L’ingresso dell’Intelligenza Artificiale nei processi aziendali ha superato la fase della pura sperimentazione informale per entrare appieno in quella della necessaria regolamentazione strutturata.

Per le organizzazioni pubbliche e private, la sfida odierna si articola su due livelli distinti ma strettamente interconnessi: da un lato la conformità cogente imposta dal quadro normativo europeo e nazionale; dall’altro la scelta volontaria di adottare standard di gestione internazionali come la ISO 42001 per trasformare la compliance in un vantaggio competitivo.

L’adeguamento normativo all’AI Act e alla Legge 132/2025 rappresenta un passaggio ineludibile per proteggere la tua azienda da sanzioni e rischi penali. Implementare un sistema di gestione basato sulla norma ISO 42001 permette di trasformare questi adempimenti in una scelta strategica di successo.

Ma al di là di tutto, l’aspetto più critico e pericoloso deriva dall’uso occulto dell’AI – non strutturato e non governato – da parte delle persone all’interno delle loro organizzazioni, esponendole a rischi che possono mettere in discussione la loro continuità aziendale.

Gesta affianca le aziende in questo percorso di transizione verso il futuro, fornendo consulenza specialistica e applicando un approccio metodologico graduale e consolidato.

1. La compliance cogente: AI Act e Legge 132/2025

Il contesto normativo definisce regole precise che le imprese devono conoscere e applicare per evitare pesanti sanzioni operative e penali.

Il quadro europeo: AI Act (Reg. UE 2024/1689)

Nonostante l’approvazione del Digital Omnibus abbia fatto slittare al 2 dicembre 2027 l’applicazione delle regole per i sistemi ad alto rischio (Allegato III) e al 2 agosto 2028 quelle per i sistemi integrati nei prodotti (Allegato I), importanti obblighi scattano immediatamente:

1. Obbligo di alfabetizzazione e formazione (Art. 4) Attivo dal 2 febbraio 2025, dal 2 agosto 2026 diventa ufficialmente verificabile da parte delle Autorità di vigilanza. Garantire e documentare un livello idoneo di formazione del personale è la prima prova di diligenza dell’organizzazione.
2. Trasparenza (Art. 50) Dal 2 agosto 2026 è obbligatorio rendere riconoscibile l’interazione con le chatbot, informare sull’uso di sistemi di riconoscimento delle emozioni o categorizzazione biometrica e dichiarare i contenuti generati tramite AI (deepfake o testi informativi di pubblico interesse).
3. Poteri sanzionatori Dal 2 agosto 2026 la Commissione UE (tramite l’AI Office) può sanzionare le violazioni sui grandi modelli (GPAI) con multe fino a 15 milioni di euro o al 3% del fatturato annuo globale.

Il quadro nazionale: Legge 132/2025

La normativa italiana completa e interpreta il Regolamento UE (AI Act), fissando i principi fondamentali per lo sviluppo e l’uso dell’AI nel nostro Paese:

1. Principi guida e centralità dell’uomo L’uso dell’AI deve avvenire nel rispetto dei diritti fondamentali, garantendo trasparenza, sicurezza, proporzionalità, non discriminazione e sorveglianza umana.
2. Cybersicurezza, NIS2 e tutela dei dati La cybersicurezza è stabilita come precondizione essenziale lungo tutto il ciclo di vita dei sistemi AI. Inoltre, si applicano regole stringenti sulla protezione dei dati aziendali e dei dati personali (GDPR).
3. Profili penali e Responsabilità 23 La Legge 132/2025 introduce specifiche fattispecie penali nel Codice Penale, tra cui il reato di illecita diffusione di contenuti alterati/deepfake (art. 612-quater c.p.) e l’aggravante per i reati commessi con l’impiego di AI (art. 61 n. 11-decies c.p.).

Insieme alle norme sulla sicurezza dei sistemi ad alto rischio (art. 437-bis c.p.), questi illeciti impattano sui Modelli Organizzativi Gestionali D.Lgs. 231/2001, esponendo l’azienda a responsabilità amministrativa e sanzioni dirette in assenza di un adeguato sistema di controllo.

2. Oltre agli obblighi: l’adozione volontaria della norma ISO 42001

Se l’AI Act e la Legge 132/2025 fissano i limiti minimi di legge, chi desidera governare l’Intelligenza Artificiale in modo strutturato trova nella norma ISO 42001 lo strumento d’eccellenza.

La ISO 42001 definisce i requisiti per un Sistema di Gestione dell’Intelligenza Artificiale.

L’adozione volontaria della norma consente di dimostrare a clienti, partner e organi di controllo l’affidabilità, la trasparenza e le verifiche dell’azienda nell’impiego delle tecnologie emergenti attraverso:

1. la traduzione degli obblighi legali e normativi (AI Act e Legge 132/2025) in processi gestionali chiari e integrati nei flussi e nelle procedure aziendali;
2. la valutazione e la mitigazione sistematica dei rischi etici, tecnologici, sanzionatori e reputazionali legati agli algoritmi;
3. l’adeguamento della contrattualistica.

3. L’approccio integrato con il Metodo Gesta: conoscenza, consapevolezza, governance, fiducia

Gesta supporta le imprese nell’intero percorso, partendo dal soddisfacimento dei requisiti di legge fino all’eventuale certificazione ISO 42001. L’intervento si colloca nell’architettura della Total Business Resilience, garantendo un’integrazione coerente con GDPR, Cybersecurity, NIS2 e Modello 231.

L’affiancamento si sviluppa attraverso le fasi del Metodo Gesta.

Check & Go

1. Audit preliminare.
2. Censimento dei sistemi di AI in uso o da implementare.
3. Mappatura dei rischi rispetto all’AI Act e alla Legge 132/2025.
4. Gap analysis ISO 42001.

Output: report di audit e presentazione dettagliata alla Direzione per una conoscenza nitida dello stato dell’arte e dei rischi aziendali.

Plan & Train

1. Definizione del piano d’azione di adeguamento.
2. Formazione tracciabile per figure apicali e dipendenti (art. 4 AI Act e Legge 132/2025).

Output: piano operativo di adeguamento e registro della formazione erogata, per una piena consapevolezza delle responsabilità e delle opportunità operative.

Partner & Perform

1. Implementazione del Sistema di Gestione ISO 42001.
2. Aggiornamento del Modello 231.
3. Adempimento agli obblighi di trasparenza.
4. Monitoraggio continuo.

Output: integrazione nei processi, procedure di compliance e preparazione alla certificazione, per una governance solida, tutelata legalmente e riconosciuta sul mercato.

Gesta Club

Servizio di affiancamento continuativo con un pacchetto ore/anno e supporto specialistico dedicato per garantire il mantenimento del sistema, il supporto negli audit e l’aggiornamento normativo costante, così da approcciare l’AI con fiducia e resilienza aziendale nel lungo termine.

Renato Goretta, autore del testo è CEO di Gesta Srl Società Benefit è una società di consulenza e formazione aziendale fondata nel 1994, con sedi a La Spezia e Milano e socio del DIH Liguria dal 2026.

Da oltre trent’anni affianca imprese e pubbliche amministrazioni nei percorsi di crescita, innovazione e sviluppo sostenibile, attraverso un approccio multidisciplinare che integra competenze organizzative, legali, ambientali, digitali e manageriali. Opera nei principali ambiti della compliance, della sostenibilità ESG, della cybersecurity, della privacy, dei sistemi di gestione, della responsabilità amministrativa, della transizione digitale e dell’intelligenza artificiale. Dal 2023 è certificata B Corp, a conferma del proprio impegno verso un modello d’impresa orientato alla creazione di valore per aziende, persone e territorio.