Articolo Pubblicazioni
AI Act: le pratiche vietate e l’obbligo di alfabetizzazione
di Vincenzo Calabrò · Pubblicato il 14 novembre 2026
Abstract
Le pratiche vietate dall’AI Act e l’obbligo di alfabetizzazione sono le prime parti del regolamento entrate in applicazione, dal 2 febbraio 2025, e non sono state rinviate dal Digital Omnibus. L’articolo elenca i divieti, spiega le eccezioni principali, ricorda i nuovi divieti in vigore dal 2 dicembre 2026, descrive l’obbligo di alfabetizzazione come riformulato dal regolamento (UE) 2026/1744 e indica come verificarne il rispetto in un’organizzazione.
Già in vigore
L’AI Act, il regolamento (UE) 2024/1689, entra in applicazione per fasi. Le prime norme a valere, dal 2 febbraio 2025, sono state le pratiche vietate dell’art. 5 e l’alfabetizzazione dell’art. 4. Il Digital Omnibus del 2026 ha rinviato gli obblighi per i sistemi ad alto rischio, ma non ha toccato il calendario dei divieti e ne ha aggiunti di nuovi.
Le pratiche vietate
- sistemi che usano tecniche subliminali, manipolative o ingannevoli per distorcere in modo significativo il comportamento delle persone causando danni;
- sistemi che sfruttano le vulnerabilità legate all’età, alla disabilità o alla situazione sociale o economica;
- sistemi di punteggio sociale che portano a trattamenti sfavorevoli ingiustificati o sproporzionati;
- sistemi che valutano il rischio che una persona commetta un reato basandosi solo sulla profilazione o sui tratti della personalità;
- sistemi che creano o ampliano banche dati di riconoscimento facciale raccogliendo immagini in modo non mirato da internet o da telecamere;
- sistemi di riconoscimento delle emozioni sul luogo di lavoro e negli istituti di istruzione, salvo motivi medici o di sicurezza;
- sistemi di categorizzazione biometrica che deducono razza, opinioni politiche, appartenenza sindacale, convinzioni religiose, vita o orientamento sessuale;
- identificazione biometrica remota in tempo reale in spazi accessibili al pubblico a fini di contrasto, salvo eccezioni tassative e con autorizzazione.
Dal 2 dicembre 2026 si aggiungono il divieto dei sistemi che generano o manipolano immagini, video o audio realistici di parti intime o atti sessuali espliciti di persone riconoscibili senza consenso e quello dei sistemi che generano materiale di abuso sessuale su minori. Le violazioni dei divieti sono punite con sanzioni fino a 35 milioni di euro o al 7% del fatturato mondiale, se superiore.
Dove si nascondono i rischi
Pochi sviluppano sistemi di punteggio sociale. I casi concreti sono più sottili, come un software di analisi dei colloqui di lavoro che valuta le emozioni del candidato, uno strumento per monitorare l’attenzione degli studenti in una piattaforma di didattica, un sistema di videosorveglianza che deduce caratteristiche sensibili dai volti. Chi acquista soluzioni di intelligenza artificiale deve chiedere al fornitore che cosa fanno esattamente i modelli, perché il divieto riguarda anche chi usa il sistema.
L’alfabetizzazione dopo il Digital Omnibus
L’art. 4, nella versione riscritta dal regolamento (UE) 2026/1744, chiede a fornitori e deployer di adottare misure per sviluppare un livello sufficiente di competenze sull’intelligenza artificiale nel personale e in chi usa i sistemi per loro conto. Le misure si calibrano su conoscenze, esperienza, istruzione e formazione delle persone e sul contesto d’uso, senza un livello predefinito uguale per tutti. Il rinvio degli obblighi per l’alto rischio non ha sospeso questo dovere.
Come verificarlo
- fare l’inventario dei sistemi di intelligenza artificiale usati, compresi quelli integrati in software di uso comune, e di chi li usa;
- controllare ogni sistema rispetto all’elenco dei divieti, documentando la valutazione;
- definire percorsi di formazione diversi per chi usa, chi decide l’acquisto e chi sviluppa o configura i sistemi;
- registrare la formazione svolta e aggiornarla quando cambiano i sistemi o il loro uso;
- inserire nei contratti con i fornitori la dichiarazione di conformità all’art. 5 e l’obbligo di segnalare modifiche rilevanti.
Le eccezioni principali
Alcuni divieti hanno eccezioni precise. Il riconoscimento delle emozioni è ammesso per motivi medici o di sicurezza, per esempio per rilevare la stanchezza di un pilota o di un autista. La categorizzazione biometrica non vieta l’etichettatura o il filtraggio di insiemi di dati biometrici acquisiti legalmente nel contrasto ai reati. L’identificazione biometrica remota in tempo reale da parte delle forze di polizia è ammessa solo per cercare vittime di rapimento, tratta o sfruttamento sessuale e persone scomparse, per prevenire una minaccia specifica e imminente alla vita o un attacco terroristico, e per localizzare persone sospettate di reati gravi, con autorizzazione preventiva e limiti di tempo e di luogo. La Commissione ha pubblicato linee guida sull’interpretazione dei divieti, utili per i casi dubbi.
Chi controlla
In Italia la legge 132 del 2025 ha designato l’Agenzia per l’Italia digitale e l’Agenzia per la cybersicurezza nazionale come autorità nazionali per l’intelligenza artificiale, con compiti distinti di notifica e di vigilanza sul mercato, ferme le competenze del Garante per la protezione dei dati personali e delle autorità di settore. A livello europeo l’Ufficio per l’IA coordina l’applicazione e vigila sui modelli per finalità generali. Le segnalazioni di pratiche vietate possono arrivare da utenti, lavoratori e concorrenti.
Un esempio di formazione differenziata
Tabella 1. Esempio di percorso di alfabetizzazione per ruolo.
| Ruolo | Contenuti | Durata indicativa |
|---|---|---|
| Tutto il personale | Che cos’è l’IA, limiti e errori dei modelli, uso consentito degli strumenti aziendali, dati da non inserire | 1-2 ore |
| Utenti di sistemi specifici | Funzionamento del sistema, interpretazione dei risultati, sorveglianza umana, segnalazione di anomalie | 3-4 ore |
| Acquisti, legale e direzione | Divieti, classificazione del rischio, obblighi dei deployer, clausole contrattuali | 4 ore |
| Sviluppatori e data scientist | Qualità dei dati, bias, documentazione tecnica, sicurezza dei modelli | 8 ore o più |
Per un’organizzazione che usa solo strumenti di intelligenza artificiale generici, come assistenti di scrittura o traduttori, il rischio di incorrere in una pratica vietata è basso, ma l’obbligo di alfabetizzazione vale comunque. Basta una politica interna breve e chiara, una formazione di base per tutti e un registro degli strumenti autorizzati per dimostrare di averlo preso sul serio.
Vedi anche: l’articolo del 2026 AI Act dopo il Digital Omnibus: il nuovo calendario degli obblighi e l’articolo del 2025 La nuova normativa italiana sull’IA: principi, applicazioni e governance della Legge 132/2025.
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn