L’adozione dell’intelligenza artificiale nei processi aziendali genera nuove clausole contrattuali, ridefinisce la responsabilità da prodotto e impone verifiche di conformità all’AI Act (Reg. UE 2024/1689). Lo studio legale che assiste PMI o grandi imprese deve saper identificare i sistemi AI ad alto rischio, valutare i contratti con i fornitori tecnologici e presidiare gli obblighi di trasparenza verso dipendenti e clienti. Chi non aggiorna la propria competenza consulenziale in questo settore perde mandate a favore di colleghi più attrezzati.
Punti chiave
- L’AI Act classifica i sistemi AI per livello di rischio e impone obblighi diversi alle imprese clienti.
- I contratti con fornitori AI devono includere clausole su conformità, audit e responsabilità per danni.
- L’automazione dei processi HR con AI attiva obblighi di informazione verso i lavoratori ex art. 22 GDPR.
Chi assiste aziende clienti non può più trattare l’intelligenza artificiale come una questione tecnica esterna alla consulenza legale. I sistemi AI integrati nei processi aziendali — dalla selezione del personale alla gestione del credito, dall’analisi contrattuale alla customer service automatizzata — producono effetti diretti su responsabilità civile, rapporti di lavoro e obblighi normativi. L’avvocato d’impresa che non presidia questo perimetro lascia scoperta un’area di rischio reale per il cliente.
Secondo un’analisi pubblicata da Agenda Digitale, l’AI agentica e le piattaforme digitali stanno modificando funzioni interne, competenze professionali e criteri di valore nelle organizzazioni, con differenze marcate tra grandi imprese e PMI. Il tema della conformità normativa rimane centrale, così come l’integrazione tra sistemi esistenti e nuovi strumenti AI.
Il contesto normativo
Il Regolamento UE 2024/1689 (AI Act), applicabile per fasi a partire dal 2 febbraio 2025 con piena efficacia dal 2 agosto 2026, classifica i sistemi AI in quattro categorie di rischio: inaccettabile, alto, limitato e minimo. I sistemi ad alto rischio — tra cui quelli usati in ambito HR, scoring creditizio, istruzione e gestione di infrastrutture critiche — impongono all’impresa che li usa obblighi di valutazione della conformità, registrazione nel database UE e sorveglianza umana continua (artt. 9-17 AI Act). Sul fronte privacy, l’art. 22 del Regolamento UE 2016/679 (GDPR) vieta decisioni automatizzate che producano effetti giuridici significativi sull’interessato senza intervento umano, salvo eccezioni tassative. Sul versante della responsabilità civile, la Direttiva UE 2022/2046 sulla responsabilità da AI — in corso di recepimento negli Stati membri — introduce una presunzione relativa di nesso causale a favore del danneggiato quando il fornitore o l’utilizzatore omette di fornire documentazione tecnica richiesta.
Cosa cambia per lo studio
- Revisione dei contratti con fornitori tecnologici. I contratti di fornitura software e SaaS vanno integrati con clausole che identifichino la categoria di rischio del sistema AI, distribuiscano la responsabilità per danni a terzi e prevedano obblighi di aggiornamento in caso di variazione normativa. Senza queste clausole, l’azienda cliente resta esposta in caso di audit o contenzioso.
- Verifica degli obblighi in materia di lavoro. L’impresa che usa AI per selezione, valutazione delle prestazioni o gestione dei turni deve rispettare l’art. 22 GDPR e, per i sistemi ad alto rischio, gli obblighi di trasparenza verso i lavoratori previsti dall’AI Act. Lo studio deve verificare se i contratti collettivi applicabili già disciplinano l’uso di sistemi algoritmici.
- Mappatura dei sistemi AI in uso. Prima di qualsiasi consulenza sulla conformità, serve un inventario dei sistemi AI effettivamente utilizzati dall’azienda, distinto tra sistemi propri e sistemi in licenza. Questa mappatura è il presupposto per qualsiasi analisi di rischio.
- Aggiornamento delle informative privacy. Le informative ex art. 13 GDPR devono indicare l’eventuale uso di sistemi decisionali automatizzati, la logica sottostante e le conseguenze per l’interessato. Un’informativa generica espone l’azienda a sanzioni del Garante fino al 4% del fatturato globale annuo.
- Presidio delle differenze PMI/grande impresa. Le PMI beneficiano di alcune semplificazioni nell’AI Act (es. accesso preferenziale ai sandbox regolatori), ma non sono esonerate dagli obblighi sostanziali per i sistemi ad alto rischio. L’avvocato deve calibrare la consulenza su questa distinzione senza uniformare le soluzioni.
Attenzione a
Confondere fornitore e utilizzatore di AI. L’AI Act distingue nettamente tra il provider che sviluppa il sistema e il deployer che lo usa in contesto aziendale. Un’azienda cliente che configura e personalizza un sistema AI acquistato può essere riqualificata come provider con obblighi molto più onerosi (art. 25 AI Act). Questa distinzione va chiarita contrattualmente prima che sorga un problema, non dopo.
Sottovalutare i rischi da AI agentica. I sistemi AI agentici — capaci di agire autonomamente su più fasi di un processo senza intervento umano per ogni singola azione — pongono problemi di imputazione della responsabilità che le attuali categorie contrattuali non coprono adeguatamente. In assenza di giurisprudenza consolidata, la via più sicura resta una clausola contrattuale che fissi soglie di autonomia e obblighi di log verificabile.
Domande frequenti
Quali obblighi ha un’azienda che usa AI per la selezione del personale secondo il GDPR?
L’art. 22 GDPR vieta decisioni basate esclusivamente su trattamento automatizzato che producano effetti giuridici sull’interessato, salvo consenso esplicito, necessità contrattuale o previsione di legge. In ogni caso, l’azienda deve garantire intervento umano significativo, non meramente formale. L’AI Act aggiunge per i sistemi HR ad alto rischio obblighi di documentazione tecnica, valutazione di conformità e sorveglianza continua prima della messa in uso.
Chi risponde dei danni causati da un sistema AI usato in azienda, il fornitore o il cliente?
Dipende dal ruolo: se l’azienda si limita a usare il sistema senza modificarlo, risponde in via principale il fornitore come provider AI. Se invece l’azienda configura, personalizza o integra il sistema in un processo proprietario, può essere riqualificata come provider ai sensi dell’art. 25 AI Act, con conseguente estensione degli obblighi e della responsabilità. La distribuzione del rischio va fissata contrattualmente.
L’AI Act si applica già alle PMI italiane nel 2025?
Dal 2 febbraio 2025 sono vietati i sistemi AI a rischio inaccettabile per tutti, comprese le PMI. Dal 2 agosto 2025 scattano gli obblighi per i sistemi AI general purpose. Gli obblighi sui sistemi ad alto rischio diventano pienamente esigibili dal 2 agosto 2026. Le PMI beneficiano di misure di sostegno come sandbox regolatori e documentazione semplificata, ma restano soggette agli obblighi sostanziali per i sistemi ad alto rischio.
Fonte di riferimento: AgendaDigitale