L’AI Act non è una scadenza futura. Il Regolamento UE sull’intelligenza artificiale (Reg. 2024/1689) è in vigore dal 1° agosto 2024: i divieti sulle pratiche inaccettabili si applicano dal 2 febbraio 2025, gli obblighi sui modelli general-purpose dal 2 agosto 2025 e, dal 2 agosto 2026, gli obblighi di trasparenza che riguardano direttamente chi comunica con i clienti.
Sul fronte delle comunicazioni con il cliente, l’errore più diffuso è di calendarizzazione: molte funzioni IT, Risk e Compliance hanno rimandato ogni intervento al 2027 – l’anno delle scadenze sul rischio alto – trascurando l’obbligo di trasparenza che ha colpito per primo proprio le comunicazioni con il cliente. Quell’obbligo è già in vigore, e le violazioni degli obblighi di trasparenza sono sanzionabili fino a 15 milioni di euro o al 3% del fatturato globale annuo.
AI Act dal 2 agosto 2026: cosa si applica già alla customer communication
A luglio 2026 il Digital Omnibus (Reg. UE 2026/1744, in vigore dal 27 luglio 2026) ha rinviato gli obblighi sui sistemi ad alto rischio. Gli Annex III – i sistemi ad alto rischio classificati per finalità d’uso, come credit scoring o selezione del personale – slittano al 2 dicembre 2027. Per i sistemi Annex I, cioè l’IA integrata come componente di sicurezza in prodotti già regolamentati (dispositivi medici, macchinari), il termine è adesso il 2 agosto 2028.
È una boccata d’ossigeno, ma non per chi gestisce la comunicazione con il cliente. L’Omnibus non ha toccato gli obblighi di trasparenza dell’articolo 50: si applicano dal 2 agosto 2026. Chi ha pianificato sull’orizzonte del 2027 è già in ritardo.
Trasparenza sui chatbot (Art. 50): cosa si applica dal 2 agosto 2026
Quando un cliente interagisce con un sistema di IA – un chatbot, un assistente virtuale, una risposta generata – deve esserne informato, e i contenuti generati o manipolati dall’IA vanno dichiarati. L’obbligo di trasparenza dell’articolo 50 è quindi il primo requisito dell’AI Act a incidere su ogni touchpoint con il cliente. Per i sistemi di IA generativa già sul mercato prima di quella data, l’obbligo di marcatura leggibile da macchina (watermarking) si applica dal 2 dicembre 2026: è la prossima scadenza da pianificare.
AI Act settori regolamentati: il modello risk-based per le comunicazioni
Il modello risk-based dell’AI Act comunicazioni cliente classifica i sistemi per livello di rischio. Lo stesso principio deve essere applicato alla customer communication. Una bolletta, un documento assicurativo o una comunicazione sul credito hanno un profilo di rischio legale e finanziario diverso da una campagna di onboarding o da una newsletter. Imporre un’unica regola a tutte le comunicazioni finirebbe per frenare i flussi innocui e per lasciare scoperti quelli critici.
La distinzione operativa deve essere netta:
- Comunicazioni ad alto rischio (informazioni finanziarie, polizze, decisioni d’investimento, fatturazione regolamentata, notifiche ufficiali): l’IA lavora dentro template strutturati, soggetta a sorveglianza umana, tracciabilità e auditabilità. Ottimizza, valida e migra i contenuti, ma non li redige in autonomia.
- Comunicazioni a basso rischio (onboarding, contenuti informativi, marketing, journey interattivi): qui l’IA può essere usata per potenziare la creatività, la personalizzazione in tempo reale e l’orchestrazione, mantenendo la trasparenza e proteggendo i dati.
Il vantaggio è concreto: l’azienda accelera dove l’esposizione è bassa e presidia dove è alta, senza bloccare l’intera roadmap nell’attesa di un’unica policy valida per tutto.
AI Act per banche e assicurazioni: stessi flussi, rischi diversi
Nei settori finance e insurance coesistono decine di flussi documentali con profili molto diversi: un preventivo assicurativo, un estratto conto e una comunicazione promozionale richiedono livelli di controllo distinti. Con la classificazione per rischio l’azienda adotta l’IA senza bloccare l’operatività: la abilita sui journey a basso rischio e la mantiene sotto stretto controllo su fatturazione e documenti regolamentati.
Shadow AI: i rischi per le aziende nei settori regolamentati
Il rischio più sottovalutato non riguarda le piattaforme di IA adottate ufficialmente dall’azienda. Riguarda i tool GenAI non approvati che i dipendenti utilizzano per accelerare il loro lavoro. Un addetto che trasferisce i dati di un cliente in un chatbot pubblico per riscrivere una comunicazione espone informazioni sensibili fuori dal perimetro aziendale, senza base giuridica né tracciabilità.
In un settore regolamentato l’uso di un tool non approvato produce tre esposizioni al rischio simultanee: una potenziale violazione GDPR sui dati trattati, la perdita di controllo sui trasferimenti transfrontalieri e l’assenza di qualsiasi audit trail. Inoltre, più i processi ufficiali sono lenti, più cresce la Shadow AI.
Tuttavia, è innegabile: un divieto senza alternativa alimenta l’uso «clandestino». La soluzione è offrire uno strumento approvato che sia più immediato e funzionale di quello sommerso.
Human-in-the-loop e compliance: un requisito, non un freno
Nelle comunicazioni ad alto rischio la sorveglianza umana non è un vincolo che appesantisce il processo: è la condizione che rende il contenuto prodotto dall’IA «difendibile». In particolare, l’AI Act la richiede per i sistemi ad alto rischio. Quando una comunicazione ha implicazioni legali o finanziarie, la revisione umana distingue un processo verificabile a posteriori da uno impossibile da giustificare di fronte a un’autorità o a un cliente.
In concreto, occorre inserire momenti di validazione lungo il flusso di lavoro, mentre la comunicazione prende forma, invece di effettuare un controllo formale alla fine. Chi ha generato quel contenuto, quando, con quale modello e chi lo ha approvato: se a queste domande non c’è risposta, non c’è compliance, per quanto buona sia la comunicazione stessa.
AI Act e obblighi per le imprese: la governance è architettura
Il messaggio per CIO, CISO e Compliance è semplice: la governance dell’IA è parte dell’architettura digitale dell’organizzazione, come lo sono sicurezza e continuità operativa. Le aziende che classificano le comunicazioni per rischio, integrano i controlli nel processo e attivano l’IA in modo selettivo possono dimostrare la conformità già oggi e sono pronte per le prossime scadenze (2 dicembre 2026 per la marcatura, 2 dicembre 2027 per i sistemi ad alto rischio).
Il primo passo è la mappatura: definire in quali comunicazioni si fa uso – o si farà uso – dell’IA, con quale profilo di rischio e con quali controlli già in essere. Se non l’avete ancora fatto, è il momento di iniziare: l’obbligo di trasparenza è già in vigore.
Vuoi capire quali comunicazioni ricadono già oggi nel perimetro dell’AI Act?
Il punto di partenza è una mappatura per rischio dei tuoi flussi di comunicazione. Leggi il nostro executive brief La comunicazione con il cliente nell’era del Regolamento sull’IA: dalla compliance al vantaggio competitivo e prenota un incontro con il team Doxee per una valutazione concreta sui tuoi casi d’uso.
FAQ
Da quando si applica l’AI Act?
Il Regolamento UE 2024/1689 è in vigore dal 1° agosto 2024. I divieti si applicano dal 2 febbraio 2025, gli obblighi sui modelli general-purpose dal 2 agosto 2025 e gli obblighi di trasparenza dal 2 agosto 2026. Dopo il Digital Omnibus (Reg. UE 2026/1744), l’obbligo di marcatura per i sistemi già sul mercato si applica dal 2 dicembre 2026, le regole sul rischio alto dal 2 dicembre 2027 (Annex III) e dal 2 agosto 2028 (Annex I).
Cosa è cambiato per le imprese dal 2 agosto 2026?
Dal 2 agosto 2026 si applicano gli obblighi di trasparenza dell’articolo 50 e la Commissione può sanzionare i fornitori di modelli di IA general-purpose. Le aziende devono informare l’utente quando interagisce con un sistema di IA e dichiarare i contenuti generati dall’IA nei casi previsti dal Regolamento. È la prima soglia che tocca direttamente le comunicazioni con il cliente.
L’AI Act si applica alle comunicazioni con i clienti?
Sì. Qualsiasi comunicazione prodotta, personalizzata o gestita tramite IA rientra nel perimetro dell’AI Act: dagli obblighi di trasparenza sui contenuti AI-generated – contenuti ad alto rischio come fatturazione regolamentata o documenti finanziari – fino ai requisiti di sorveglianza umana, tracciabilità e auditabilità del sistema utilizzato.
Cos’è la Shadow AI e perché è un rischio?
È l’uso, da parte dei dipendenti, di strumenti di IA generativa non approvati dall’azienda. In contesti regolamentati la Shadow AI rischia di esporre dati sensibili senza base giuridica né audit trail, con rischi legati al GDPR e di trasferimento transfrontaliero. È tanto più diffusa quanto più lenti sono i processi ufficiali.
Cosa significa human-in-the-loop nell’ambito dell’AI Act?
È la presenza di un controllo umano effettivo sull’output dei sistemi di IA. Per il rischio alto l’AI Act lo richiede come requisito. Nelle comunicazioni con impatto legale o finanziario, punti di validazione integrati nel flusso rendono il processo tracciabile e difendibile, non un semplice controllo formale a posteriori.
Quali sanzioni prevede l’AI Act?
Le violazioni più gravi, relative alle pratiche vietate, sono sanzionabili fino a 35 milioni di euro o al 7% del fatturato globale annuo. Per la maggior parte degli altri obblighi il tetto scende a 15 milioni di euro o al 3% del fatturato. Gli importi si applicano al valore più alto tra i due.
