali in un sistema esterno, l'impresa assume la posizione di utilizzatore ai sensi del regolamento. La responsabilità segue l'uso reale, oltre le policy scritte. La velocità dell'adozione supera la capacità delle regole interne di aggiornarsi.
Chi risponde: la figura del deployer
L'AI Act distingue tra fornitore e utilizzatore del sistema. Il deployer è il soggetto che impiega l'IA nell'ambito della propria attività professionale.
La sintesi ufficiale del regolamento elenca gli obblighi a carico del deployer, tra cui la sorveglianza umana e il rispetto delle istruzioni d'uso, come riportato dalla panoramica ufficiale[2].
Questa architettura sposta il baricentro. Il fornitore progetta il modello, l'utilizzatore ne governa l'impiego quotidiano. Entrambi i ruoli portano responsabilità distinte e cumulabili.
Article 50 e l'obbligo di trasparenza
L'articolo 50 dell'AI Act impone obblighi di trasparenza per specifiche categorie di sistemi. Gli utenti devono sapere quando interagiscono con una macchina o con contenuti generati artificialmente.
La shadow AI erode questa trasparenza alla radice. Uno strumento adottato in autonomia sfugge alla tracciatura, quindi elude gli obblighi informativi previsti dalla norma.
Il risultato è un doppio deficit, tecnico e documentale. L'organizzazione perde visibilità sui flussi di dati e, in parallelo, accumula esposizione verso l'autorità di vigilanza. Il perimetro dell'audit si estende a ogni strumento in uso effettivo.
Accountability con un nome, per iscritto, prima del deployment
Una posizione guida questa analisi: l'accountability priva di un nome equivale a compliance theater. I quadri regolatori che evitano di indicare un ruolo responsabile producono documentazione, altro che governance reale.
La domanda operativa resta una. Quale ruolo, individuato per nome e per iscritto prima del deployment, risponde dell'uso conforme dei sistemi di IA?
Le imprese che assegnano questa responsabilità in modo esplicito trasformano la conformità in vantaggio competitivo. Chi struttura governance adesso guadagna un margine di 18-24 mesi quando l'enforcement entrerà a regime.
Classificazione del rischio e catalogo degli strumenti
Il regolamento adotta un approccio basato sul rischio. L'Annex III elenca i casi d'uso ad alto rischio, che attivano obblighi rafforzati di gestione, documentazione e sorveglianza.
La shadow AI rende impossibile classificare ciò che resta invisibile. Un sistema adottato fuori dai canali ufficiali sfugge alla mappatura del rischio.
Una postura di compliance calibrata per l'IT tradizionale risulta oggi sottodimensionata rispetto a questo contesto. L'audit resta necessario, la portata è cambiata: ora include l'intero parco di strumenti di IA realmente attivi in azienda.
Le sanzioni: l'ordine di grandezza dell'esposizione
Il regolamento fissa sanzioni proporzionate alla gravità della violazione. Per le pratiche vietate le multe raggiungono 35 milioni di euro o il 7% del fatturato annuo mondiale, secondo l'importo maggiore, come indicato dalla sintesi ufficiale[2].
Per la violazione di altri obblighi la soglia scende a 15 milioni di euro o il 3% del fatturato. La trasmissione di informazioni inesatte alle autorità comporta sanzioni fino a 7,5 milioni di euro.
Questi importi definiscono l'ordine di grandezza dell'esposizione. Un Chief Risk Officer che aggiorna il proprio framework parte da questa scala per pesare priorità e budget di mitigazione.
Oltre l'Europa: la frammentazione statunitense
Il panorama regolatorio statunitense segue una traiettoria opposta alla coerenza europea. Gli stati legiferano per segnalare posizione politica, generando un mosaico di regole locali.
Il Colorado ha sostituito la propria legge sull'IA prima ancora dell'entrata in vigore, un pattern che conferma la frammentazione strutturale.
Sulla base dell'evidenza accumulata, una legge federale coerente arriverà verosimilmente nell'orizzonte 2028-2030. Le multinazionali che operano su entrambe le sponde adottano lo standard europeo come baseline, poiché resta il più stringente e definito.
Tre decisioni per il consiglio
Il framework impone scelte concrete a chi governa l'organizzazione. Ecco tre decisioni da portare al tavolo di General Counsel, Chief Risk Officer e Audit & Risk Committee.
- Censimento. Avviare un inventario completo degli strumenti di IA in uso, inclusi quelli adottati informalmente dai team.
- Nomina. Individuare per iscritto il ruolo responsabile dell'uso conforme, prima di ogni nuovo deployment.
- Disclosure. Definire quale informativa il Board deve ricevere sull'esposizione derivante dalla shadow AI.
Ogni decisione richiede una data e un titolare. Il consiglio traduce così un obbligo astratto in un piano verificabile.
Regulatory horizon
Stato attuale: il regolamento è in vigore dal 1° agosto 2024, con applicazione scaglionata. La giurisdizione è l'Unione Europea, con effetti extraterritoriali su fornitori e utilizzatori che operano nel mercato interno.
La scadenza cardine resta il 2 agosto 2026, data della piena applicabilità per i sistemi ad alto rischio. Gli obblighi di trasparenza dell'articolo 50 seguono lo stesso orizzonte.
La domanda relativa alla natura della shadow AI ha trovato risposta: è una questione legale, oltre che di sicurezza. Una seconda domanda si apre, ovvero quale ruolo interno ne risponderà per nome.
Questo articolo è stato redatto da un autore editoriale AI con supervisione umana, in conformità agli obblighi di trasparenza del Regolamento (UE) 2024/1689 (AI Act, Art. 50). Le fonti sono linkate nel testo.
Article by ATLAS
Fonti
- TechRadar 31 ago 2026 (techradar.com)
- panoramica ufficiale (artificialintelligenceact.eu)