La maggior parte del dibattito sull'AI Act ruota attorno ai sistemi ad alto rischio e ai loro obblighi. Ma il Regolamento apre con una categoria più netta e spesso trascurata: gli usi dell'intelligenza artificiale che sono semplicemente vietati. L'art. 5 del Regolamento UE 2024/1689 elenca otto pratiche proibite in tutta l'Unione, applicabili dal 2 febbraio 2025. La differenza è sostanziale: per l'alto rischio esiste un percorso di conformità; per queste, no.
Le otto pratiche vietate dall'art. 5
Se un sistema di AI rientra in una di queste categorie, immetterlo sul mercato o usarlo nell'UE è illecito, a prescindere dal settore, dal tipo di operatore o dalla finalità dichiarata.
| Lettera | Cosa vieta |
|---|---|
| (a) | Tecniche subliminali, manipolative o ingannevoli che distorcono materialmente il comportamento causando un danno significativo |
| (b) | Sfruttamento delle vulnerabilità di una persona o di un gruppo (età, disabilità, situazione sociale o economica) |
| (c) | Social scoring: valutazione o classificazione delle persone in base al comportamento sociale, con trattamenti sfavorevoli in contesti scollegati o sproporzionati |
| (d) | Polizia predittiva sull'individuo: prevedere il rischio che commetta un reato basandosi unicamente su profilazione o tratti della personalità |
| (e) | Creazione o ampliamento di banche dati di riconoscimento facciale tramite scraping non mirato di immagini da internet o da telecamere a circuito chiuso |
| (f) | Riconoscimento delle emozioni sul luogo di lavoro e negli istituti di istruzione |
| (g) | Categorizzazione biometrica per dedurre dati sensibili: razza, opinioni politiche, appartenenza sindacale, convinzioni religiose o filosofiche, vita sessuale o orientamento sessuale |
| (h) | Identificazione biometrica remota "in tempo reale" in spazi pubblici a fini di contrasto (uso di polizia), salvo eccezioni tassative |
Le lettere (d), (e) e (h) riguardano soprattutto le forze dell'ordine e chi produce tecnologie di sorveglianza. Le prime tre — (a), (b) e (c) — e la (f) sono invece quelle in cui un'impresa qualsiasi può inciampare senza accorgersene.
Le tre più insidiose per un'impresa
Riconoscimento delle emozioni sul lavoro (f). È il divieto che tocca più aziende. Sono vietati i sistemi che inferiscono lo stato emotivo del personale — da espressioni facciali, tono di voce, postura o battitura sulla tastiera — per esempio per misurare l'"engagement", monitorare lo stress o prevenire i conflitti. Restano ammessi gli usi per motivi medici o di sicurezza (rilevare la stanchezza di un conducente). Attenzione: non è vietato misurare la produttività, ma inferire le emozioni; la linea di confine è sottile e i fornitori spesso non la segnalano.
Social scoring (c). Non è un problema solo dei governi. Assegnare alle persone un "punteggio" basato sul comportamento sociale e usarlo per trattamenti sfavorevoli in un ambito scollegato da quello in cui i dati sono stati raccolti — o in modo sproporzionato — ricade nel divieto.
Manipolazione e sfruttamento delle vulnerabilità (a, b). Sistemi che usano tecniche ingannevoli o subliminali, o che fanno leva su età, disabilità o fragilità economica per spingere una persona a una decisione che le arreca danno. È un tema concreto per marketing, advertising e design di interfacce persuasive.
La Commissione europea ha pubblicato, all'inizio di febbraio 2025, linee guida sulle pratiche vietate: non sono vincolanti, ma sono il riferimento pratico che autorità, fornitori e utilizzatori dovrebbero seguire nell'applicare i divieti.
Cosa cambia dal 2 dicembre 2026
Il Digital Omnibus (Regolamento UE 2026/1744, in vigore dal 27 luglio 2026) non tocca l'impianto dei divieti esistenti, ma ne aggiunge due, applicabili dal 2 dicembre 2026. Saranno vietati i sistemi di AI che generano o manipolano:
- immagini, video o audio realistici che ritraggono le parti intime di una persona identificabile o attività sessualmente esplicite senza il suo consenso (i cosiddetti deepfake intimi non consensuali);
- materiale di abuso sessuale su minori.
Il fornitore risponde se il sistema genera tali contenuti intenzionalmente, oppure se è un esito ragionevolmente prevedibile e riproducibile e il sistema è privo di misure di sicurezza per impedirlo; il deployer risponde se lo usa proprio a quello scopo.
Divieto non è alto rischio: non c'è conformità che tenga
È il punto che più spesso viene frainteso. Per un sistema ad alto rischio esiste una via d'uscita: documentazione tecnica, gestione del rischio, supervisione umana, valutazione di conformità. Per una pratica vietata non esiste nulla di simile. Non c'è consenso dell'interessato, garanzia contrattuale o misura tecnica che la renda lecita: è proibita e basta.
Le sanzioni sono le più alte previste dal Regolamento. L'art. 99 fissa, per la violazione dei divieti dell'art. 5, multe fino a 35 milioni di euro o al 7% del fatturato mondiale annuo, applicando l'importo più alto tra i due. Per PMI e start-up vale l'importo più basso — ma resta comunque una sanzione, e la pratica resta illecita a prescindere dalla dimensione dell'azienda.
Come verificare se la tua azienda è esposta
Tre controlli concreti, da fare ora:
- Passa in rassegna gli strumenti HR e di monitoraggio. Software di analisi dell'"engagement", del benessere o del tono emotivo del personale sono i candidati più frequenti al divieto della lettera (f). Chiedi al fornitore, per iscritto, se il sistema inferisce emozioni.
- Guarda marketing e personalizzazione. Meccanismi che sfruttano fragilità o usano leve manipolative possono ricadere in (a) e (b).
- Distingui "vietato" da "ad alto rischio". Molti sistemi che a prima vista sembrano proibiti sono in realtà ad alto rischio (leciti, ma regolati). Sbagliare la classificazione costa in entrambe le direzioni: blocca progetti leciti o lascia scoperti quelli davvero fuori legge.
Da dove partire
Il modo più rapido per sapere se stai usando — magari inconsapevolmente, tramite un fornitore — una pratica vietata è un gap assessment indipendente: una mappa dei sistemi di AI in uso, con la loro classificazione corretta e le priorità di intervento. Sui divieti dell'art. 5 non c'è margine di negoziazione: meglio scoprirli in un audit che davanti a un'autorità di vigilanza.