Dejan Jasnic · Co-fondatore e Responsabile Compliance, Trusty · Oltre 20 anni di esperienza in antifrode e compliance · Membro del consiglio direttivo dell’ACFE Swiss Chapter
Dal 2 agosto 2026, chi segnala violazioni dell’AI Act dell’UE è protetto dalla normativa europea sul whistleblowing e i datori di lavoro con 50 o più dipendenti devono essere in grado di ricevere tali segnalazioni attraverso il proprio canale interno. Non è necessario un nuovo canale. Occorre invece aggiornare il modulo, la policy e la formazione relativi a quello già esistente.
Questa guida spiega cosa è cambiato, cosa costituisce una violazione segnalabile dell’AI Act e quali sono gli aggiornamenti precisi da apportare.
Cos'è il whistleblowing nell'ambito dell'AI Act?
Il whistleblowing relativo all’AI Act consiste nella segnalazione di una sospetta violazione del Regolamento UE sull’intelligenza artificiale di cui si è venuti a conoscenza nel contesto lavorativo. La segnalazione può essere inviata al canale interno del datore di lavoro, a un’autorità competente o, in casi limitati, resa pubblica.
La persona che segnala è protetta dalle ritorsioni ai sensi della Direttiva UE sul whistleblowing, allo stesso modo di chi segnala una frode o una violazione della sicurezza.
Trusty fornisce un sistema di whistleblowing a norma per aziende con 50 o più dipendenti, attivo in pochi minuti.
Cosa dice l'AI Act riguardo al whistleblowing?
L’AI Act estende la Direttiva UE sul whistleblowing all’IA in una singola frase. L’articolo 87 stabilisce che la Direttiva (UE) 2019/1937 si applica alla segnalazione delle violazioni dell’AI Act e alla protezione delle persone che le segnalano.
Tale disposizione si applica dal 2 agosto 2026. Da quella data, l’intera direttiva, comprese le norme su canali, scadenze, riservatezza e ritorsioni, copre le segnalazioni relative all’AI Act.
in meno di 5 minuti
Ha bisogno di un canale che accetti segnalazioni relative all’AI Act? Trusty ne configura uno in meno di cinque minuti, con contatto anonimo bidirezionale e modelli di policy inclusi.
Le segnalazioni relative all'IA erano tutelate prima di agosto 2026?
Alcune sì. Prima di tale data, una segnalazione relativa all’IA era protetta solo se rientrava anche in un ambito già coperto dalla direttiva, come la sicurezza dei prodotti, la tutela dei consumatori o la protezione dei dati. La modifica elimina tale incertezza per le violazioni dell’AI Act.
Esiste un canale a livello UE per le segnalazioni sull'AI Act?
Sì. Il 24 novembre 2025 la Commissione europea ha lanciato uno strumento di segnalazione per l’AI Act, gestito dall’Ufficio europeo per l’IA. Le segnalazioni possono essere anonime, in qualsiasi lingua ufficiale dell’UE e in qualsiasi formato pertinente.
Tale strumento rappresenta una via esterna. Non sostituisce l’obbligo del datore di lavoro di gestire un canale interno; un canale interno ben gestito permette di venire a conoscenza di un problema per primi.
Quali violazioni dell'AI Act possono essere segnalate?
Può essere segnalata qualsiasi violazione effettiva o probabile dell’AI Act, così come il tentativo di occultarne una. Il segnalante deve avere fondati motivi per ritenere che le informazioni siano vere; non sono necessarie prove definitive.
Ambito dell'AI Act | Esempio di violazione segnalabile | Riferimento |
|---|---|---|
Pratiche vietate | Un sistema valuta il comportamento sociale delle persone o deduce le emozioni dei dipendenti sul lavoro | Articolo 5 |
Sistemi ad alto rischio: obblighi dei fornitori | Un sistema di selezione del personale o di credit scoring viene immesso sul mercato senza controlli di gestione del rischio o di governance dei dati | Articoli 9 e 10 |
Sistemi ad alto rischio: sorveglianza umana | Al personale viene chiesto di accettare una decisione dell'IA senza alcuna reale possibilità di riesaminarla | Articolo 14 |
Sistemi ad alto rischio: obblighi dei deployer | Un'azienda utilizza un sistema contravvenendo alle istruzioni del fornitore o senza informare i lavoratori | Articolo 26 |
Trasparenza | Un chatbot non informa gli utenti che stanno interagendo con un'IA, oppure i deepfake non vengono contrassegnati come tali | Articolo 50 |
Modelli di IA per finalità generali | Un modello con rischio sistemico non dispone di un adeguato livello di cibersicurezza | Articoli 53 e 55 |
L’AI Act si applica per fasi, pertanto alcuni obblighi entrano in vigore dopo altri. Una segnalazione relativa a una violazione futura o probabile è comunque protetta.
C’è un limite che vale la pena conoscere. Gli esperti osservano che non è chiaro se i rischi derivanti esclusivamente dall’uso interno dell’IA da parte di un’azienda siano sempre qualificabili come tali, pertanto è opportuno trattare le segnalazioni dubbie come protette fino a quando non si riceve una consulenza legale.
Quali datori di lavoro sono interessati dal whistleblowing sull'AI Act?
Ogni datore di lavoro che necessita già di un canale di whistleblowing è interessato, poiché il suo canale deve ora accettare segnalazioni relative all’AI Act. Ciò include le aziende private con 50 o più lavoratori e gli enti del settore pubblico.
Il cambiamento è particolarmente rilevante se la Sua organizzazione svolge una delle seguenti attività:
• Sviluppa sistemi o modelli di IA e li immette sul mercato dell’UE
• Utilizza l’IA in decisioni riguardanti le persone, come selezione del personale, prestazioni, credito, assicurazioni o accesso ai servizi
• Utilizza chatbot o contenuti generati dall’IA visibili ai clienti
• Acquista strumenti di IA da fornitori, poiché i deployer hanno i propri obblighi ai sensi dell’AI Act
Un’azienda senza un team interno di IA può comunque ricevere una segnalazione sull’AI Act. Molte segnalazioni riguarderanno strumenti acquistati da terzi.
Chi è protetto quando segnala una violazione dell'AI Act?
Chiunque venga a conoscenza di una violazione in un contesto lavorativo è protetto, non solo i dipendenti. Ciò include appaltatori, fornitori, azionisti, membri del consiglio di amministrazione, tirocinanti, candidati a un posto di lavoro ed ex lavoratori.
La protezione copre anche i facilitatori che assistono il segnalante, nonché i colleghi o i parenti che potrebbero subire ritorsioni. Se il segnalante subisce un danno, il datore di lavoro deve dimostrare che non era correlato alla segnalazione.
Cosa dovrebbero aggiornare i datori di lavoro nel proprio canale di segnalazione per l'AI Act?
I datori di lavoro dovrebbero apportare sette aggiornamenti: la policy, il modulo di segnalazione, il team addetto ai casi, l’instradamento, le informazioni esterne, la formazione e il processo relativo ai fornitori. Nessuno di questi richiede un nuovo sistema.
1. Aggiornare la policy di whistleblowing. Aggiungere le violazioni dell’AI Act all’elenco delle materie segnalabili, con uno o due esempi chiari.
2. Aggiungere una categoria IA al modulo di segnalazione. Un segnalante dovrebbe poter scegliere “intelligenza artificiale” invece di dover indovinare tra IT e compliance.
3. Assegnare un referente IA al team addetto ai casi. Nominare qualcuno con conoscenze tecniche o di governance dell’IA che possa essere consultato nel rispetto delle medesime regole di riservatezza.
4. Verificare eventuali conflitti di interesse. Se la persona responsabile di un sistema di IA gestisce anche le segnalazioni, occorre instradare i casi relativi all’IA verso un soggetto indipendente.
5. Aggiornare le informazioni sulla segnalazione esterna. Indicare alle persone quale autorità nazionale riceve le segnalazioni esterne e menzionare lo strumento di segnalazione dell’Ufficio europeo per l’IA.
6. Formare dipendenti e manager. Spiegare che le segnalazioni relative all’IA sono protette e che si applicano le norme sulle ritorsioni.
7. Coprire fornitori e appaltatori. Assicurarsi che le persone esterne all’organico che lavorano con i Suoi sistemi di IA possano accedere al canale.
Mantenere le scadenze standard. Inviare l’avviso di ricevimento di una segnalazione sull’AI Act entro sette giorni e fornire un riscontro entro tre mesi, come per qualsiasi altra segnalazione.
un solo strumento
Gestisca ogni aggiornamento in un unico posto. Trusty Le offre una categoria di segnalazione IA personalizzata, un instradamento dei casi privo di conflitti di interesse e modelli pronti per policy e formazione. Oppure prenoti una demo.
Come ottenere rapidamente un canale di whistleblowing pronto per l'AI Act?
Il modo più rapido è gestire il canale su un software di whistleblowing che soddisfi già la direttiva, per poi aggiungere l’IA alla policy e alla formazione. Trusty è progettato in base alla direttiva UE sul whistleblowing, con una configurazione personalizzabile pronta in meno di cinque minuti.
• Segnalazioni scritte e vocali, con camuffamento della voce affinché il segnalante non possa essere riconosciuto
• Contatto anonimo bidirezionale, in modo che i gestori dei casi possano porre domande tecniche di approfondimento senza scoprire l’identità di chi ha segnalato
• Accesso basato sui ruoli, che esclude i responsabili dei sistemi dai casi riguardanti i propri sistemi
• Una dashboard dei casi che mostra ogni segnalazione e il suo stato rispetto alle scadenze
• Una marca temporale qualificata eIDAS su ogni segnalazione e un registro di controllo a prova di manomissione
• Hosting in Germania in data center certificati ISO/IEC 27001
• Modelli di policy e formazione per i dipendenti inclusi
Provi Trusty gratuitamente per 7 giorni su trusty.report, oppure prenoti una breve demo.
Domande frequenti sul whistleblowing e l'AI Act
Sì. L'articolo 87 dell'AI Act estende la direttiva UE sul whistleblowing alle segnalazioni di violazioni dell'AI Act, così chi le segnala è protetto da ritorsioni.
È iniziata il 2 agosto 2026. Prima di quella data, le segnalazioni relative all'IA erano protette solo se rientravano anche in un ambito già coperto dalla direttiva, come la sicurezza dei prodotti o la protezione dei dati.
No. Il canale di segnalazione interno già esistente deve accettare le segnalazioni relative all'AI Act. I datori di lavoro devono aggiornare la policy, il modulo di segnalazione e la formazione, senza creare un secondo canale.
Chiunque venga a conoscenza di una violazione nell'ambito del proprio lavoro può segnalarla, inclusi dipendenti, collaboratori, fornitori, azionisti, tirocinanti, candidati ed ex lavoratori.
Sì, attraverso lo strumento di segnalazione dell'Ufficio europeo per l'IA, che accetta segnalazioni anonime. Per i canali interni, l'obbligo di accettare segnalazioni anonime dipende dalla normativa nazionale, e la Spagna lo richiede.
Possono essere segnalate all'autorità nazionale competente o tramite lo strumento di segnalazione dell'Ufficio europeo per l'IA, lanciato il 24 novembre 2025.
Le ritorsioni sono vietate. Il datore di lavoro deve dimostrare che qualsiasi danno subito non è collegato alla segnalazione, ed è soggetto a sanzioni previste dalla normativa nazionale, oltre a possibili provvedimenti di reintegro e risarcimento.
alla Direttiva UE e al GDPR
Software per il whistleblowing reso semplice, creato da esperti di compliance.
Fonti
• Articolo 87: Segnalazione di violazioni e protezione delle persone segnalanti, AI Act dell’UE
• Whistleblowing e AI Act dell’UE, AI Act dell’UE
• La Commissione lancia uno strumento per i whistleblower per l’AI Act, Commissione europea
• Direttiva (UE) 2019/1937, EUR-Lex
• Trusty, informazioni sul prodotto
Questo articolo fornisce informazioni generali e non costituisce consulenza legale.