Trasparenza AI

Ultimo aggiornamento: 29 luglio 2026

L'intelligenza artificiale è dentro quasi tutto quello che facciamo. Questa pagina dice come la usiamo, cosa ci siamo impegnati a non fare e quali obblighi del Regolamento UE 2024/1689 — l'AI Act — ci riguardano davvero. È scritta per essere verificabile, non per rassicurare.

1. Il quadro normativo, con le date vere

L'AI Act è in vigore dal 1° agosto 2024 e si applica per gradi. Il Digital Omnibus sull'IA, approvato dal Parlamento europeo il 16 giugno 2026 e adottato dal Consiglio il 29 giugno 2026, ha rinviato la parte sui sistemi ad alto rischio, senza toccare gli obblighi di trasparenza.

2. Che ruolo abbiamo

L'AI Act assegna obblighi diversi a seconda del ruolo. Noi ne abbiamo due.

• Deployer (art. 3.4): usiamo sotto la nostra responsabilità sistemi di IA di terzi — modelli linguistici, generatori di immagini e video — per il nostro lavoro quotidiano.
• Provider(art. 3.3): quando progettiamo e mettiamo in servizio un sistema di IA — un agente conversazionale, un assistente sui documenti aziendali, un'automazione che decide come smistare una richiesta — siamo fornitori di quel sistema.

Nei progetti su commessa il ruolo di fornitore dipende da chi mette il proprio nome sul sistema (art. 25). Lo definiamo per iscritto in ogni contratto, insieme a chi risponde della sorveglianza umana, della conservazione dei log e della segnalazione di incidenti. Non lo lasciamo implicito.

Non siamo fornitori di modelli per finalità generali: non addestriamo modelli di base. Usiamo modelli di terzi, che hanno obblighi propri dal 2 agosto 2025.

3. Cosa ci impegniamo a fare — art. 50

Quando parli con una macchina, te lo diciamo (art. 50.1)

Ogni chatbot, agente conversazionale o assistente che costruiamo dichiara di essere un sistema di intelligenza artificiale, al primo contatto e in modo comprensibile. Vale anche quando la voce è sintetica. Non progettiamo interfacce che simulano una persona reale senza dirlo.

I contenuti generati dall'IA li marchiamo (art. 50.2)

Immagini, video, audio e testi prodotti o modificati in modo sostanziale da sistemi generativi vengono marcati in formato leggibile da una macchina — metadati di provenienza secondo lo standard C2PA dove lo strumento lo supporta — così che siano riconoscibili come artificiali anche fuori dal nostro sito.

Se raffigura persone o fatti reali, lo dichiariamo apertamente (art. 50.4)

I contenuti che ritraggono persone, luoghi o eventi reali in modo verosimile ma non autentico — i cosiddetti deepfake— portano un'etichetta visibile, all'utente e non solo alla macchina. Lo stesso vale per i testi pubblicati per informare il pubblico su questioni di interesse pubblico, quando sono generati dall'IA senza revisione editoriale umana e senza qualcuno che se ne assuma la responsabilità.

Riconoscimento delle emozioni e categorizzazione biometrica (art. 50.3)

Non li usiamo e non li costruiamo. Se un progetto lo richiedesse in un contesto lecito, informeremmo preventivamente le persone esposte, come impone la norma.

4. Cosa rifiutiamo di costruire — art. 5

Queste pratiche sono vietate nell'Unione europea dal 2 febbraio 2025. Le rifiutiamo in fase di preventivo, per iscritto, quale che sia il budget.

• tecniche subliminali o manipolative che distorcono il comportamento causando un danno;
• sfruttamento delle vulnerabilità legate a età, disabilità o condizione socio-economica;
• punteggio sociale dei cittadini basato su comportamento o caratteristiche personali;
• previsione del rischio che una persona commetta un reato sulla base del solo profilo;
• costruzione di banche dati di riconoscimento facciale tramite raccolta indiscriminata da internet o da telecamere;
• riconoscimento delle emozioni sul posto di lavoro o negli istituti di istruzione;
• categorizzazione biometrica per dedurre convinzioni politiche o religiose, orientamento sessuale, appartenenza sindacale o origine razziale;
• identificazione biometrica remota in tempo reale in spazi accessibili al pubblico.

5. Il filtro sui sistemi ad alto rischio

Alcuni usi non sono vietati ma sono classificati ad alto rischio dall'Allegato III: selezione del personale e screening dei curriculum, valutazione del merito creditizio, valutazione di studenti, accesso a servizi essenziali, gestione di infrastrutture critiche.

Ogni richiesta passa da questo filtro prima del preventivo. Se un progetto ricade nell'Allegato III lo diciamo al cliente e ne discutiamo apertamente: valutazione e gestione del rischio, governance dei dati, documentazione tecnica, sorveglianza umana, registrazione degli eventi, monitoraggio dopo la messa in servizio. Sono obblighi che diventano applicabili il 2 dicembre 2027 e che cambiano tempi e costi del lavoro. Non li nascondiamo dentro un preventivo standard.

6. Alfabetizzazione AI — art. 4

L'art. 4 impone a fornitori e utilizzatori di garantire un livello adeguato di competenza sull'IA a chi la usa per loro conto. Teniamo una traccia scritta della formazione interna: capacità e limiti dei modelli, rischio di allucinazione, gestione dei dati riservati nei prompt, quando serve una verifica umana prima di consegnare. È documentazione interna, disponibile su richiesta di un cliente o di un'autorità.

7. Quali sistemi usiamo

8. IA e dati dei clienti

Quando un sistema che costruiamo tratta dati personali per conto di un cliente, il cliente è titolare del trattamento e noi siamo responsabili: firmiamo un accordo ai sensi dell'art. 28 del GDPR che elenca i sub-responsabili, comprese le società che forniscono i modelli.

Usiamo configurazioni che escludono l'addestramento dei modelli sui dati trasmessi e preferiamo fornitori che non impongono periodi di conservazione prolungati. Quando un fornitore impone una conservazione incompatibile con gli impegni presi verso il cliente, non lo usiamo su quei dati. Se il trattamento è rischioso per i diritti delle persone valutiamo con il cliente la necessità di una valutazione d'impatto ai sensi dell'art. 35 del GDPR.

9. Su questo sito

cleg.app non contiene sistemi di IA che interagiscono con te o che prendono decisioni sul tuo conto: non c'è chatbot, non c'è profilazione, non c'è punteggio. L'animazione di particelle in pagina è codice, non un modello generativo. Testi e immagini eventualmente prodotti con assistenza dell'IA sono rivisti e approvati da una persona, che se ne assume la responsabilità.

10. Limiti di questa dichiarazione

L'AI Act non prevede una certificazione per i sistemi a rischio limitato: nessun ente terzo ha verificato quanto scritto qui. È una dichiarazione di come lavoriamo, assunta volontariamente e verificabile nei contratti che firmiamo. Le classificazioni indicate riguardano gli usi attuali e vengono riesaminate quando cambiano gli strumenti, i servizi o la normativa.

11. Segnalazioni

Se pensi che un nostro contenuto generato dall'IA non sia stato segnalato come dovuto, o che un sistema che abbiamo costruito non rispetti questi impegni, scrivi a info@cleg.app. Rispondiamo entro trenta giorni. Puoi rivolgerti anche all'autorità nazionale competente per la vigilanza sul mercato dell'IA e, per i profili di protezione dei dati, al Garante per la protezione dei dati personali.