Pratiche di AI vietate: cosa non fare con clienti e dipendenti

Le pratiche di AI vietate sono gli usi dell’intelligenza artificiale che l’articolo 5 dell’AI Act proibisce in tutta l’Unione europea dal 2 febbraio 2025, qualunque sia la dimensione dell’azienda. Per una PMI i divieti più vicini al lavoro di tutti i giorni sono due: il riconoscimento delle emozioni dei dipendenti e le tecniche che manipolano i clienti o sfruttano le loro fragilità. Le linee guida della Commissione europea spiegano con esempi concreti dove passa il confine.

In breve

• I divieti dell’articolo 5 si applicano dal 2 febbraio 2025; le sanzioni sono applicabili dal 2 agosto 2025.
• Le linee guida della Commissione sono state presentate il 4 febbraio 2025 e adottate formalmente il 29 luglio 2025. Non sono vincolanti: l’interpretazione definitiva spetta alla Corte di giustizia dell’UE.
• Multe fino a 35 milioni di euro o al 7% del fatturato mondiale annuo, se superiore; per le PMI, comprese le start-up, vale l’importo più basso tra i due.
• Dal 2 dicembre 2026 si aggiungono due divieti sui sistemi che generano immagini intime non consensuali e materiale di abuso sessuale su minori.

Quali sono le pratiche vietate dall’articolo 5

• tecniche subliminali, manipolative o ingannevoli che distorcono il comportamento e possono causare un danno significativo;
• sfruttamento delle vulnerabilità legate all’età, alla disabilità o a una situazione sociale o economica;
• punteggio sociale (social scoring) che porta a trattamenti sfavorevoli in contesti scollegati o sproporzionati;
• previsione del rischio che una persona commetta un reato basata solo sulla profilazione o sui tratti della personalità;
• banche dati di riconoscimento facciale create con raccolta non mirata di immagini da internet o da telecamere;
• riconoscimento delle emozioni nei luoghi di lavoro e negli istituti di istruzione, salvo motivi medici o di sicurezza;
• categorizzazione biometrica per dedurre dati sensibili come opinioni politiche, appartenenza sindacale, convinzioni religiose o orientamento sessuale;
• identificazione biometrica remota in tempo reale negli spazi pubblici a fini di contrasto, salvo eccezioni tassative.

I divieti valgono sia per chi fornisce questi sistemi sia per chi li usa. Non basta dire «il software l’abbiamo comprato»: se lo usi per uno scopo vietato, la responsabilità è anche tua.

Con i dipendenti: il divieto di riconoscere le emozioni

Il divieto vale al lavoro e a scuola perché lì c’è uno squilibrio di potere. Le linee guida interpretano il luogo di lavoro in modo ampio: uffici, fabbriche e magazzini, ma anche negozi, cantieri, veicoli e spazi virtuali, qualunque sia il tipo di contratto. Il divieto copre anche i candidati durante la selezione e il periodo di prova. Alcuni esempi delle linee guida:

• un call center che usa webcam e riconoscimento vocale per rilevare la rabbia dei propri operatori: vietato;
• un supermercato che usa le telecamere per capire se i dipendenti sono felici: vietato;
• dispositivi che misurano ansia, stress o noia dei dipendenti: vietati, salvo un pericolo specifico come l’uso di macchinari o sostanze chimiche pericolose, e anche in quel caso i dati non possono servire a valutare il rendimento;
• un sistema usato solo per l’allenamento personale è ammesso se i risultati non arrivano a chi gestisce il personale e non incidono su valutazioni e promozioni.

Il divieto riguarda i sistemi che deducono le emozioni da dati biometrici, come il volto o la voce. Non rientrano nella definizione gli stati fisici come dolore o stanchezza: per esempio un sistema che rileva l’affaticamento degli autisti professionali per prevenire incidenti. Le norme sulla protezione dei dati restano comunque applicabili.

Con i clienti: quando la persuasione diventa manipolazione

Vendere e consigliare resta lecito. Le linee guida distinguono la persuasione, che informa e lascia libera la scelta, dalla manipolazione, che agisce sulle persone a loro insaputa e a loro danno. Il divieto scatta quando una tecnica manipolativa o ingannevole distorce in modo rilevante il comportamento ed è ragionevolmente probabile un danno significativo, fisico, psicologico o economico.

• Un sistema che analizza le emozioni dei clienti in modo trasparente, per migliorare l’assistenza, è persuasione. Uno che le deduce di nascosto per proporre prezzi più alti nel momento in cui il cliente è più propenso a comprare è manipolazione.
• Un chatbot che si finge un amico o un parente con una voce sintetica per mettere a segno una truffa è un esempio di tecnica ingannevole.
• Un sistema che propone offerte assicurative alle persone anziane sfruttando la loro ridotta capacità cognitiva può rientrare nel divieto di sfruttare le vulnerabilità.

Attenzione a non confondere i due casi. Il riconoscimento delle emozioni dei clienti non rientra nel divieto pensato per i luoghi di lavoro: le linee guida citano un call center che rileva rabbia o impazienza dei clienti per aiutare gli operatori. Questi sistemi però sono classificati ad alto rischio, chi li usa deve informare le persone esposte e restano soggetti agli altri divieti e alle regole sulla privacy.

Punteggio sociale e profilazione: gli esempi che riguardano le imprese

Il divieto di punteggio sociale vale anche per i privati. Le linee guida citano una compagnia assicurativa che usa dati di spesa ottenuti da una banca, estranei alla valutazione, per rifiutare polizze vita o alzare i premi. Valutare i clienti per scopi legittimi resta possibile: il problema nasce quando si usano dati di contesti scollegati o si applicano trattamenti sproporzionati.

Sanzioni e controlli

Usare una pratica vietata è la violazione più grave dell’AI Act: fino a 35 milioni di euro o, per le imprese, fino al 7% del fatturato mondiale annuo, se superiore. Per le PMI, comprese le start-up, vale invece il valore più basso tra i due. I controlli spettano alle autorità nazionali di vigilanza del mercato.

I nuovi divieti in arrivo dal 2 dicembre 2026

Il Regolamento (UE) 2026/1744, l’Omnibus digitale sull’IA, ha aggiunto all’articolo 5 due divieti che si applicano dal 2 dicembre 2026: i sistemi che generano o manipolano immagini, video o audio realistici delle parti intime di una persona riconoscibile, o che la ritraggono in atti sessualmente espliciti, senza il suo consenso libero, specifico, informato e inequivocabile; e i sistemi che generano materiale di abuso sessuale su minori. Per chi usa l’AI il divieto scatta quando il sistema serve proprio a produrre quel materiale.

Cosa fare adesso

1. Controlla gli strumenti che toccano dipendenti e candidati: software per call center, videocolloqui, monitoraggio dell’attività. Chiedi al fornitore se analizzano le emozioni da voce o volto e, se sì, fai disattivare la funzione.
2. Rileggi script di vendita, campagne e assistenti virtuali con una domanda: il cliente sa con chi parla e può scegliere liberamente?
3. Proteggi i clienti più fragili: niente offerte costruite sulle debolezze di anziani o di persone in difficoltà economica.
4. Non usare dati di contesti scollegati per decidere prezzi o accesso a un servizio.
5. Forma chi sceglie e configura gli strumenti, per esempio con una formazione sull’AI per aziende, e documenta le verifiche fatte.

Per il quadro generale vedi la nostra guida all’AI Act per chi usa un assistente virtuale.

Informazioni aggiornate a ottobre 2026. Questo articolo non è una consulenza legale.

Domande frequenti

Fonti

• Commissione europea, AI Act Service Desk, «Articolo 5: Pratiche di IA vietate», consultata a ottobre 2026
• Commissione europea, «Commission publishes the Guidelines on prohibited artificial intelligence (AI) practices», 4 febbraio 2025
• Commissione europea, «Commission Guidelines on prohibited artificial intelligence practices» C(2025) 5052, 29 luglio 2025
• Commissione europea, AI Act Service Desk, «Articolo 99: Sanzioni», consultata a ottobre 2026
• EUR-Lex, «Regolamento (UE) 2026/1744 (Omnibus digitale sull’IA)», 8 luglio 2026
• Consiglio dell’UE, «Digital Omnibus on AI: testo di compromesso confermato dal Coreper» (ST 9247/26), 13 maggio 2026