Avvocato, docente universitario e tra i massimi esperti italiani di diritto penale informatico e intelligenza artificiale, Giuseppe Vaciago è una delle voci più ascoltate del dibattito sull’AI Act e sulla recente legge italiana sull’intelligenza artificiale. In questa conversazione per ForwardTalk, Vaciago traccia un quadro lucido del primo anno di applicazione del regolamento europeo, spiegando cosa cambia per le imprese e quali nuovi obblighi si profilano per i professionisti.
Qual è lo stato dell’arte dell’AI Act e a cosa è servito finora?
L’AI Act è una regolamentazione scritta molto bene, con l’obiettivo preciso di evitare che i fornitori di intelligenza artificiale, non solo statunitensi ma anche cinesi, impongano le proprie soluzioni tecnologiche in Europa. Il punto è che riguarda soprattutto i fornitori di AI, e purtroppo in Europa, e ancor più in Italia, non ne abbiamo molti. È quindi una norma nata per “tenere testa” ai grandi player globali. È un po’ la lezione imparata dal passato. Nel 2000 avevamo la e-commerce directive, che non è riuscita a contenere il potere delle piattaforme. Oggi chi lavora nel digitale teme più la risposta di Meta che quella della legge. L’AI Act nasce per invertire questa logica. È entrato in vigore il 2 agosto 2025, ma pochi se ne sono accorti davvero. Le piattaforme hanno reagito adottando codici di condotta volontari, e questo dimostra quanto il rapporto tra Europa, Stati Uniti e Cina sia ormai anche una partita geopolitica Per noi europei, però, resta un impatto “indiretto”, che io definirei soft law. L’articolo 4, in particolare, parla di AI literacy: formazione e consapevolezza. C’è un obbligo, per tutte le aziende, di formarsi e conoscere l’intelligenza artificiale, non solo come rischio ma anche come opportunità. È un obbligo etico e giuridico al tempo stesso.
Il regolamento riguarda solo i grandi fornitori o coinvolge anche le imprese europee e italiane?
Coinvolge pienamente anche le imprese europee e italiane sul piano della formazione. E non è un aspetto banale. Non dobbiamo viverlo come un adempimento formale, tipo la sicurezza sul lavoro, ma come una responsabilità culturale. Formare significa costruire competenze e consapevolezza.
C’è un obbligo che non va interpretato in chiave burocratica ma valoriale: ogni impresa, grande o piccola, deve contribuire a costruire una cultura dell’intelligenza artificiale. Dobbiamo rivolgerci alle nuove generazioni e rendere la formazione una pratica reale, non solo un corso da frequentare.
Cosa devono fare concretamente le aziende? Qual è il percorso operativo corretto?
La formazione è l’ultimo passaggio, non il primo. Prima bisogna sapere che cosa si sta usando. Serve una mappatura degli strumenti di AI in azienda, inclusa la cosiddetta shadow AI, cioè gli strumenti utilizzati senza approvazione o controllo. Molte aziende hanno provato a vietare l’uso dell’intelligenza artificiale, ma poi i dipendenti usano ChatGPT sul cellulare. Il divieto non risolve, anzi peggiora la situazione. Dopo la mappatura serve una classificazione del rischio. Alcuni strumenti, come quelli HR che valutano i candidati tramite AI, sono ad altissimo rischio, perché possono sfociare in controllo sociale o violazioni dello Statuto dei lavoratori. Altri invece sono quasi innocui, ad esempio l’uso dell’AI per redigere una bozza di email pone questioni di privacy, ma non di AI Act. Il percorso corretto è quindi quello che prevede di mappare gli strumenti ufficiali e ombra, valutare il rischio in base ai diritti fondamentali coinvolti, costruire policy interne chiare e infine fare formazione mirata. E la formazione deve parlare non solo di rischi, ma anche di opportunità. Insegnare a usare bene l’AI, ad esempio con corsi di prompting, può aumentare la produttività e ridurre gli errori.
La nuova legge italiana sull’intelligenza artificiale cosa aggiunge o cambia rispetto all’AI Act?
Partiamo dal positivo. Un miliardo di euro di investimenti affidati a CDP per sostenere l’innovazione AI. È una cifra modesta rispetto agli standard internazionali, ma in Italia può fare la differenza. La legge affronta poi tre fronti principali. In sanità e ricerca si consente l’uso dei dati secondari per fini di ricerca sanitaria, un passo avanti enorme. Nella pubblica amministrazione vengono introdotti maggiori vincoli, e su questo sono un po’ scettico, perché rischiamo di frenare l’adozione. Per quanto riguarda le professioni legali, noi avvocati dobbiamo dichiarare, dal 10 ottobre, se utilizziamo l’intelligenza artificiale. Non cambierà il mondo, ma è un segnale di trasparenza. Curioso, però, che un avvocato francese non abbia lo stesso obbligo. Sul piano penale, la legge introduce il nuovo reato di deepfake, forse non indispensabile, perché già punibile con norme esistenti, ma soprattutto inasprisce le pene per due reati strategici come l’aggiotaggio, cioè la manipolazione del mercato con AI, e l’attentato ai diritti civili e politici, cioè l’uso dell’AI per influenzare la volontà elettorale o politica. Il futuro rischio dell’AI non è solo tecnologico, ma politico e finanziario. La legge lo riconosce e va considerato un passo avanti notevole.
