Legal in Innovation. L'intelligenza artificiale in azienda, senza rischi inutili.
Dal 2 agosto 2026 l'AI Act si applica alla maggior parte delle imprese europee. Quasi nessuno sa cosa fare. Con Ace Spagni mettiamo allo stesso tavolo l'avvocato e chi l'AI la costruisce davvero: diagnosi, documenti, formazione e implementazione sicura, in un linguaggio che capisce anche chi non è né giurista né tecnico.
Il Regolamento europeo sull'AI è già in vigore. Si applica a tappe.
Regolamento (UE) 2024/1689, in vigore dal 1° agosto 2024. In Italia si aggiunge la legge nazionale sull'intelligenza artificiale (L. 132/2025). Le date che contano per un'azienda:
Si vende sulla paura della multa? No: sulla certezza che arriva.
Le sanzioni amministrative previste dal Regolamento sono tra le più alte del diritto europeo. Per le PMI si applica l'importo più basso tra i due, ma restano somme che un'azienda media non può permettersi.
A queste si aggiungono le sanzioni GDPR (fino a 20 milioni o il 4% del fatturato), la responsabilità civile verso clienti e dipendenti, e il danno reputazionale, che non ha un tetto.
Non serve "fare AI". Basta usarla.
Il Regolamento distingue tra chi sviluppa sistemi di AI e chi li usa (il "deployer"). La seconda categoria è quasi ogni azienda italiana. Ti riguarda se:
- Usate ChatGPT, Copilot, Gemini o simili in ufficio, anche solo per scrivere email e riassumere documenti.
- Un software seleziona o filtra i curriculum, valuta i dipendenti o organizza i turni.
- Avete un chatbot o un assistente virtuale che parla con i clienti.
- L'AI entra nelle decisioni su credito, assicurazioni, prezzi o accesso a servizi.
- Usate videosorveglianza "intelligente", riconoscimento di persone o analisi di immagini.
- Vendete macchine, dispositivi medici o prodotti con componenti di AI.
- Firmate contratti con fornitori che includono funzioni di AI senza averle mai valutate.
- Siete un ente pubblico, una banca, una scuola, una struttura sanitaria o un fornitore di questi soggetti.
La maggior parte dei legali parla di AI senza capirla. La maggior parte dei tecnici ignora la norma.
Noi copriamo entrambe le metà, insieme, nella stessa riunione. Niente passaggi di carte tra un consulente e l'altro.
Avvocato cassazionista, fondatore dello studio, coautore di "AI per Evolvere" (Editoriale Delfino, 2026). Si occupa di AI Act, GDPR, responsabilità, contratti tecnologici, proprietà intellettuale, reputazione e governance, con il metodo del risk management: ogni questione diventa un ventaglio di opzioni con impatti misurati.
Progetta e costruisce sistemi di intelligenza artificiale per studi professionali e imprese: automazioni, knowledge management, assistenti conversazionali, strumenti operativi. Sa come funzionano davvero i modelli, dove finiscono i dati e cosa può andare storto. Autore della postfazione di "AI per Evolvere". acespagni.com
L'innovazione corre più veloce delle regole. Serve chi sappia tradurre i rischi in tutele concrete e le opportunità in strumenti che funzionano.
Consulenza e formazione per usare l'AI in modo sicuro.
Si parte sempre da una fotografia di quello che l'azienda usa già. Poi si decide insieme cosa serve davvero: a volte basta una policy e una giornata di formazione, a volte serve un percorso.
Quattro passaggi, tempi chiari.
Mappa
Mezza giornata in azienda, o in videochiamata, per capire quali strumenti di AI usate, chi li usa, con quali dati e in quali contratti sono entrati.
Diagnosi e piano
Classificazione del rischio, elenco dei gap rispetto all'AI Act e al GDPR, piano con priorità, costi e date. In un documento che il titolare legge in venti minuti.
Documenti e formazione
Policy, registri, clausole, informative. Sessione di formazione obbligatoria per il personale, con attestato, e una per il management.
Implementazione e presidio
Strumenti approvati e configurati bene, automazioni utili, verifica periodica. In abbonamento, come un General Counsel per l'AI.
Chi ci chiama, di solito.
Le cose che ci chiedono prima di iniziare.
Siamo una piccola azienda: l'AI Act ci riguarda davvero?
Sì, se usate sistemi di AI. Il Regolamento prevede semplificazioni per le PMI, ma non esenzioni: l'obbligo di formazione vale per tutti dal febbraio 2025 e, se un sistema è ad alto rischio, gli obblighi del deployer valgono anche per dieci dipendenti.
Usiamo solo ChatGPT per scrivere email. Cosa dobbiamo fare?
Poco, ma non niente: una policy interna su cosa si può inserire e cosa no (dati di clienti, segreti aziendali), una verifica dei termini di servizio e una formazione breve. È il caso più frequente e si chiude in pochi giorni.
Cosa succede se non facciamo nulla?
Oggi la probabilità di un controllo è bassa, ma cresce. Il rischio più concreto nel breve periodo è un altro: un dipendente che carica dati riservati in uno strumento pubblico, un contratto con un fornitore che scarica su di voi ogni responsabilità, una decisione automatizzata contestata da un lavoratore o da un cliente.
Quanto dura e quanto costa?
La mappa iniziale è mezza giornata. Un percorso completo per una PMI dura da quattro a otto settimane. Prima di iniziare ricevete un preventivo scritto con le attività e i costi, come per ogni lavoro dello studio.
La formazione vale come adempimento?
L'art. 4 chiede che l'azienda "adotti misure" per garantire un livello sufficiente di alfabetizzazione. Sessioni documentate, con programma, presenze e attestato, sono il modo più solido di dimostrarlo. Le progettiamo sul vostro contesto, non su un modulo standard.