Un tecnico si accorge che il chatbot commerciale dell'azienda non dichiara mai di essere un'IA. Una responsabile del personale scopre che il nuovo software del call center «legge» le emozioni degli operatori. Dal 2 agosto 2026 entrambi possono segnalarlo con le tutele del whistleblowing: riservatezza, divieto di ritorsione, canali dedicati. Per l'azienda la domanda è molto concreta: il nostro canale di segnalazione è in grado di riconoscere e gestire una segnalazione sull'intelligenza artificiale? Nella maggior parte delle procedure che vediamo, l'IA non è nemmeno nominata.
Cosa è cambiato il 2 agosto 2026
L'AI Act (Regolamento UE 2024/1689) dedica al tema un articolo di una sola frase. L'art. 87, nella sezione «Mezzi di ricorso» del Capo IX, dispone che «la direttiva (UE) 2019/1937 si applica alla segnalazione di violazioni del presente regolamento e alla protezione delle persone che segnalano tali violazioni». La norma si applica dal 2 agosto 2026, la data generale di applicazione del Regolamento; il Digital Omnibus (Regolamento UE 2026/1744) ha rinviato gli obblighi per i sistemi ad alto rischio, ma non è intervenuto su questo articolo.
Fino a quella data chi segnalava un problema legato all'IA era tutelato solo se la violazione ricadeva in un settore già coperto dalla direttiva: sicurezza dei prodotti, protezione dei consumatori, dati personali, sicurezza delle reti. Ora la violazione dell'AI Act è segnalabile in quanto tale. Quali violazioni, dipende dal calendario del Regolamento:
| Obblighi dell'AI Act | Applicabili da |
|---|---|
| Pratiche vietate (art. 5) | 2 febbraio 2025 |
| Obblighi dei fornitori di modelli di IA per finalità generali (GPAI) | 2 agosto 2025 |
| Obblighi di trasparenza (art. 50) | 2 agosto 2026 |
| Requisiti e obblighi per i sistemi ad alto rischio | 2 dicembre 2027 (Allegato III) e 2 agosto 2028 (Allegato I) |
Chi è protetto e a quali condizioni
In Italia la direttiva è attuata dal D.Lgs. 24/2023. La tutela non riguarda solo i dipendenti: l'art. 3 include lavoratori autonomi e collaboratori, liberi professionisti e consulenti, lavoratori dei fornitori, volontari e tirocinanti, azionisti e amministratori. Vale anche per chi ha acquisito le informazioni durante la selezione o il periodo di prova e per gli ex lavoratori, e si estende a facilitatori, colleghi e familiari che potrebbero subire ritorsioni.
Le condizioni sono due (art. 16): al momento della segnalazione la persona deve avere fondato motivo di ritenere vere le informazioni e rientranti nell'ambito della norma, e deve aver usato i canali previsti. I motivi personali che l'hanno spinta a segnalare sono irrilevanti. Si possono segnalare anche i fondati sospetti su violazioni che, in base a elementi concreti, potrebbero essere commesse.
Le tutele sono robuste: l'identità non può essere rivelata senza consenso (art. 12); ogni ritorsione è vietata e, in giudizio, è il datore di lavoro a dover provare che la misura contestata non dipende dalla segnalazione (art. 17); gli atti ritorsivi sono nulli e chi è stato licenziato ha diritto alla reintegrazione (art. 19).
Dove si segnala: canale interno, ANAC, AI Office
| Canale | Chi lo gestisce | Quando si usa | Tempi |
|---|---|---|---|
| Interno | L'azienda, tramite una persona o un ufficio autonomo e formato, anche esterno (art. 4) | È la via ordinaria | Avviso di ricevimento entro 7 giorni, riscontro entro 3 mesi (art. 5) |
| Esterno | ANAC | Canale interno assente o non conforme, segnalazione interna senza seguito, fondato timore di ritorsioni o di inefficacia, pericolo imminente o palese per il pubblico interesse (art. 6) | Avviso entro 7 giorni, riscontro entro 3 mesi, 6 in casi motivati (art. 8) |
| AI Office | Commissione europea | Violazioni dell'AI Act, in particolare quelle dei fornitori di modelli GPAI | Conferma di ricezione entro 7 giorni lavorativi |
| Divulgazione pubblica | — | Solo nei casi dell'art. 15: nessun riscontro nei termini, pericolo imminente, rischio di ritorsioni o di occultamento delle prove | — |
Se la violazione non rientra nella sua competenza, l'ANAC trasmette la segnalazione all'autorità competente (art. 8, comma 2). Per la vigilanza del mercato sull'IA, la Legge 132/2025 (art. 20) ha designato l'ACN. Il canale dell'AI Office, attivo dal 24 novembre 2025, accetta segnalazioni anche anonime in qualsiasi lingua ufficiale dell'UE e consente di dialogare con l'ufficio senza rivelare la propria identità.
Da non confondere con il whistleblowing è il reclamo dell'art. 85: qualsiasi persona fisica o giuridica, anche un cliente o un concorrente, può rivolgersi all'autorità di vigilanza del mercato. Non richiede un contesto lavorativo e non porta con sé le tutele contro le ritorsioni.
Il nodo italiano: il D.Lgs. 24/2023 non nomina l'AI Act
L'art. 87 è una norma di rinvio: non modifica l'allegato della direttiva, dichiara che la direttiva «si applica». Il D.Lgs. 24/2023, però, definisce le violazioni del diritto dell'Unione segnalabili attraverso un elenco di atti e di settori (art. 2, comma 1, lett. a, n. 3). Alla data di questo articolo, il testo vigente del decreto non cita espressamente il Regolamento UE 2024/1689. Tre considerazioni pratiche:
- l'art. 87 è contenuto in un regolamento, direttamente applicabile in ogni Stato membro: la lettura più diffusa tra i commentatori è che il decreto vada applicato come se comprendesse l'AI Act. Un chiarimento espresso del legislatore o dell'ANAC sarebbe utile e, a oggi, non ci risulta;
- molte violazioni in materia di IA ricadono comunque nei settori già elencati dal decreto: sicurezza e conformità dei prodotti, protezione dei consumatori, dati personali, sicurezza delle reti e dei sistemi informativi;
- dal 30 settembre 2026 il D.Lgs. 160/2026 ha inserito nel D.Lgs. 231/2001 il nuovo art. 25-vicies: i reati legati all'IA che vi sono richiamati sono condotte rilevanti ai fini 231, quindi segnalabili nel canale interno di ogni ente dotato di un modello organizzativo.
Chi è tenuto ad avere il canale, e che cosa vi può arrivare, dipende dalla dimensione e dall'organizzazione dell'ente (art. 2, comma 1, lett. q, e art. 3, comma 2):
| Azienda | Canale interno | Segnalazioni sull'IA |
|---|---|---|
| Media di almeno 50 dipendenti nell'ultimo anno | Obbligatorio | Violazioni del diritto UE, con canale interno, esterno e divulgazione pubblica; anche le condotte 231 se c'è un modello organizzativo |
| Meno di 50 dipendenti, con modello 231 | Obbligatorio | Solo condotte rilevanti ai fini 231, solo tramite canale interno |
| Meno di 50 dipendenti, senza modello 231 | In generale non obbligatorio (salvo alcuni settori regolati, come i servizi finanziari) | Restano il reclamo dell'art. 85 e il canale dell'AI Office |
La conclusione operativa è una sola: respingere una segnalazione sull'IA perché «fuori ambito» è la scelta più rischiosa che il gestore del canale possa fare.
Cosa fare in azienda: sei passi
- Aggiorna l'ambito della procedura. Nomina espressamente le violazioni del Regolamento UE 2024/1689 tra quelle segnalabili, con qualche esempio riconoscibile: un uso vietato dall'art. 5, un chatbot o un contenuto sintetico non dichiarato, un sistema usato fuori dalle istruzioni del fornitore.
- Aggiorna l'informativa. L'art. 5 impone informazioni chiare sul canale interno e su quelli esterni, visibili nei luoghi di lavoro e sul sito, accessibili anche a consulenti e fornitori. Aggiungi l'IA e, accanto all'ANAC, il canale dell'AI Office.
- Forma chi gestisce il canale. La legge chiede personale «specificamente formato» (art. 4): oggi significa anche saper riconoscere una pratica vietata o un obbligo di trasparenza mancato. Le Linee guida ANAC sui canali interni (delibera n. 478 del 26 novembre 2025) dedicano spazio proprio al ruolo del gestore e alla formazione.
- Definisci l'istruttoria tecnica. Una segnalazione sull'IA richiede competenze che il gestore raramente ha: stabilisci in anticipo chi lo supporta (referente IA, DPO, IT) e come, senza rivelare l'identità del segnalante. L'inventario dei sistemi di IA è il primo documento che servirà.
- Raccorda il modello 231. Se l'ente ne ha uno, la mappatura dei rischi va aggiornata all'art. 25-vicies e il flusso tra gestore del canale e Organismo di vigilanza va chiarito.
- Proteggi chi segnala e conserva le evidenze. Nessuna misura sfavorevole verso chi ha segnalato; documentazione conservata per il tempo necessario e comunque non oltre cinque anni dall'esito (art. 14); traccia del rispetto dei termini.
Il costo dell'inerzia è definito. L'ANAC applica sanzioni da 10.000 a 50.000 euro per ritorsioni, ostacolo alla segnalazione o violazione della riservatezza, e nella stessa misura per canali assenti, procedure non conformi o segnalazioni non esaminate (art. 21). E una segnalazione che non trova ascolto all'interno ha oggi tre destinatari esterni: ANAC, ACN, AI Office.
Da dove partire
Una segnalazione interna gestita bene è il sistema di allerta più economico che un'azienda possa avere sull'uso dell'IA: arriva prima dell'autorità, e da chi il sistema lo vede funzionare ogni giorno. Il primo passo è verificare se procedura, informativa e competenze del canale reggono a una segnalazione sull'intelligenza artificiale. Un gap assessment indipendente mette a confronto il canale whistleblowing con l'inventario dei sistemi di IA e con gli obblighi dell'AI Act già applicabili, e restituisce un elenco breve di correzioni: cosa scrivere, chi formare, chi coinvolgere quando la prima segnalazione arriverà.