Private enforcement dell’AI Act: cosa può fare una persona per far valere i propri diritti
Pubblicata il · Aggiornata il · Verificata il
«Private enforcement» è l’insieme degli strumenti con cui una persona fa valere da sé l’AI Act, cioè il Regolamento (UE) 2024/1689 sull’intelligenza artificiale (AI), senza passare per un controllo programmato dell’autorità. Si contrappone al «public enforcement»: la vigilanza e le sanzioni che le autorità applicano di propria iniziativa.
Perché ne parliamo? Perché il tuo studio o la tua azienda può trovarsi dall’altra parte del banco. Guarda l’immagine in alto: una cliente indica una cucitura scucita sulla sua borsa e chiede spiegazioni all’artigiano, che la esamina e le risponde. Nessuna autorità è presente. La cliente è la persona che fa valere i propri diritti, l’artigiano è chi deve rispondere. Se il tuo studio o la tua azienda prende decisioni sui clienti con l’aiuto di un sistema di AI, puoi trovarti nel ruolo dell’artigiano. Il reclamo all’autorità di vigilanza del mercato è già esercitabile: l’articolo 85 dell’AI Act si applica dal 2 agosto 2026.
Gli strumenti sono due, e li prevede il regolamento: il reclamo, aperto a chiunque, e il diritto alla spiegazione, riservato a chi è oggetto di una decisione con effetti significativi.
Come funziona il reclamo dell’articolo 85 dell’AI Act?
Qualsiasi persona o azienda che abbia motivo di ritenere che vi sia stata una violazione dell’AI Act può presentare un reclamo alla pertinente autorità di vigilanza del mercato. Non serve dimostrare un danno personale: basta il motivo di ritenere. Il reclamo alimenta l’attività di vigilanza, non apre automaticamente un procedimento a favore di chi lo presenta.
Come funziona il diritto alla spiegazione dell’articolo 86 dell’AI Act?
Una decisione può essere presa da un deployer sulla base dell’output di un sistema ad alto rischio dell’allegato III. Se ha effetti giuridici o un impatto significativo su salute, sicurezza o diritti fondamentali, la persona oggetto della decisione ha diritto a spiegazioni chiare e significative sul ruolo che il sistema ha avuto nella decisione.
Vediamo un esempio concreto. Il tuo studio cerca un collaboratore: carichi tutti i curricula ricevuti in un sistema di AI che li legge, li confronta con il profilo richiesto e scarta quelli con il punteggio più basso. Un sistema che analizza e filtra le candidature è tra quelli ad alto rischio dell’allegato III, punto 4, lettera a), dell’AI Act. Gli obblighi per questi sistemi si applicano dal 2 dicembre 2027 (articolo 113, lettera c, dell’AI Act): da quella data il candidato scartato potrà chiederti spiegazioni chiare sul ruolo che il sistema ha avuto nella decisione e sui principali elementi che l’hanno determinata. Rispondere «ha deciso il software» non basta: devi poter dire che cosa ha valutato il sistema e che cosa hai deciso tu.
È un diritto individuale, azionabile senza passare dall’autorità. Vale solo dove un diritto equivalente non sia già previsto altrove nel diritto dell’Unione: è pensato per colmare un vuoto, non per sovrapporsi al GDPR.
Quanto alla data, il capo IX non ha una data propria (per lettera, dal 2 agosto 2026): lo dice l’articolo 113 dell’AI Act, che non gliene dà una. Il diritto però riguarda solo decisioni prese con sistemi dell’allegato III (escluso il punto 2), i cui obblighi si applicano dal 2 dicembre 2027. Nella pratica ha un oggetto concreto man mano che quei sistemi rientrano negli obblighi. È una lettura del calendario, non una data scritta nell’articolo 86 dell’AI Act.
Esiste un regime europeo di responsabilità civile per i danni da AI?
Per il danno da AI l’AI Act non crea un regime di risarcimento. La proposta di direttiva europea che avrebbe dovuto farlo, la AI Liability Directive, è stata ritirata dalla Commissione. Era tra i ritiri del programma di lavoro dell’11 febbraio 2025, con avviso formale pubblicato nella Gazzetta Ufficiale dell’Unione il 6 ottobre 2025. La Commissione si è riservata di valutare in futuro un approccio diverso, ma oggi un regime europeo non esiste.
Quindi chi subisce un danno da un sistema di AI, per esempio una decisione automatizzata che penalizza un cliente, deve rivolgersi al diritto nazionale ordinario: responsabilità contrattuale o extracontrattuale, come per qualunque altro strumento o servizio difettoso.
Il private enforcement dell’AI Act è una class action?
Non è una class action né un’azione collettiva: ogni reclamo e ogni richiesta di spiegazione restano individuali. E non sostituisce la responsabilità civile ordinaria, dove si gioca il risarcimento del danno.
Domande frequenti
Devo rispondere se un cliente chiede spiegazioni su una decisione automatizzata fatta con AI?
Solo nei casi dell’articolo 86 dell’AI Act: decisione basata su un sistema ad alto rischio dell’allegato III (escluso il punto 2), con effetti giuridici o significativi. Gli obblighi dell’allegato III si applicano dal 2 dicembre 2027.
Se un cliente subisce un danno da uno strumento di AI, può citare in causa il mio studio o la mia azienda?
Sì, con le regole ordinarie di responsabilità civile del diritto nazionale: l’AI Act non prevede un regime a parte.
Ultimo aggiornamento: 1 ottobre 2026. Contenuto aggiornato al Regolamento (UE) 2026/1744. Oltre al regolamento europeo, l’Italia sta completando le sue regole sull’AI. Le autorità sono già designate dall’articolo 20 della legge 23 settembre 2025, n. 132: l’ACN vigila sul mercato (per gli istituti finanziari, Banca d’Italia, CONSOB e IVASS) e l’AgID cura la notifica degli organismi. I decreti legislativi completano il quadro. Il primo, il decreto legislativo 9 settembre 2026, n. 160, sull’uso dell’AI da parte della polizia e sulle responsabilità penali e civili, è in vigore dal 30 settembre 2026. Il secondo è il decreto legislativo 7 ottobre 2026, n. 179, pubblicato nella Gazzetta Ufficiale n. 234 dell’8 ottobre 2026, in vigore dal 23 ottobre 2026. È quello che conta di più per studi e imprese, perché dice con quali sanzioni si applicano le regole e come va fatta la formazione.