La compliance aziendale in materia di intelligenza artificiale non si esaurisce con il Regolamento UE 2024/1689 (AI Act): orientamenti EDPB, FAQ della Commissione, codici di buone pratiche e linee guida sul lavoro formano un sistema di soft law che produce effetti operativi concreti già oggi. Un avvocato o consulente d’impresa deve monitorare questi strumenti parallelamente alle norme vincolanti, perché le autorità di controllo li usano come parametro interpretativo in sede ispettiva e sanzionatoria. Ignorare la soft law equivale a costruire un programma di compliance su una mappa incompleta.
Punti chiave
- L’AI Act (Reg. UE 2024/1689) è in vigore, ma la soft law europea ne integra già l’applicazione pratica.
- Codici di buone pratiche e linee guida sul lavoro AI incidono sulle scelte operative delle imprese clienti.
- Le autorità di controllo usano orientamenti e FAQ come parametro nelle ispezioni: ometterli espone a rischio sanzionatorio.
Chi assiste imprese in materia di compliance deve aggiornare subito il proprio approccio consulenziale: il Regolamento UE 2024/1689 (AI Act) è solo il livello base. Orientamenti delle autorità europee, FAQ della Commissione, codici di buone pratiche e linee guida settoriali sul lavoro algoritmico formano già oggi un corpus di soft law che le autorità nazionali e comunitarie utilizzano come griglia interpretativa. Trascurare questo strato normativo secondario significa consegnare al cliente una due diligence incompleta.
Il punto lo rileva un’analisi pubblicata da Agenda Digitale: la compliance AI è un processo continuo che richiede lettura integrata tra AI Act, diritto nazionale e strumenti di soft law europei. La combinazione produce obblighi operativi concreti ben prima che le singole disposizioni dell’AI Act diventino pienamente applicabili.
Il contesto normativo
Il Regolamento UE 2024/1689 è entrato in vigore il 1° agosto 2024 con applicazione progressiva: le disposizioni sui sistemi AI vietati si applicano dal 2 febbraio 2025, quelle sui sistemi ad alto rischio dal 2 agosto 2026 (artt. 5 e 6, Reg. UE 2024/1689). Sul piano nazionale, il d.lgs. 13 dicembre 2017, n. 217 e le disposizioni del Codice della Privacy (d.lgs. 196/2003, come novellato dal d.lgs. 101/2018) continuano ad applicarsi ai trattamenti automatizzati con impatto sulle persone fisiche. Sul fronte lavoristico, l’art. 1 del d.lgs. 152/1997 e l’art. 4 dello Statuto dei Lavoratori (l. 300/1970) reggono già i controlli algoritmici sui dipendenti, mentre l’EDPB ha adottato linee guida che le autorità nazionali — Garante Privacy compreso — recepiscono nelle proprie istruttorie.
La Commissione europea ha inoltre pubblicato FAQ operative sull’AI Act e avviato il processo di redazione dei codici di buone pratiche previsti dall’art. 95 del Regolamento: questi strumenti non sono vincolanti, ma chi li rispetta beneficia di una presunzione di conformità. Chi li ignora, invece, si espone a un onere della prova più gravoso in caso di contestazione.
Cosa cambia per lo studio
- Mappatura integrata obbligatoria. Nella due diligence AI non basta censire i sistemi ad alto rischio ex art. 6 AI Act: occorre verificare se l’impresa cliente ha già adottato (o si è discostata da) codici di buone pratiche settoriali rilevanti.
- Monitoraggio continuo della soft law. Gli orientamenti EDPB, le FAQ della Commissione e le linee guida dell’AI Office UE escono con cadenza irregolare. Struttura un alert periodico — almeno mensile — dedicato a questi aggiornamenti.
- Contratti e clausole AI. Nei contratti con fornitori di sistemi AI, inserisci clausole che impongano l’aggiornamento della documentazione tecnica ogni volta che interviene una nuova linea guida rilevante per la categoria di rischio del sistema.
- Lavoro e algoritmi: doppio binario. Per i clienti con dipendenti sottoposti a sistemi di valutazione o monitoraggio automatizzati, la compliance richiede sia l’adeguamento all’AI Act sia la verifica rispetto all’art. 4 St. Lav. e alle linee guida EDPB sul trattamento dei dati in ambito occupazionale.
- Documentazione difensiva. Conserva evidenza scritta delle fonti di soft law consultate in fase di consulenza: in caso di ispezione o contenzioso, dimostrare che la valutazione ha tenuto conto degli orientamenti disponibili riduce significativamente l’esposizione del cliente.
Attenzione a
Confondere inapplicabilità temporanea con irrilevanza attuale. Molte disposizioni dell’AI Act non sono ancora applicabili, ma le autorità di controllo — in particolare il Garante Privacy — stanno già usando la logica e i criteri dell’AI Act nelle istruttorie su trattamenti automatizzati. Un cliente che rimanda tutto al 2026 rischia contestazioni già nel 2025 su basi normative preesistenti.
Sottovalutare i codici di buone pratiche come fonte di responsabilità indiretta. Se un codice settoriale viene recepito da un’associazione di categoria e l’impresa cliente ne fa parte, la mancata adesione può configurare un inadempimento agli obblighi associativi o, in sede civile, un elemento di colpa nella valutazione ex art. 2043 c.c. Non è uno scenario remoto: è già accaduto in ambito GDPR con i codici di condotta ex art. 40 Reg. UE 2016/679.
Domande frequenti
Quali obblighi AI Act sono già applicabili nel 2025?
Dal 2 febbraio 2025 si applicano i divieti sui sistemi AI inaccettabili elencati all’art. 5 del Reg. UE 2024/1689 (es. social scoring, manipolazione subliminale). Le norme sui sistemi ad alto rischio ex art. 6 diventano applicabili dal 2 agosto 2026. Le linee guida e i codici di buone pratiche producono però effetti interpretativi già oggi.
La soft law europea sull’AI è vincolante per le imprese italiane?
No, in senso formale. Orientamenti, FAQ e codici di buone pratiche non sono fonti vincolanti. Tuttavia, le autorità di controllo — incluso il Garante Privacy — li usano come parametro interpretativo nelle ispezioni. Chi rispetta i codici di buone pratiche beneficia di una presunzione di conformità ai sensi dell’art. 95 AI Act; chi li ignora si espone a un onere della prova più gravoso.
Come si applica lo Statuto dei Lavoratori ai sistemi AI di controllo dei dipendenti?
L’art. 4 della l. 300/1970 si applica a qualsiasi strumento di controllo a distanza dell’attività lavorativa, inclusi i sistemi algoritmici. Occorre accordo sindacale o autorizzazione ispettorato del lavoro, informativa ai dipendenti e verifica di proporzionalità. Le linee guida EDPB sul trattamento dei dati in ambito occupazionale integrano questi requisiti con obblighi aggiuntivi di trasparenza algoritmica.
Fonte di riferimento: AgendaDigitale
Leggi anche:
- AI nello studio legale: cosa cambia davvero per gli avvocati
- Rottamazione cartelle scadenze 2026-2027: guida