EU AI Act, articoli 4 e 50 cosa significano oggi per un'azienda SaaS.

L'EU AI Act, il Regolamento (UE) 2024/1689, viene spesso discusso come se fosse un'unica scadenza futura. Non è così. Si applica per fasi, e due di queste sono già arrivate. Per un'azienda SaaS europea, le parti che contano oggi sono l'articolo 4 sull'alfabetizzazione in materia di IA e l'articolo 50 sulla trasparenza.

Entrambi sono pratici più che tecnici. Entrambi richiedono qualcuno che ne sia responsabile, ed entrambi sono facili da trascurare semplicemente perché nessuno si è accorto di quanta IA sia già in uso in azienda.

Una nota prima dei dettagli: questo articolo spiega cosa dicono le regole e come le aziende di solito vi rispondono. Non è una consulenza legale. Per decisioni specifiche per la sua azienda, si rivolga a un avvocato.

Cosa chiedono a un'azienda SaaS gli articoli 4 e 50 dell'EU AI Act?

L'articolo 4, in vigore dal 2 febbraio 2025, chiede alle aziende di adottare misure affinché le persone che usano l'IA abbiano un livello sufficiente di alfabetizzazione in materia; basta un registro interno della formazione. L'articolo 50, in vigore da agosto 2026, chiede che l'IA che interagisce con le persone dichiari di essere un'IA, a meno che non sia evidente, e che i deep fake siano segnalati.

Nessuno dei due richiede un certificato o un nuovo reparto. In pratica, ciò che richiedono è consapevolezza, un registro e un'etichettatura onesta.

Articolo 4: l'alfabetizzazione sull'IA, in pratica

L'articolo 4 si applica dal 2 febbraio 2025 e le autorità nazionali vigilano sull'AI Act da agosto 2026. Chiede alle aziende di adottare misure affinché le persone che lavorano con l'IA per loro conto la comprendano abbastanza da usarla correttamente: in cosa è brava, dove sbaglia e quali dati non devono mai finirci dentro.

Due punti vengono spesso fraintesi. Primo, non è richiesto alcun certificato. Non c'è un corso ufficiale da acquistare né un esame da superare. Secondo, basta un registro interno: quale formazione e quali indicazioni sono state date, a chi e quando.

Per un'azienda SaaS, la parte difficile non è la formazione. È sapere dove l'IA viene effettivamente usata. Il Work Trend Index 2024 di Microsoft e LinkedIn ha rilevato che il 75% dei knowledge worker usa l'IA generativa al lavoro e che il 78% di chi usa l'IA porta i propri strumenti. In una tipica azienda SaaS significa operatori del supporto che redigono risposte, commerciali che scrivono messaggi di outreach, sviluppatori che usano assistenti di programmazione e la finanza che incolla cifre in una finestra di chat, spesso senza uno strumento approvato né indicazioni.

Un approccio praticabile prevede tre passaggi:

• Inventario. Elencare gli strumenti di IA in uso, approvati o meno, chi li usa e quali dati aziendali o dei clienti vi entrano.
• Indicazioni per ruolo. Indicazioni brevi e specifiche per ogni team: per cosa si possono usare gli strumenti, quali dati devono restarne fuori e come verificare il risultato. Un team di supporto e un team finanziario hanno bisogno di regole diverse.
• Un registro. Un registro datato di chi ha ricevuto quali indicazioni o quale formazione, aggiornato quando cambiano strumenti o ruoli.

È anche buona gestione operativa, legge o non legge. Un'azienda che sa dove vanno i suoi dati è un'azienda che può rispondere con onestà al questionario di sicurezza di un cliente.

Articolo 50: dire alle persone che stanno parlando con un'IA

L'articolo 50 si applica da agosto 2026. Il principio è semplice: un sistema di IA che interagisce con le persone deve chiarire di essere un'IA, a meno che non sia evidente dal contesto. I deep fake, ossia immagini, audio o video generati dall'IA che potrebbero sembrare reali, devono essere segnalati.

Per un'azienda SaaS, i punti da verificare sono di solito:

• L'assistente all'interno del prodotto. Un assistente in-app che risponde agli utenti dovrebbe dichiarare di essere un'IA.
• Chat del sito, delle vendite e del supporto. Una chat che risponde a clienti o potenziali clienti deve indicare chiaramente che le risposte provengono da un'IA.
• Voce e video. Una voce IA in una chiamata, o un presentatore generato dall'IA in un video di prodotto o in una pubblicità, richiede una dichiarazione.

La dichiarazione è un compito di design più che legale: una riga nella finestra di chat, un'etichetta nell'interfaccia, una frase all'inizio di una chiamata. Costa meno quando fa parte del design fin dall'inizio. Lo stesso ragionamento vale per gli agenti interni: il NordOps AI Agent è costruito per le regole europee, con ogni domanda e azione registrata.

Cosa non si applica ancora

Gran parte dell'attenzione intorno all'Act va all'IA ad alto rischio, e per la maggior parte delle aziende SaaS quella parte deve ancora arrivare:

• 2 dicembre 2027: si applicano le regole per le aree ad alto rischio elencate nell'allegato III, come l'IA usata nelle assunzioni.
• 2 agosto 2028: si applicano le regole per l'IA integrata in prodotti regolamentati.

Queste date seguono la modifica dell'Act del 2026, entrata in vigore il 27 luglio 2026. Un'azienda SaaS il cui prodotto viene usato nel recruiting, o in un'altra area dell'allegato III, dovrebbe usare questo tempo per prepararsi anziché aspettare. Per tutti gli altri, la priorità sono i due articoli che si applicano già.

Una checklist pratica per questo trimestre

• Nominare un unico responsabile dell'IA in azienda, con il tempo per svolgere il compito.
• Completare un inventario dell'IA in uso, compresi gli strumenti introdotti dalle persone stesse.
• Scrivere brevi indicazioni per ogni team e registrare chi le ha ricevute.
• Verificare ogni punto in cui l'IA parla con clienti, potenziali clienti o il pubblico, e aggiungere una dichiarazione chiara dove manca.
• Verificare se i contenuti di marketing contengono persone o voci generate dall'IA, ed etichettarli.
• Se il suo prodotto è usato nelle assunzioni o in un'altra area dell'allegato III, iniziare a pianificare in vista di dicembre 2027.

Niente di tutto questo rende il Chief AI Officer un obbligo di legge: è un ruolo, non un adempimento. Ma il lavoro ha bisogno di un responsabile, e nella maggior parte delle aziende in crescita non ne ha ancora uno. È parte di ciò di cui si occupa un Chief AI Officer frazionale, e il nostro AI Snapshot parte proprio da questo inventario e dalla verifica di alfabetizzazione e trasparenza.

Fonte: Regolamento (UE) 2024/1689, articoli 4, 50 e 113, come modificato nel 2026. Questo articolo informa; non è una consulenza legale.