L’AI Act europeo è il primo regolamento al mondo sull’intelligenza artificiale. È entrato in vigore ad agosto 2024 e sta diventando vincolante per le aziende in modo progressivo. Se la tua impresa usa, vende o integra sistemi di intelligenza artificiale, questo regolamento ti riguarda direttamente.
Non si tratta solo di un adempimento burocratico. L’AI Act cambia il modo in cui le aziende devono strutturare i propri contratti. Introduce obblighi precisi verso clienti, fornitori e partner commerciali. E richiede una gestione documentale molto più attenta di quella a cui molte PMI sono abituate.
In questa guida vedremo cosa prevede il regolamento, quali obblighi contrattuali introduce e come adeguare i propri documenti in modo concreto.
Cos’è l’AI Act europeo e perché riguarda la tua azienda
L’AI Act europeo classifica i sistemi di intelligenza artificiale in base al livello di rischio che presentano. Più il rischio è alto, più gli obblighi sono stringenti.
Le categorie principali sono quattro:
- Rischio inaccettabile: sistemi vietati (es. riconoscimento biometrico di massa in luoghi pubblici)
- Alto rischio: sistemi soggetti a obblighi severi (es. AI usata in selezione del personale, credito, istruzione)
- Rischio limitato: obblighi di trasparenza verso gli utenti
- Rischio minimo: nessun obbligo specifico
La maggior parte delle aziende tech e delle PMI innovative rientra nelle categorie di rischio limitato o alto. In entrambi i casi, gli impatti sui contratti sono significativi.
AI Act obblighi aziende: a chi si applica il regolamento
Il regolamento distingue due figure principali.
Provider (o fornitore): chi sviluppa e mette sul mercato un sistema AI. Se costruisci un prodotto con AI integrata, sei un provider.
Deployer (o utilizzatore): chi usa un sistema AI già esistente nell’ambito della propria attività. Se usi uno strumento AI di terzi per automatizzare processi interni, sei un deployer.
Questa distinzione è fondamentale. Gli obblighi del provider sono più ampi: deve garantire conformità tecnica, documentazione, trasparenza e supervisione umana. Il deployer ha obblighi minori, ma deve comunque verificare che il fornitore rispetti le regole e inserire clausole specifiche nei contratti.
Nota pratica: molte startup tech sono contemporaneamente provider verso i propri clienti e deployer verso i fornitori di modelli AI. In questo caso si applicano obblighi su entrambi i fronti. La Commissione europea ha chiarito che l’AI Act si applica a qualsiasi azienda i cui sistemi o output vengono usati nell’UE, indipendentemente dalla sede legale.
AI Act contratti: cosa cambia nei documenti commerciali
Questo è il punto più concreto per chi si occupa di sales, operations o legal in una PMI.
L’AI Act europeo non si limita a regolare la tecnologia. Impone obblighi che devono essere formalizzati nei contratti. Ignorarli espone l’azienda a sanzioni e responsabilità legali.
Contratti con i fornitori di AI
Se utilizzi API o modelli AI di terzi, il contratto con il fornitore deve includere:
- Dichiarazione di conformità: il fornitore deve attestare che il sistema AI rispetta i requisiti del regolamento
- Documentazione tecnica: accesso alle informazioni necessarie per verificare la conformità
- Clausola di audit: diritto di verifica del rispetto degli obblighi nel tempo
- Gestione degli incidenti: procedure per la notifica e la risoluzione di malfunzionamenti
Senza queste clausole contrattuali AI Act, il deployer rischia di essere ritenuto responsabile per le violazioni del fornitore. Gestire questi contratti in modo digitale e centralizzato ti permette di monitorare le scadenze e aggiornare i template quando cambiano i requisiti normativi: puoi approfondire come funziona questo processo nell’articolo su come gestire i contratti con i fornitori in modo digitale.
Contratti con i clienti
Se vendi un prodotto o servizio che include componenti AI, i contratti con i tuoi clienti devono indicare:
- La presenza di sistemi AI e il loro ruolo nel servizio
- Il livello di rischio del sistema, secondo la classificazione dell’AI Act
- Le limitazioni d’uso: per quali scopi il sistema può essere utilizzato
- La supervisione umana: in che modo l’utente mantiene il controllo sulle decisioni
Per i sistemi ad alto rischio, è obbligatorio anche un registro delle attività e una documentazione che dimostri il rispetto dei requisiti tecnici.
Contratti di lavoro e collaborazione
L’AI Act impatta anche i rapporti interni. Se i tuoi dipendenti o collaboratori usano sistemi AI nell’ambito del loro lavoro, è utile:
- Aggiornare le policy aziendali sull’uso degli strumenti AI
- Inserire nei contratti di collaborazione le responsabilità legate all’uso corretto dei sistemi
- Definire chi è responsabile della supervisione delle decisioni automatizzate
Anche la firma elettronica dei documenti aggiornati rientra in questo processo: è importante che ogni modifica ai contratti esistenti sia formalizzata con piena validità legale. Puoi approfondire questo aspetto nell’articolo su firma elettronica e validità legale in Italia.
Compliance AI Act Italia: le scadenze da conoscere
Il regolamento si applica in modo progressivo. Ecco le date principali:
- Febbraio 2025: divieto dei sistemi AI a rischio inaccettabile e obbligo di alfabetizzazione AI per il personale
- Agosto 2025: obblighi per i modelli AI di uso generale (GPAI)
- Agosto 2026: obblighi per i sistemi AI ad alto rischio (Allegato III)
- Agosto 2027: obblighi per i sistemi ad alto rischio integrati in prodotti regolamentati
In Italia, la vigilanza sull’applicazione del regolamento è affidata all’ACN (Agenzia per la Cybersicurezza Nazionale) e all’AgID, come stabilito dalla Legge italiana 132/2025. Il Garante Privacy mantiene competenza per i profili che si intersecano con il GDPR. Il calendario completo degli obblighi è disponibile direttamente sul portale ufficiale della Commissione europea e nella pagina di sintesi EUR-Lex del Regolamento UE 2024/1689.
Molte aziende pensano di avere tempo. In realtà, adeguare i contratti richiede mesi: bisogna analizzare i flussi esistenti, aggiornare i template, formare il team e verificare i fornitori. Chi inizia adesso è già in ritardo rispetto alle scadenze di agosto 2026.
Come adeguare i contratti all’AI Act: una checklist pratica
Ecco i passi concreti per adeguare i contratti all’AI Act in modo strutturato.
1. Mappa i sistemi AI che usi o fornisci
Fai un inventario. Quali strumenti AI usi internamente? Quali integri nel tuo prodotto? Quali fornisci ai clienti? Classifica ciascuno secondo le categorie di rischio del regolamento.
2. Identifica il tuo ruolo per ciascun sistema
Per ogni sistema AI, stabilisci se sei provider, deployer o entrambi. Questo determina quali obblighi si applicano.
3. Aggiorna i contratti con i fornitori
Verifica che i tuoi accordi con i fornitori di AI includano le clausole descritte sopra. Se non ci sono, rinegozia o aggiungi un addendum.
4. Aggiorna i contratti con i clienti
Inserisci le informazioni obbligatorie sulla presenza di AI, il livello di rischio e le modalità di supervisione umana.
5. Crea o aggiorna la documentazione tecnica
Per i sistemi ad alto rischio, prepara la documentazione tecnica richiesta e un sistema di log delle attività.
6. Centralizza e monitora
Tutti questi documenti devono essere facilmente accessibili e aggiornabili. Un sistema di gestione dei contratti digitale permette di mantenere versioni aggiornate, monitorare le scadenze e inviare reminder automatici.
AI Act PMI Italia: le opportunità da cogliere
L’AI Act europeo non è solo un obbligo. Per le PMI innovative, è anche un’opportunità competitiva.
Le aziende che si adeguano per prime possono:
- Differenziarsi dai competitor che non sono ancora conformi
- Aumentare la fiducia dei clienti, soprattutto in settori regolamentati
- Accedere più facilmente a partnership con grandi aziende che richiedono fornitori conformi
- Ridurre il rischio di sanzioni, che per i sistemi ad alto rischio possono arrivare fino a 15 milioni di euro o al 3% del fatturato globale annuo — e fino a 35 milioni o al 7% per le violazioni più gravi
Per le PMI il regolamento applica sempre l’importo più basso tra la percentuale e la cifra assoluta. Ma anche per una PMI da 10 milioni di fatturato, il 3% rappresenta 300.000 euro: una cifra che supera di molto il costo di un adeguamento preventivo.
La compliance non è un costo puro. È un investimento nella reputazione e nella sostenibilità del business. Come sottolinea il portale ufficiale della Commissione europea sull’AI Act, la conformità è pensata per rafforzare la fiducia nei sistemi AI e creare un vantaggio competitivo per le aziende europee.
Conclusioni
L’AI Act europeo sta cambiando le regole del gioco per tutte le aziende che usano o sviluppano intelligenza artificiale. Non è più una questione di futuro: le prime scadenze sono già operative e le successive arriveranno presto.
Il punto di partenza più concreto è proprio la contrattualistica. Aggiornare i contratti con fornitori e clienti, inserire le clausole obbligatorie e tenere tutto sotto controllo non è un’attività una tantum: è un processo continuo che richiede strumenti adeguati.
Se stai cercando un modo per gestire e aggiornare i tuoi contratti in modo semplice e centralizzato, HEU ti permette di creare, firmare e archiviare tutti i tuoi documenti in un’unica piattaforma, con reminder automatici sulle scadenze e template aggiornabili in pochi clic. Prenota una demo gratuita e scopri come semplificare la tua compliance all’AI Act.
FAQ
Cosa prevede l’AI Act europeo per le aziende che usano strumenti AI?
L’AI Act europeo impone obblighi diversi a seconda del ruolo dell’azienda (provider o deployer) e del livello di rischio del sistema AI utilizzato. In generale, le aziende devono garantire trasparenza verso gli utenti, inserire clausole specifiche nei contratti con fornitori e clienti e — per i sistemi ad alto rischio — mantenere una documentazione tecnica aggiornata e un sistema di supervisione umana.
Quali clausole contrattuali bisogna inserire per essere conformi all’AI Act?
Per essere conformi all’AI Act europeo, i contratti con i fornitori di AI devono includere dichiarazioni di conformità, accesso alla documentazione tecnica, clausole di audit e procedure per la gestione degli incidenti. I contratti con i clienti devono invece indicare la presenza di sistemi AI, il loro livello di rischio e le modalità di supervisione umana previste.
Quali sono le sanzioni previste dall’AI Act per le aziende non conformi?
Il Regolamento UE 2024/1689 prevede sanzioni su tre livelli in base alla gravità della violazione. Per l’uso di sistemi AI a rischio inaccettabile — quelli vietati — le sanzioni possono arrivare fino a 35 milioni di euro o al 7% del fatturato globale annuo. Per le violazioni degli obblighi applicabili ai sistemi ad alto rischio, la sanzione massima è di 15 milioni di euro o il 3% del fatturato. Per la fornitura di informazioni inesatte alle autorità di vigilanza, si applica un massimale di 7,5 milioni di euro o l’1,5% del fatturato. Per le PMI, il regolamento prevede sempre l’importo più basso tra la percentuale e la cifra assoluta. In Italia la vigilanza è affidata all’ACN (Agenzia per la Cybersicurezza Nazionale) e all’AgID, designate dalla Legge 132/2025.
L’AI Act si applica anche alle PMI italiane che usano AI di terzi come ChatGPT o strumenti simili?
Sì. Qualsiasi azienda che utilizza sistemi AI nell’ambito della propria attività — anche se sviluppati e forniti da terzi — è considerata deployer ai sensi del Regolamento UE 2024/1689 e soggiace agli obblighi che ne derivano. Questo vale anche per le PMI italiane che usano strumenti come ChatGPT, Copilot o qualsiasi altro modello AI integrato nei propri processi. Gli obblighi del deployer sono meno stringenti rispetto a quelli del provider, ma includono la verifica della conformità del fornitore e l’inserimento di clausole specifiche nei contratti commerciali. Come chiarito dalla Commissione europea, il regolamento si applica a qualsiasi azienda i cui sistemi o output vengono usati nell’Unione Europea, indipendentemente dalla sede legale del fornitore.
Luca è il CEO e co-fondatore di HEU. È avvocato, esperto di privacy e legaltech, e prima di fondare HEU ha lavorato per studi legali di prima fascia e nel dipartimento legale di un’importante azienda di energia. È esperto di contrattualistica e firme elettroniche. Luca nel tempo libero, è maestro e allenatore di sci alpino oltre che essere appassionato di golf.
