Il mio collaboratore usa l'AI sui miei dati con strumenti suoi: ne rispondo io?
Sì. Se qualcuno lavora per conto tuo e usa l'AI sui tuoi dati, l'obbligo è tuo — qualunque sia il suo contratto. È un obbligo di mezzi, non di risultato, e non ha una sanzione europea diretta.
Pubblicata il
Il gesto lo fa il tuo collaboratore. La contestazione arriva a te.
È la cosa più difficile da accettare di tutta questa materia, e insieme la più semplice da capire una volta che si vede il criterio. Non conta chi ha premuto invio. Conta per conto di chi stava lavorando.
Il gesto: un tuo collaboratore usa l'AI e a te arriva una contestazione
Un collaboratore — non un dipendente: un professionista con partita IVA, un consulente, un fornitore di servizi, un freelance — deve sbrigare qualcosa per te. Per farlo più in fretta apre lo strumento che usa sempre: il suo account ChatGPT, il suo Gemini, un’app di trascrizione che ha scaricato sul telefono. Ci mette dentro i tuoi dati. I tuoi clienti, i tuoi numeri, le tue pratiche.
Non ha rubato niente. Non ha aggirato nessuna regola, perché non gliene era stata data nessuna. Ha usato il suo strumento di lavoro come fa ogni giorno, e nessuno gli aveva mai detto che per i tuoi dati era diverso.
Questa è la parte che conta: può non esserci dolo, né negligenza grave, né consapevolezza. Può esserci un vuoto di istruzioni. E il vuoto di istruzioni non è colpa sua.
Come si presenta nella tua professione
In ogni mestiere succede lo stesso: impiantisti, medico, commercialista, avvocato, agenzia di comunicazione, officina, PMI.
Impiantisti: Il tuo operaio manda le foto del cantiere a un’AI per capire come procedere.
Medico: Il collega che collabora con te carica la storia clinica su ChatGPT.
Commercialista: Il collaboratore incolla i bilanci dei clienti in un chatbot.
Avvocato: Il praticante fa scrivere all’AI la bozza di un atto con i dati della causa.
Agenzia di comunicazione: Il freelance genera i tuoi contenuti con il suo account personale.
Officina: Il meccanico fotografa l’auto del cliente e chiede a un’AI una diagnosi.
PMI: Chi lavora per te usa strumenti che tu non hai scelto e non conosci.
Perché rispondi tu imprenditore rispetto all'uso dell'AI fatta dai collaboratori
Rispondi tu perché le norme in gioco sono due e lavorano su piani diversi.
Il primo piano è il GDPR. I dati sono tuoi nel senso che sei tu il titolare del trattamento: sei tu che hai deciso finalità e mezzi, sei tu che hai raccolto quei dati dai tuoi clienti. Chi lavora per te li tratta per tuo conto ed è, nella struttura del Regolamento, un responsabile del trattamento. Il responsabile agisce su istruzione documentata del titolare. Se non hai dato istruzioni, non hai adempiuto a un obbligo tuo, indipendentemente da cosa abbia fatto lui.
Il secondo piano è l’AI Act. Il deployer è chi utilizza un sistema di AI sotto la propria autorità nell’ambito di un’attività professionale. L’articolo 4 dell’AI Act (Regolamento UE 2024/1689) gli impone di adottare misure a sostegno dell’alfabetizzazione in materia di AI del proprio personale e delle altre persone che si occupano del funzionamento e dell’utilizzo dei sistemi di AI per suo conto.
È quella seconda parte della formula a spostare tutto. Le Q&A della Commissione europea sull’alfabetizzazione in materia di AI, aggiornate al 27 luglio 2026, hanno chiarito che vi rientrano anche soggetti che non sono dipendenti diretti: appaltatori, fornitori di servizi, e in generale chi opera all’interno del perimetro organizzativo dell’impresa. Il criterio non è il tipo di contratto. È il per conto di chi.
C’è una conseguenza che può sorprendere: il collaboratore, a sua volta, è deployer per conto proprio. I due ruoli non si escludono e non si compensano. Il suo adempimento non è il tuo adempimento.
Cosa succede quando qualcosa va storto
Il procedimento non si apre mai sull’articolo 4 dell’AI Act. Si apre su altro, e l’articolo 4 dell’AI Act arriva come domanda dentro quel procedimento.
Un cliente si accorge che un suo documento è finito dove non doveva. Segnala al Garante. Oppure un dato riservato compare in un posto in cui non ti spieghi come sia arrivato. Oppure, più banalmente, un rapporto commerciale finisce male e l’altra parte va a cercare un appiglio.
Da lì in avanti la sequenza è sempre la stessa: sei il titolare, quindi la prima domanda è tua. Quali istruzioni avevi dato sull’uso di strumenti di intelligenza artificiale nel trattamento dei dati di cui rispondi?
Qui si decide tutto, ed è utile essere precisi su cosa rischi davvero.
In pratica, per la mancanza di misure non c’è ancora una sanzione amministrativa diretta: l’articolo 4 dell’AI Act non figura tra le disposizioni a cui l’articolo 99 dell’AI Act del Regolamento collega i massimali da 15 o 35 milioni di euro. Chi ti racconta il contrario sta vendendo paura, e la prima persona competente che legge il testo lo smonta.
Il danno arriva per due strade diverse e più concrete. La prima è che l’assenza di misure entra nel giudizio come colpa organizzativa: nel procedimento privacy, nella valutazione della responsabilità civile, in sede disciplinare se sei un professionista ordinistico. Un’organizzazione che non aveva dato alcuna istruzione, non aveva alcuna policy e non aveva mai speso un’ora sul tema si presenta senza difese davanti a una contestazione nata da tutt’altro. La seconda è il private enforcement: chi subisce un danno riconducibile alla mancata alfabetizzazione può agire in sede civile, senza bisogno che un’autorità ti abbia sanzionato prima.
Vale anche la pena dirlo chiaramente: il contratto, da solo, non basta. Una clausola che scarica ogni responsabilità sul collaboratore regola i rapporti tra voi due — e serve, va messa. Ma non sposta l’obbligo che la norma pone in capo a te. Al Garante non interessa come vi siete divisi il rischio tra privati.
Quali sono gli obblighi nei confronti dei collaboratori che usano la intelligenza artificiale?
L’obbligo è più leggero di quanto pensi, perché il quadro sembra peggiore di com’è.
Il 27 luglio 2026 è entrato in vigore il Regolamento (UE) 2026/1744, il Digital Omnibus, che ha riscritto integralmente l’articolo 4 dell’AI Act. Nella versione originaria bisognava adottare misure per garantire un livello sufficiente di alfabetizzazione. Nella versione vigente bisogna adottare misure volte a sostenere lo sviluppo dell’alfabetizzazione, e la norma precisa espressamente che l’obbligo non impone di garantire un livello specifico di competenza per alcuna persona.
L’obbligo è passato da obbligazione di risultato a obbligazione di mezzi. Non devi dimostrare che il tuo collaboratore ha superato un esame. Devi dimostrare di aver fatto qualcosa di serio.
E non serve comprare niente: le Q&A della Commissione escludono che sia richiesta una certificazione o un formato obbligatorio di documentazione. Un’ora fatta bene, con materiale scritto che resta, vale più di qualunque attestato.
Attenzione però a non leggerlo come uno sconto. La data di applicazione non è cambiata: l’obbligo è in vigore dal 2 febbraio 2025. E il fatto che il contenuto sia indeterminato significa che, il giorno in cui te ne chiedono conto, non esiste una soglia oggettiva dietro cui ripararsi. Esiste solo quello che hai in mano.
Le tre misure minime
1. Chiedi cosa usano. Prima di qualunque policy serve sapere quali strumenti di AI sono effettivamente in uso da parte di chi lavora per te. Non quelli previsti dal contratto: quelli usati davvero. Può saltare fuori almeno un assistente di scrittura, un trascrittore e un traduttore che nessuno aveva mai dichiarato. Si fa con una richiesta scritta, e la risposta si conserva.
2. Dai istruzioni scritte. Una pagina, non un manuale. Cosa si può fare, cosa non si può fare mai, cosa richiede il tuo via libera. Tre divieti da fissare per primi: niente dati identificativi o particolari su strumenti non autorizzati; niente materiale che riguarda i tuoi clienti su account personali; niente contenuto generato che esce a tuo nome senza rilettura umana. Le istruzioni vanno trasmesse formalmente, con conferma di ricezione.
3. Fai un intervento di alfabetizzazione proporzionato. Chi lavora per te deve sapere tre cose: che lo strumento può inventare informazioni perfettamente plausibili, che quello che ci scrive dentro può uscire dal perimetro e in certi casi alimentare l’addestramento del modello, e a chi rivolgersi quando ha un dubbio. Per un ruolo di uso ordinario dello strumento non serve altro.
Cosa mettere nel fascicolo di alfabetizzazione AI?
Non c’è un formato di documentazione imposto dal Regolamento, ma la Commissione raccomanda di conservare registri interni delle iniziative intraprese. Il motivo è pratico, non formale: quei registri sono la prova della tua diligenza.
Per questo scenario, il minimo è:
l’inventario degli strumenti di AI in uso da parte dei collaboratori, con data
la richiesta scritta inviata e le risposte ricevute
la policy d’uso, datata, con la prova della trasmissione a ciascuno
il materiale dell’intervento formativo e l’elenco delle persone raggiunte
l’addendum contrattuale sull’uso dell’AI
la data della prossima revisione
Una traccia che documenta il nulla documenta il nulla. Il fascicolo non sostituisce le misure, le dimostra. Un raccoglitore di moduli firmati a fronte di zero istruzioni reali è, davanti a un’autorità, peggio dell’assenza di raccoglitore.
In sintesi
Se qualcuno lavora per conto tuo e usa l’AI sui tuoi dati, l’obbligo è tuo — qualunque sia il suo contratto. È un obbligo di mezzi, non di risultato, e non ha una sanzione europea diretta. Pesa nel momento peggiore, quando il problema è nato da altro e ti viene chiesto cosa avevi fatto per prevenirlo. Si assolve con poco: sapere cosa usano, dirgli cosa non fare, spiegarglielo una volta e tenerne traccia.
A condizione di farlo prima.
Vuoi sapere quanto è presidiato l’uso dell’AI nel tuo studio? Fai il test dell’Indice di Presidio IA.
Ultimo aggiornamento: 15 settembre 2026. Contenuto aggiornato al Regolamento (UE) 2026/1744. Oltre al regolamento europeo, l'Italia sta completando le sue regole sull'AI. Le autorità sono già designate dall'articolo 20 della legge 23 settembre 2025, n. 132: l'ACN vigila sul mercato (per gli istituti finanziari, Banca d'Italia, CONSOB e IVASS) e l'AgID cura la notifica degli organismi. I decreti legislativi completano il quadro. Il primo, il decreto legislativo 9 settembre 2026, n. 160, sull'uso dell'AI da parte della polizia e sulle responsabilità penali e civili, è in vigore dal 30 settembre 2026. Il secondo è il decreto legislativo 7 ottobre 2026, n. 179, pubblicato nella Gazzetta Ufficiale n. 234 dell’8 ottobre 2026, in vigore dal 23 ottobre 2026. È quello che conta di più per studi e imprese, perché dice con quali sanzioni si applicano le regole e come va fatta la formazione.