La governance AI nelle imprese non è più una questione tecnica delegabile all’IT: il Regolamento UE 2024/1689 (AI Act) assegna obblighi giuridicamente vincolanti a chi sviluppa o usa sistemi di IA ad alto rischio, con sanzioni fino al 3% del fatturato mondiale. Per uno studio legale che assiste aziende clienti, ignorare questi profili significa esporre il cliente a responsabilità civile per danni da bias algoritmico e a sanzioni amministrative. La supervisione umana prevista dall’art. 14 AI Act diventa una clausola contrattuale da negoziare già oggi.
Punti chiave
- Punto 1 — L’AI Act (Reg. UE 2024/1689) è in vigore: alcuni obblighi scattano già dal 2 febbraio 2025.
- Punto 2 — I contratti con fornitori AI devono includere clausole su trasparenza, audit e supervisione umana.
- Punto 3 — Il danno da algoritmo discriminatorio può fondare responsabilità extracontrattuale ex art. 2050 c.c.
Ogni azienda cliente che adotta sistemi di intelligenza artificiale — anche solo per la selezione del personale o la profilazione commerciale — si trova oggi esposta a obblighi normativi che il suo legale deve conoscere prima che li scopra il mercato o un’ispezione. La governance AI non è più un optional di conformità volontaria: è un perimetro di responsabilità civile e amministrativa che lo studio deve saper mappare e presidiare contrattualmente.
Il tema emerge con forza dal dibattito sull’adozione dell’IA nelle imprese italiane, dove cresce la consapevolezza che trasparenza, supervisione umana e monitoraggio dei modelli riducono rischi operativi, bias e costi nascosti. L’analisi originale è disponibile su Agenda Digitale.
Il contesto normativo
Il Regolamento UE 2024/1689 (AI Act), pubblicato in Gazzetta Ufficiale UE il 12 luglio 2024 ed entrato in vigore il 1° agosto 2024, costruisce un sistema a livelli di rischio con obblighi progressivi. Dal 2 febbraio 2025 sono già vietati i sistemi di IA a rischio inaccettabile (art. 5). Dal 2 agosto 2026 entreranno in piena applicazione gli obblighi per i sistemi ad alto rischio (Allegato III), tra cui quelli usati in ambito HR, credito e accesso a servizi essenziali.
Sul piano della responsabilità civile interna, l’art. 2050 c.c. — attività pericolose — offre già oggi un fondamento solido per chi subisce un danno da un sistema algoritmico non correttamente supervisionato: la prova liberatoria a carico dell’impresa è difficile se mancano log di monitoraggio e procedure di controllo umano documentate. La Direttiva UE 2022/2874 sulla responsabilità per i prodotti difettosi, in corso di recepimento, estenderà esplicitamente la tutela ai danni da software e IA.
Cosa cambia per lo studio
- Due diligence AI nei contratti di fornitura. Prima di firmare qualsiasi contratto con un fornitore di soluzioni AI, il cliente deve ottenere documentazione tecnica sul modello usato, la sua classificazione di rischio e le misure di supervisione umana previste dall’art. 14 AI Act. Inserisci clausole di audit e di aggiornamento della documentazione.
- Revisione delle policy interne sul personale. Se il cliente usa IA per selezione, valutazione delle prestazioni o gestione delle presenze, si applica l’Allegato III AI Act (sistemi ad alto rischio). Servono una valutazione di conformità e un registro delle attività: assenza di questi documenti espone a sanzioni fino al 3% del fatturato mondiale annuo.
- Clausole di indennizzo nei contratti B2B. Negozia indennizzi specifici per i casi in cui un sistema AI del fornitore genera bias o decisioni errate che causano danno al cliente finale. La responsabilità in solido è concreta, specialmente dopo che la Direttiva 2022/2874 sarà recepita.
- Conservazione dei log decisionali. L’art. 12 AI Act obbliga i fornitori di sistemi ad alto rischio a garantire la tracciabilità delle decisioni automatizzate. Controlla che il cliente riceva effettivamente questi log e li conservi: in caso di contenzioso, sono la prova principale.
- Formazione interna dello studio. Se lo studio usa strumenti AI per la ricerca giuridica o la redazione di atti, anche internamente si applicano i principi di supervisione umana. Una policy scritta sull’uso dell’AI nello studio riduce il rischio disciplinare davanti al CNF.
Attenzione a
Errore frequente: trattare l’AI Act come norma futura. Molti colleghi e clienti pensano che gli obblighi scattino tutti nel 2026. Non è così: il divieto sui sistemi a rischio inaccettabile è già operativo dal 2 febbraio 2025, e le norme sui modelli di IA per uso generale (GPAI) si applicano dal 2 agosto 2025. Un cliente che usa oggi un sistema di riconoscimento emotivo per valutare i dipendenti potrebbe già essere fuori legge.
Rischio di regressione del modello non monitorata. I sistemi AI non sono statici: un modello che funzionava correttamente a gennaio può produrre decisioni distorte a giugno se i dati di input cambiano. Se il contratto con il fornitore non prevede obblighi di monitoraggio continuo e notifica delle regressioni, il cliente ne risponde per intero verso i terzi danneggiati. Inserisci SLA specifici su accuratezza minima e frequenza dei test.
Domande frequenti
Quali obblighi dell’AI Act sono già in vigore nel 2025?
Dal 2 febbraio 2025 sono vietati i sistemi di IA a rischio inaccettabile elencati all’art. 5 AI Act, tra cui quelli di manipolazione subliminale e di social scoring. Dal 2 agosto 2025 entrano in vigore gli obblighi sui modelli di IA per uso generale (GPAI). Gli obblighi sui sistemi ad alto rischio dell’Allegato III diventano pienamente applicabili dal 2 agosto 2026.
Un’azienda può essere ritenuta responsabile per danni causati da un algoritmo?
Sì. L’art. 2050 c.c. consente già oggi di agire per danni da attività pericolose: l’impresa deve provare di aver adottato tutte le misure idonee, incluse supervisione umana documentata e monitoraggio del modello. In assenza di log e procedure scritte, la prova liberatoria è di fatto impossibile. La Direttiva UE 2022/2874, in corso di recepimento, rafforzerà ulteriormente questa tutela estendendola esplicitamente al software.
Cosa inserire in un contratto con un fornitore di software AI per tutelare il cliente?
Almeno cinque elementi: classificazione del rischio del sistema secondo l’AI Act, documentazione tecnica aggiornata, clausola di audit periodico, SLA su accuratezza minima e frequenza dei test di regressione, e indennizzo specifico per danni a terzi causati da decisioni algoritmiche errate o discriminatorie. Senza questi punti il cliente resta esposto in solido verso i danneggiati.
Fonte di riferimento: AgendaDigitale