Cosa dice l’AI Act sul sistema di raccomandazione ecommerce

Hai integrato Claude o GPT nel tuo store di abbigliamento per consigliare i prodotti giusti? Buona notizia: non sei ad alto rischio. Quella meno buona: hai comunque tre obblighi da rispettare entro il 2 agosto 2026.

Eccoli spiegati con esempi concreti dal mondo fashion.

Il chatbot consiglia una camicia (e dice una bugia). Cosa dice l’AI Act sul tuo motore di raccomandazione ecommerce

Immagina questa scena. Un cliente entra sul tuo ecommerce di abbigliamento, cerca “camicia bianca uomo” e in alto a destra appare un piccolo assistente AI che dice: «Ciao Marco, ho selezionato per te tre modelli basati sui tuoi acquisti precedenti. Vuoi vederli?». Sotto al cofano, un sistema AI – magari basato su Claude API, GPT-4 o un motore proprietario – sta incrociando lo storico ordini, il comportamento di navigazione, le taglie acquistate, qualche segnale di sentiment dalle recensioni lasciate. Output: tre raccomandazioni personalizzate.

È uno scenario sempre più comune e una quota crescente di ecommerce italiani sta sperimentando motori di raccomandazione AI-based, soprattutto nel fashion. Funzionano, convertono, aumentano il valore medio dell’ordine. Ma da agosto 2026 entrano nel raggio dell’AI Act, e per i digital manager che li gestiscono è il momento di iniziare a capire cosa cambia.

La domanda dei responsabili ecommerce è spesso la stessa: «Ma quindi siamo ad alto rischio? Dobbiamo fermare tutto?». Risposta breve: no… ma risposta lunga: “dipende da cosa fa esattamente il vostro sistema, e in molti casi gli obblighi sono più leggeri di quanto si crede.”

>>Ottieni e certifica competenze specializzate sull’Intelligenza Artificiale con l’Executive Master in collaborazione con l’Istituto Universitario IUSVE<<

In quale categoria di rischio ricade un sistema di raccomandazione?

L’AI Act – il Regolamento UE 2024/1689 – classifica i sistemi di intelligenza artificiale in quattro categorie di rischio: inaccettabile, alto, limitato, minimo. Ciascuna categoria attiva obblighi diversi. Il motore di raccomandazione prodotti rientra, nella stragrande maggioranza dei casi, nella categoria “rischio limitato”. Vediamo perché, escludendo una alla volta le categorie superiori.

Non è “rischio inaccettabile”

La categoria più grave (art. 5 dell’AI Act) include pratiche vietate sempre: manipolazione subliminale, sfruttamento di vulnerabilità, social scoring, identificazione biometrica in tempo reale per finalità di applicazione della legge. Un motore di raccomandazione prodotti, di per sé, non ricade qui. C’è però un nodo che vale la pena conoscere: se il sistema usasse segnali emotivi rilevati in modo subdolo (ansia, urgenza, fragilità economica) per spingere acquisti causando danno significativo, potrebbe entrare nel raggio dell’art. 5. È una zona grigia che riguarda più il pricing dinamico aggressivo che la raccomandazione classica, ma val la pena tenerla a mente quando si discute di personalizzazione spinta.

Non è “alto rischio“

La categoria “alto rischio” (artt. 6 e 7, con l’Allegato III come elenco di riferimento) include sistemi usati in ambiti come selezione del personale, credit scoring, istruzione, sanità, infrastrutture critiche, applicazione della legge. Vendere camicie e maglioni, fortunatamente, non è considerato un ambito ad alto rischio dal legislatore europeo. Il vostro motore non rientra nell’Allegato III.

Ma attenzione… una precisazione utile: se la stessa tecnologia AI venisse usata per valutare l’affidabilità creditizia di un cliente che chiede una rateizzazione (es. “Compra ora, paga dopo” con scoring algoritmico), la classificazione cambierebbe radicalmente. Il sistema diventerebbe alto rischio non per il modello, ma per l’uso. È una distinzione che tornerà utile più avanti.

È “rischio limitato“

Eccoci nella categoria giusta. Il “rischio limitato” (art. 50 del Regolamento) raggruppa i sistemi che interagiscono con persone fisiche, generano contenuti, o producono effetti che richiedono trasparenza, ma non sono così critici da giustificare il regime di alto rischio. Sono soggetti soprattutto a obblighi di trasparenza, non a documentazione tecnica complessa, non a valutazione di conformità, non a marcatura CE.

Un sistema di raccomandazione prodotti rientra qui quando assume caratteri conversazionali (il classico chatbot “posso aiutarti a scegliere?”), quando si presenta come assistente personale, o quando interagisce attivamente con il cliente. Se invece il sistema mostra semplicemente “prodotti consigliati per te” come banner non interattivo, gli obblighi dell’art. 50 si attenuano significativamente.

I tre obblighi concreti per chi gestisce un motore di raccomandazione AI

Veniamo al punto operativo. Se siete digital manager o ecommerce manager, queste sono le tre cose che dovete avere in agenda prima del 2 agosto 2026, data in cui l’art. 50 diventa pienamente esigibile.

Obbligo 1 _ Trasparenza all’utente (Art. 50 par. 1)

Quando il sistema interagisce direttamente con il cliente – quindi quando assume forma di chatbot, assistente conversazionale o presentazione personalizzata esplicita – il cliente deve sapere che sta interagendo con un sistema di intelligenza artificiale. Non serve un disclaimer legale di tre pagine. Basta una formulazione chiara, in linguaggio comprensibile.

Esempi di formulazioni già conformi che funzionano nel fashion:

• «Sono Lia, l’assistente virtuale di [Brand]. Posso aiutarti a trovare lo stile giusto per te.»
• «Raccomandazioni personalizzate, generate dal nostro sistema di intelligenza artificiale.»
• «L’assistente che ti guida nello shopping è alimentato da AI. Vuoi sempre parlare con un nostro personal shopper umano? Clicca qui.»

Tre principi guida: la disclosure deve essere all’avvio dell’interazione (non a fine carrello), in lingua del cliente, e abbastanza visibile da non essere considerata “nascosta” in un footer microscopico. Il classico balloon che si apre con la prima frase della conversazione è perfetto.

Obbligo 2 _ Informativa privacy rafforzata (GDPR art. 13)

Qui entriamo nel territorio del GDPR, che si combina con l’AI Act creando un doppio livello di obblighi. Se il motore di raccomandazione usa dati personali – e li usa praticamente sempre, perché incrocia storico acquisti, comportamento di navigazione, profilo cliente – l’informativa privacy del sito deve menzionare in modo specifico la profilazione algoritmica.

Cosa va inserito nell’informativa, in pratica:

• Il fatto che vengano elaborati dati di navigazione per produrre raccomandazioni personalizzate
• La logica generale del trattamento (non serve il dettaglio tecnico del modello, ma la descrizione comprensibile del meccanismo)
• Le conseguenze previste (cosa cambia per l’utente in termini di esperienza)
• Il diritto di richiedere intervento umano e di opporsi alla profilazione (art. 22 GDPR)

Su questo punto, è consigliabile non improvvisare. La revisione dell’informativa privacy va condotta con il DPO o un legale specializzato.

Obbligo 3 _ Trasparenza interna sulle scelte algoritmiche (Accountability)

Il terzo obbligo è quello che più spesso viene trascurato perché non è scritto in un articolo specifico: è il principio di accountability (responsabilizzazione) che attraversa sia l’AI Act sia il GDPR. Significa che, in caso di richiesta da parte di un’autorità o di un cliente, dovete poter dimostrare:

• Quali criteri usa il sistema per raccomandare (anche solo nelle linee generali)
• Quali dati elabora e per quanto tempo li conserva
• Come il sistema viene monitorato e con quale frequenza si verificano output anomali
• Chi è il fornitore del modello sottostante (Claude, GPT, Mistral, sistema proprietario)

Per molte aziende basta un documento interno di 3-5 pagine – chiamatelo per esempio “AI Recommendation Engine – Documentazione di sistema” – da aggiornare ogni sei mesi. Non serve la complessità della documentazione tecnica per sistemi ad alto rischio (art. 11 + Allegato IV), ma serve un minimo di organizzazione documentale.

Cosa NON dovete fare

Un errore frequente in questi mesi è sovradimensionare la risposta. Ho visto ecommerce di medie dimensioni avviare progetti di compliance da 50.000 euro per motori di raccomandazione che richiedono in realtà una revisione dell’informativa privacy, un balloon di apertura e una checklist interna di 5 pagine. Tre cose che valgono per tutti:

• Non confondete “rischio limitato” con “alto rischio”. Non vi serve marcatura CE, non vi serve iscrizione alla banca dati UE, non vi serve un notified body. Tutte queste sono procedure per sistemi alto rischio, e il vostro motore di raccomandazione fashion non lo è.
• Non riscrivete tutto il sistema dall’oggi al domani. Avete tempo fino al 2 agosto 2026 per essere conformi all’art. 50. Pianificare a sei mesi vista è sufficiente, a patto che si parta entro fine 2025.

Non delegate solo all’IT o solo al legale. La conformità AI Act è trasversale: serve un dialogo tra digital manager, DPO e fornitore tecnologico. Può servire un consulente. Se la vostra agenzia digitale o il fornitore del motore non hanno ancora una posizione strutturata sull’AI Act, è il momento di chiederglielo per iscritto.

Una checklist operativa per i prossimi 12 mesi

Riassumiamo in forma pratica i passi consigliati per un ecommerce di medie dimensioni che oggi sta utilizzando un motore di raccomandazione AI. Tempistica ideale: completare entro il primo trimestre 2026, per arrivare al 2 agosto 2026 con margine di rodaggio.

Se gestite un ecommerce con un motore di raccomandazione AI, la notizia è buona: siete nel girone meno gravoso del Regolamento. Non vi servono marcature CE, non vi serve documentazione tecnica complessa, non vi serve adempire alla burocrazia degli alto-rischio. Vi servono però tre cose, niente di più e niente di meno: trasparenza chiara verso l’utente, informativa privacy aggiornata, e un minimo di documentazione interna.

Il vero asset che si costruisce, però, va oltre l’adempimento normativo. Un ecommerce che oggi dice apertamente «stiamo usando l’AI per consigliarti, ecco come» costruisce un patto di fiducia che vale come differenziale di brand. La ricerca “Trust Through Transparency” condotta da Yahoo con Publicis Media nel 2024 – 1.200 consumatori americani – mostra che gli annunci AI-generated accompagnati da disclosure visibile producono un +47% di ad appeal, un +73% di percezione di affidabilità e un +96% di fiducia complessiva nel brand.

Va detto con onestà che il dibattito accademico è più sfumato di quanto le narrazioni di mercato lascino intendere. Uno studio del 2025 firmato da Schilke e Reimann, basato su 13 esperimenti e oltre 3.000 partecipanti, ha individuato un “transparency dilemma”: in alcuni contesti – in particolare quelli professionali, come la valutazione del lavoro o l’accademia – la dichiarazione di uso di AI può ridurre la fiducia percepita anziché aumentarla. Nel marketing diretto al consumatore finale, però, la direzione prevalente delle evidenze va verso il primo scenario: dichiarare costa molto meno che farsi scoprire dopo. La trasparenza, in questi casi, è anche buon marketing.