AI Act e Marketing: come prepararsi alla nuova normativa

di Sofia Brusamolin

Il 2 agosto è entrata in vigore la nuova normativa europea sull’utilizzo dell’intelligenza artificiale: l’AI Act. Essere pronti è un obbligo, farsi trovare impreparati può costare caro.

Comprendere fin da subito quali processi aziendali sono a rischio e come adeguare la propria comunicazione non è solo una questione di tutela legale, ma anche un tema di protezione del brand sul mercato.

Di cosa si tratta? Come mettersi a norma? Cosa rischiano aziende ed organizzazioni? 

Prima di tutto, è importante capire come funziona questa nuova normativa, che avrà un impatto strutturale sulla gestione della comunicazione, del marketing e delle strategie digitali, paragonabile all’introduzione dal GDPR rispetto al tema privacy.

Di cosa parleremo in questo articolo:

• Perché gestire bene il tema dell’AI è una priorità aziendale
• AI Act: dal concetto di rischio alla responsabilità dell’organizzazione
• Le differenze sostanziali tra AI Act e GDPR per chi fa marketing
• Opportunità e costi dell’AI Act
• Complessità, responsabilità e data governance nell’era dell’AI Act
• Come farsi trovare preparati

Perché gestire bene il tema dell’AI è una priorità aziendale

In un contesto in cui l’Intelligenza Artificiale è diventata una componente fondamentale dei processi aziendali e creativi, definire i confini entro cui questa tecnologia opera non è più solo una scelta etica, ma una priorità strategica. In questo senso, la normativa si è evoluta proprio per tutelare i diritti dei cittadini europei: dalla privacy alla proprietà intellettuale, dal diritto all’informazione alla protezione dalla pubblicità ingannevole.

Come sempre, infatti, le regole arrivano quando il mondo ha già cominciato a cambiare, nel bene e nel male. Mentre da un lato l’AI viene adottata in sempre più ambiti, dall’altro stiamo assistendo all’aumento i casi di contenziosi e sanzioni per problemi di copyright sugli output, violazioni delle norme sulla privacy, campagne che rischiano di essere ingannevoli, ed algoritmi che si insinuano in ogni ambito delle nostre vite. 

Allineare le strategie AI alle normative vigenti, come GDPR, data governance e il nuovo AI Act, è l’unico modo per gestire i rischi e proteggere la risorsa più importante di ogni azienda ed organizzazione: la fiducia delle persone.

AI Act: dal concetto di rischio alla responsabilità dell’organizzazione

Sviluppato dalla Commissione Europea per creare il primo quadro normativo al mondo sull’Intelligenza Artificiale, l’AI Act nasce con un obiettivo chiaro: garantire che lo sviluppo e l’adozione dell’AI avvengano nel rispetto dei diritti, della sicurezza e della trasparenza. 

Non si tratta di una legge che frena l’innovazione, ma di un sistema che definisce le regole del  gioco per aziende, enti, associazioni e professionisti.

Prima di tutto l’AI Act introduce un approccio basato sul rischio (risk-based approach), suddividendo le applicazioni AI in quattro livelli distinti:

• Rischio minimo: Strumenti come filtri antispam o videogiochi AI, lasciati al libero utilizzo.
• Rischio limitato (Trasparenza): La categoria che tocca da vicino il marketing e la comunicazione. Include chatbot, contenuti generati o manipolati da AI (deepfake, visual e testi sintetici) per i quali introduce l’obbligo di informare chiaramente l’utente finale.
• Alto rischio: Sistemi critici soggetti a requisiti di conformità e documentazione, come ad esempio i processi di selezione del personale, la gestione di infrastrutture, sistemi di sicurezza avanzati che prevedano un riconoscimento facciale, o algoritmi per valutazione del rischio di credito. 
• Rischio inaccettabile: Pratiche vietate, come ad esempio la manipolazione comportamentale, o il social scoring (come ad esempio la categorizzazione automatica di individui sulla base di caratteristiche sociali, razziali, o fisiologiche).

L’AI Act, quindi, non fornisce un regolamento fisso con norme universali valide per ogni singolo post, banner o campagna. 

Un po’ come era successo con l’introduzione del GDPR qualche anno fa, la normativa Europea offre delle linee guida generali e un framework di valutazione, ma spetta a chi sviluppa e pianifica la strategia verificare caso per caso se i sistemi o gli asset prodotti con strumenti AI possano generare impatti negativi o rischi.

Le differenze sostanziali tra AI Act e GDPR per chi fa marketing

Non bisogna cadere nell’errore di considerare l’AI Act come un aggiornamento o un’estensione del GDPR. Sebbene entrambe le normative siano state concepite dall’Unione Europea per tutelare i diritti fondamentali dei cittadini, esse operano su piani giuridici nettamente distinti.

La differenza sostanziale risiede nell’oggetto della regolamentazione: il GDPR governa la protezione dei dati personali e la loro elaborazione, mentre l’AI Act disciplina la sicurezza, la trasparenza e l’affidabilità dei sistemi tecnologici e degli algoritmi, a prescindere dal fatto che essi trattino o meno dati di persone fisiche.

Queste due normative non si escludono a vicenda ma agiscono in maniera cumulativa. 

Per questo motivo, ad esempio, un software di Generative AI impiegato per la personalizzazione delle campagne pubblicitarie o per il profiling dei clienti deve garantire contemporaneamente il rispetto della privacy degli utenti (GDPR) e l’assenza di bias discriminatori o la chiara etichettatura dei contenuti generati (AI Act). 

Comprendere dove finisce il perimetro del dato e dove inizia quello della tecnologia è il primo passo per costruire processi di marketing davvero sicuri e scalabili.

Nella tabella sottostante sono riassunti i punti di contatto e le differenze chiave da conoscere:

Ambito di Confronto	GDPR (General Data Protection Regulation)	EU AI Act (Artificial Intelligence Act)
Oggetto della Norma	Dati Personali: disciplina la raccolta, l’uso, la conservazione e la protezione delle informazioni riferibili a persone fisiche.	Sistemi di AI: disciplina la progettazione, lo sviluppo, la messa in commercio e l’uso dei modelli e software di Intelligenza Artificiale.
Logica di Valutazione	Basata sul livello di sensibilità del dato e sulle finalità del trattamento (es. dati sanitari vs. email aziendale).	Basata sul livello di rischio del sistema AI (Rischio Inaccettabile, Alto, Limitato, Minimo).
Perno Operativo nel Marketing	Consenso dell’utente, profilazione per direct marketing, tracciamento cookie, diritti d’accesso e cancellazione.	Trasparenza degli output (filigrana/watermark su immagini e testi sintetici), etichettatura di chatbot e prevenzione di bias.
Ruoli e Attori Coinvolti	Titolare del Trattamento (Data Controller) e Responsabile del Trattamento (Data Processor).	Fornitore del Sistema (Provider) e Utilizzatore Aziendale (Deployer).
Strumenti di Valutazione	DPIA (Data Protection Impact Assessment): valutazione dell’impatto sulla privacy e sui dati.	FRIA (Fundamental Rights Impact Assessment): valutazione dell’impatto sui diritti fondamentali dell’uomo (per contesti ad alto rischio) e conformità del sistema.
Regime Sanzionatorio	Fino a 20 milioni di euro o fino al 4% del fatturato globale annuo dell’azienda.	Fino a 35 milioni di euro o fino al 7% del fatturato globale annuo (in base alla gravità della violazione).

Opportunità e costi dell’AI Act 

L’entrata in vigore dell’AI Act introduce un quadro normativo che trasforma il modo in cui i brand devono pianificare la propria comunicazione, portando con sé nuovi oneri, ma anche possibili vantaggi da cogliere.

Tra i vantaggi principali si evidenzia innanzitutto una responsabilizzazione chiara di aziende e professionisti, utile a definire i confini legali ed etici nell’uso degli algoritmi e a tutelare la marca (o il nome dell’ente o dell’associazione) da crisi reputazionali o violazioni del copyright. Inoltre, la natura di questo regolamento offre una struttura solida e pronta per il futuro, capace di resistere all’evoluzione tecnologica senza costringere le organizzazioni a continui cambiamenti.

Di contro, vi è chiaramente un nuovo onere, ovvero allocare risorse, tempo ed investimenti per valutare ogni utilizzo dell’AI caso per caso, eliminando la possibilità di applicare soluzioni standardizzate o automatizzate.

Complessità, responsabilità e data governance nell’era dell’AI Act

L’entrata in vigore del regolamento europeo rappresenta un passo fondamentale per un uso etico della tecnologia, ma pone chi fa marketing di fronte a tre sfide dirette:

• La sovrapposizione normativa: L’AI Act non agisce da solo, ma si intreccia con il GDPR, il diritto d’autore e le tutele dei consumatori. Garantire che un contenuto promozionale generato da un’AI rispetti l’origine dei dati di training, il copyright e gli obblighi di etichettatura richiede un’analisi multidisciplinare costante.
• L’interpretazione delle responsabilità: Distinguere chiaramente tra i ruoli di chi sviluppa la tecnologia (Provider) e di chi la utilizza sul mercato (Deployer) è fondamentale. Senza linee guida interne definite, i team marketing rischiano la paralisi operativa per paura delle sanzioni o un’eccessiva spregiudicatezza che espone il brand a crisi reputazionali.
• La governance dei dati e la Trust: La sicurezza dei modelli AI dipende direttamente dalla qualità e dalla tracciabilità dei dati con cui vengono alimentati. Mantenere trasparenza sui processi non serve solo a evitare pesanti sanzioni legali, ma è la condizione indispensabile per tutelare la fiducia del pubblico.

Come farsi trovare preparati

In un panorama tecnologico in rapida evoluzione, l’AI Act non è un freno all’innovazione, ma un acceleratore di trasparenza e credibilità sul mercato. Come farsi trovare preparati? 

Ci sono degli step da seguire: 

1. Assessment dei processi interni
Il primo passo è capire dove e come viene già utilizzata l’intelligenza artificiale. Occorre censire strumenti ufficiali, funzionalità integrate nei software e applicazioni adottate autonomamente dalle persone, facendo emergere anche eventuali utilizzi non formalizzati. Questa mappatura permette di individuare il ruolo assunto dall’organizzazione, valutare il livello di rischio e definire le priorità di intervento. Il risultato dovrebbe essere un registro aggiornabile, non una fotografia destinata a diventare rapidamente obsoleta.

2. Assessment dei fornitori
Gran parte dei sistemi di AI utilizzati dalle aziende proviene da soggetti esterni. Non è quindi sufficiente valutare il singolo strumento: bisogna ricostruire l’intera catena di fornitura. L’AI Act distribuisce infatti responsabilità lungo la catena del valore.

3. Controllare la contrattualistica
Anche i contratti devono riflettere con precisione ciò che accade sul piano operativo. La contrattualistica non serve ad eliminare le responsabilità dell’azienda, ma deve renderle governabili.

4. Nuove procedure aggiornate
Dopo la fase di analisi, le indicazioni devono diventare procedure concrete. Queste procedure devono dialogare con le politiche già esistenti in materia di privacy, cybersecurity, proprietà intellettuale, risorse umane e comunicazione.

5. Formazione
L’alfabetizzazione in materia è indispensabile e va commisurata alle esigenze ed alle funzioni aziendali. 

6. Scegliere i partner giusti
Scegliere i partner giusti significa lavorare con aziende che stanno già affrontando queste tematiche, strutturate per far fronte alle nuove normative e con le adeguate coperture assicurative estese non solamente alla responsabilità civile, ma anche al cyber-rischio.

In SAY ci siamo dotati di procedure e strumenti per far fronte a questi scenari. Inoltre, oltre a gestire il rischio, ci siamo strutturati per cogliere le opportunità. Consideriamo l’Intelligenza Artificiale un acceleratore di risultati: dalla produzione di contenuti all’analisi avanzata dei dati fino alla sperimentazione visiva, trasformiamo le tecnologie emergenti in soluzioni concrete. Lo facciamo unendo ricerca, validazione umana e conformità normativa, per convertire l’innovazione in valore reale e scalabile per i brand.

Affidarsi a SAY S.p.A. significa scegliere un partner sempre aggiornato, capace di guidarti nelle scelte strategiche con prontezza e di fornirti strumenti di comunicazione e contenuti sempre in linea con le normative, per quanto complesse.

Scopri come possIAmo supportare il tuo business

Contattaci!

Fonti e Riferimenti Normativi:

• Regolamento (UE) 2024/1689 – EU AI Act: Testo ufficiale del Regolamento sull’Intelligenza Artificiale. Tratta la classificazione dei rischi, l’alfabetizzazione aziendale (Art. 4), le pratiche vietate (Art. 5), la gestione dei rischi (Art. 9), la supervisione umana (Art. 14), la valutazione d’impatto sui diritti fondamentali – FRIA (Art. 27) e gli obblighi di trasparenza e watermarking sui contenuti sintetici (Art. 50).
  🔗 EUR-Lex (Regolamento UE 2024/1689)
  🔗 Comunicato e Schede Informative – Commissione Europea (IP/21/1682)
• Regolamento (UE) 2016/679 – GDPR (General Data Protection Regulation): Normativa sulla protezione dei dati personali, con focus su definizioni (Art. 4), principi di trattamento (Art. 5), processi decisionali automatizzati/profilazione (Art. 22) e Valutazione d’Impatto sulla Protezione dei Dati – DPIA (Art. 35).
  🔗 EUR-Lex (Regolamento UE 2016/679)
• European Parliament Research Service (EPRS): Studi e pubblicazioni del Centro Studi del Parlamento Europeo sul diritto d’autore (Copyright of AI-generated works) e sull’impatto economico/di governance dell’AI Act sui servizi digitali e sul marketing (Economic and Governance Impacts of the EU AI Act).
  🔗 Archivio Studi e Ricerche EPRS – Parlamento Europeo
• Copyright, Giurisprudenza e Generative AI: Monitoraggio costante delle cause pilota e della giurisprudenza internazionale sul diritto d’autore e l’uso di output generativi tramite il Taylor Wessing AI & Copyright Case Tracker.
  🔗 Taylor Wessing – AI & Copyright Case Tracker
• Informativa, Intersezione Normativa e Regime Sanzionatorio: Linee guida ed analisi sull’intersezione tra AI Act e GDPR a cura del Comitato Europeo per la Protezione dei Dati (EDPB), del Garante Europeo (EDPS) e della International Association of Privacy Professionals (IAPP).
  🔗 European Data Protection Board (EDPB)
  🔗 IAPP – Mapping the Interplays: EU AI Act and GDPR