Di che cosa si tratta
Prepari un elenco di una pagina con i modi in cui la sua azienda usa l’IA e le regole che valgono per ciascuno. Nei casi documentati, alle aziende sono state applicate regole che conoscevano già: rispondere di ciò che si dice ai clienti, proteggere i dati personali, non ingannare nella pubblicità, controllare ciò che si deposita. Lo strumento era nuovo. La regola era vecchia.
Che cosa mostrano le prove
Questo consiglio si basa sulle decisioni e sulle indicazioni di tribunali e autorità di controllo in quattro Paesi, sulle clausole standard delle polizze assicurative negli Stati Uniti e sul testo del regolamento UE sull’intelligenza artificiale (AI Act). Ogni regola è indicata insieme al luogo in cui si applica.
Regole che esistevano prima dell’IA
- Lei risponde di ciò che la sua IA dice ai clienti (Canada, Columbia Britannica). Air Canada ha sostenuto che la compagnia aerea non era responsabile della risposta sbagliata del suo chatbot. Il tribunale ha stabilito che un’azienda è responsabile di tutte le informazioni sul suo sito web, che vengano da “a static page or a chatbot” [“una pagina statica o un chatbot”].
- La legge sulla privacy copre ciò che il personale digita negli strumenti di IA (Australia, Victoria). L’autorità per la privacy dello Stato ha stabilito che un dipartimento pubblico aveva violato due principi sulla privacy dopo che un’operatrice aveva digitato in ChatGPT i dettagli di un caso: il dovere di mantenere esatte le informazioni personali e il dovere di proteggerle da comunicazioni non autorizzate.
- La legge a tutela dei consumatori copre l’IA che lei usa (Stati Uniti). La Federal Trade Commission ha vietato a Rite Aid il riconoscimento facciale per cinque anni. La Commissione ha detto che la catena aveva usato il sistema senza testarlo, senza controllare i suoi fornitori e senza formare il personale.
- Le regole sulla pubblicità coprono ciò che lei dice sull’IA (Stati Uniti). La Securities and Exchange Commission ha multato due consulenti finanziari, in base alla sua regola già in vigore sul marketing, perché dichiaravano un’IA che non avevano. La Federal Trade Commission è intervenuta contro un servizio di “robot lawyer” [“avvocato robot”] e contro un fornitore di rilevatori di testi scritti con l’IA per affermazioni non verificate.
- Le regole sulla pubblicità valgono comunque sia stato fatto l’annuncio (Regno Unito). L’Advertising Standards Authority dice che il suo codice vale che un annuncio sia stato fatto con l’IA o no, e che l’automazione “doesn’t transfer liability” [“non trasferisce la responsabilità”]. Si è basata su una decisione precedente in cui gli strumenti automatici di Google avevano composto un annuncio per un piccolo rivenditore di abbigliamento. L’autorità ha ritenuto responsabile il rivenditore.
- Gli strumenti di selezione del personale possono portare il fornitore in tribunale (Stati Uniti). Un tribunale federale ha lasciato procedere come azione collettiva un’azione nazionale per discriminazione in base all’età contro Workday, la cui IA seleziona i candidati per conto dei suoi clienti. Nel luglio 2025 il tribunale l’ha estesa alle funzioni di IA di un prodotto che Workday ha acquistato in seguito. Le decisioni sono preliminari, e nessun tribunale ha ritenuto Workday responsabile.
- I doveri professionali non sono cambiati (Stati Uniti, Inghilterra e Galles). I tribunali hanno sanzionato o segnalato all’autorità avvocati che avevano depositato risultati dell’IA che nessuno aveva controllato, in studi legali di New York, dell’Inghilterra, del Wyoming e dell’Alabama. Un tribunale statunitense ha scritto che, mentre gli avvocati passano all’IA, il dovere di controllare le proprie fonti “remains unchanged” [“resta invariato”].
La sua assicurazione potrebbe non coprire i risultati dell’IA (Stati Uniti)
La stampa di settore riferisce che ISO di Verisk, che scrive le clausole standard delle polizze usate dagli assicuratori statunitensi, ha pubblicato tre appendici facoltative datate gennaio 2026: CG 40 47, CG 40 48 e CG 35 08. Un’appendice è un’aggiunta a una polizza. Queste permettono a un assicuratore di togliere dalla copertura di una polizza di responsabilità civile generale le perdite causate dall’IA generativa. Al rinnovo, chieda al suo broker se l’IA è esclusa, e quanto costa coprirla.
Regole scritte per l’IA: l’AI Act dell’Unione europea
L’AI Act (regolamento (UE) 2024/1689) riguarda le organizzazioni che usano l’IA nell’UE, non solo quelle che la costruiscono. Il regolamento chiama chi la usa “deployer”. Le sue regole si applicano da date diverse. Le date qui sotto vengono dall’articolo 113, nel testo modificato fino al 27 luglio 2026.
| Da quando | Che cosa si applica | Articolo |
|---|---|---|
| 2 febbraio 2025 | Le organizzazioni che usano l’IA devono “take measures to support the development of AI literacy of their staff” [“adottare misure per favorire lo sviluppo dell’alfabetizzazione sull’IA del loro personale”]. In parole semplici: aiuti il suo personale a capire l’IA. | 4 |
| 2 agosto 2026 | I sistemi di IA che parlano con le persone devono essere progettati in modo che le persone sappiano di avere a che fare con l’IA, a meno che sia evidente. Chi pubblica un deepfake deve dire che è stato generato artificialmente. Un deepfake è un’immagine, un audio o un video realistico di qualcosa che non è accaduto. | 50 |
| 2 dicembre 2027 | Obblighi per chi usa sistemi di IA “ad alto rischio” negli ambiti elencati nell’allegato III. L’elenco comprende la ricerca o la selezione di persone, le decisioni sui lavoratori e la valutazione dell’affidabilità creditizia di una persona. | 26 |
Per i sistemi ad alto rischio, l’articolo 26 dice che chi usa il sistema deve:
- usarlo secondo le istruzioni del fornitore;
- affidarne la sorveglianza a persone con “the necessary competence, training and authority” [“la competenza, la formazione e l’autorità necessarie”];
- come datore di lavoro, informare i lavoratori e i loro rappresentanti prima di usare un sistema del genere sul lavoro;
- informare le persone quando un sistema del genere prende, o aiuta a prendere, una decisione che le riguarda.
Come si fa
- Elenchi ogni uso dell’IA in azienda. Includa gli strumenti che il personale ha adottato di propria iniziativa. Per ciascuno, annoti che cosa fa e chi riguarda: clienti, personale, candidati, nessuno all’esterno.
- Segni gli usi che riguardano persone. Risposte ai clienti, dati personali, decisioni su assunzioni e personale, decisioni sul credito, e tutto ciò che pubblica o pubblicizza.
- Abbini ogni uso segnato alle regole che già rispetta. Si chieda per ciascuno: se lo facesse una persona, quale regola si applicherebbe? Quella regola si applica.
- Se opera nell’UE, confronti le tre date dell’AI Act indicate sopra con il suo elenco. Gli strumenti per le assunzioni e le verifiche del merito creditizio sono gli usi che più probabilmente rientrano tra quelli “ad alto rischio”.
- Controlli l’autorità di controllo del suo settore. Ordini professionali, autorità finanziarie e autorità per la protezione dei dati hanno pubblicato indicazioni sull’IA. Legga quelle che la riguardano.
- Riporti il risultato nel suo regolamento sull’uso dell’IA e consegni l’elenco a chi in azienda è il responsabile dell’IA.
- Chieda al suo assicuratore o broker, prima del rinnovo, se le sue polizze escludono le perdite causate dall’IA.
- Riveda l’elenco ogni sei mesi. Arrivano nuovi strumenti e scadono date.
Che cosa misurare
- Se l’elenco degli usi dell’IA è completo e datato.
- La quota di usi che riguardano persone con una regola indicata e un responsabile con nome e cognome.
Dove non funziona
- Aspettare una legge sull’IA. Ogni sanzione citata in questa pagina è arrivata in base a regole più vecchie dello strumento.
- Pensare che il rischio sia del fornitore. Nel caso Rite Aid è stato sanzionato l’acquirente, non i due fornitori. L’autorità di controllo della pubblicità del Regno Unito dice che gli strumenti automatici per gli annunci non tolgono la responsabilità all’inserzionista. Negli Stati Uniti, la sua stessa assicurazione di responsabilità civile potrebbe escludere le perdite causate dall’IA.
- Farlo una volta sola. Le date dell’UE per i sistemi ad alto rischio sono state modificate nel 2026. Le ricontrolli quando rivede l’elenco.
- Guardare solo al proprio Paese. Le regole seguono il luogo in cui si trovano i suoi clienti e il suo personale.
Per dimensione dell’azienda
- Micro e piccole imprese: un’ora con un elenco. La maggior parte delle piccole aziende ha da tre a cinque usi dell’IA, e uno o due che riguardano persone.
- Medie imprese: il responsabile dell’IA tiene l’elenco e lo rivede due volte l’anno.
- Medio-grandi e grandi imprese: l’elenco diventa un registro, tenuto insieme all’ufficio legale e alla funzione di conformità, e verificato prima dell’acquisto di qualsiasi nuovo strumento di IA.
Casi aziendali
Aziende che l’hanno fatto
Cosa è successo senza questa pratica
- Air Canada La compagnia sosteneva di non essere responsabile di ciò che diceva il suo chatbot. Il tribunale ha stabilito che un’azienda risponde di tutto ciò che c’è sul suo sito.
- Delphia (USA) and Global Predictions L’autorità di controllo ha applicato la sua regola già esistente contro le affermazioni false nella pubblicità. Non è servita nessuna regola specifica per l’IA.
- Department of Families, Fairness and Housing (Victoria) Il garante ha accertato due violazioni dei principi sulla privacy dello Stato: sull’esattezza dei dati personali e sulla loro protezione dalla divulgazione non autorizzata.
- Rite Aid L’autorità di controllo ha agito in base alla legge sulla tutela dei consumatori. Ha anche detto che Rite Aid non aveva rispettato un precedente provvedimento sul controllo della sicurezza dei dati dei suoi fornitori.
Fonti
Nessuno studio pubblicato mette alla prova direttamente questa pratica, quindi la valutazione è Pratica diffusa. La valutazione si basa sui casi aziendali qui sopra e sulle fonti qui sotto.
- Moffatt v. Air Canada, 2024 BCCRT 149. British Columbia Civil Resolution Tribunal, 14 February 2024. decisions.civilresolutionbc.ca
- US Federal Trade Commission (25 September 2024). FTC announces crackdown on deceptive AI claims and schemes. Press release. ftc.gov
- US Securities and Exchange Commission (18 March 2024). SEC charges two investment advisers with making false and misleading statements about their use of artificial intelligence. sec.gov
- Office of the Victorian Information Commissioner (September 2024). Investigation into the use of ChatGPT by a Child Protection worker. ovic.vic.gov.au
- R (Ayinde) v London Borough of Haringey and Al-Haroun v Qatar National Bank [2025] EWHC 1383 (Admin). High Court of England and Wales, 6 June 2025. judiciary.uk
- European Union. AI Act, Regulation (EU) 2024/1689, Article 4 (AI literacy), consolidated text of 27 July 2026. European Commission’s AI Act Service Desk. ai-act-service-desk.ec.europa.eu
- European Union. AI Act, Article 26 (obligations of deployers of high-risk AI systems). ai-act-service-desk.ec.europa.eu
- European Union. AI Act, Article 50 (transparency obligations). ai-act-service-desk.ec.europa.eu
- European Union. AI Act, Article 113 (entry into force and application). ai-act-service-desk.ec.europa.eu
- European Union. AI Act, Annex III (high-risk AI systems). ai-act-service-desk.ec.europa.eu
- Advertising Standards Authority (11 June 2026). AI and Deepfakes: Four Things Advertisers Need to Know Before They Hit 'Run'. asa.org.uk
- Mobley v. Workday, Inc., No. 3:23-cv-00770 (N.D. Cal.). Order of July 2025 (Dkt. 158). storage.courtlistener.com
- Independent Insurance Agents & Brokers of America (21 October 2025). Verisk to roll out new general liability exclusions for generative AI exposures. Trade press. independentagent.com
- Insurance Business (16 September 2026). ISO's generative AI exclusion is already on thousands of CGL policies. Trade press. insurancebusinessmag.com
Pratiche collegate
- Scriva un regolamento di una pagina sull’uso dell’IA che il personale legga davvero Metta le regole sull’IA in una pagina: quali strumenti sono consentiti, cosa non si deve mai inserire, chi controlla il risultato e a chi chiedere. Poi porti la regola più importante dentro il lavoro stesso, perché una pagina da sola viene ignorata. Prima di tutto · Impegno: basso (giorni, una persona)
- Faccia controllare a una persona tutto ciò che va a un cliente o ha valore legale Prima che un risultato dell’IA esca dall’azienda o serva a prendere una decisione, una persona con nome e cognome lo confronta con fonti reali e lo approva. Renda il controllo un passo del processo, con il tempo necessario per farlo. Prima di tutto · Impegno: medio (settimane, poche persone)
- Dichiari solo ciò che la sua IA ha dimostrato di saper fare nei test Se dice ai clienti che il suo prodotto o servizio usa l’IA, o quanto bene funziona, abbia le prove prima di dirlo. Le autorità di controllo trattano “basato sull’IA” e “preciso al 98%” come affermazioni di fatto, come tutte le altre. Subito dopo · Impegno: basso (giorni, una persona)
- Nomini un unico responsabile dell’IA Affidi a una persona senior, con nome e cognome, la responsabilità dell’IA: priorità, budget, rischi e risultati. Una responsabilità condivisa di solito significa che nessuno decide. Prima di tutto · Impegno: basso (giorni, una persona)