Il quadro normativo applicabile alle imprese ha subito nel 2024 mutamenti strutturali su tre fronti simultanei: governance dell’intelligenza artificiale, trasparenza fiscale dei grandi gruppi e articolazione tra il regolamento europeo sull’IA e il RGPD. Torniamo sui punti tecnici che modificano concretamente gli obblighi delle direzioni legali e finanziarie.
Articolazione tra il regolamento europeo sull’IA e il RGPD: una doppia conformità da organizzare
Il regolamento (UE) 2024/1689 sull’intelligenza artificiale non sostituisce il RGPD. I due quadri devono essere applicati congiuntamente, il che impone alle imprese di mantenere due griglie di analisi distinte per un medesimo trattamento algoritmico.
Concretamente, un sistema di IA classificato ad alto rischio ai sensi del regolamento europeo rimane soggetto ai requisiti di liceità, minimizzazione e sicurezza del RGPD. La governance interna deve quindi prevedere una mappatura incrociata: ogni caso d’uso algoritmico è oggetto di una valutazione ai sensi del regolamento IA (livello di rischio, obblighi di documentazione, controllo umano) e di un’analisi ai sensi del RGPD (base legale, durata di conservazione, diritti delle persone interessate).
Per le imprese che desiderano consultare la sezione giuridica di Développement Entreprise, questa doppia esigenza fa parte dei temi da seguire da vicino per tutto l’anno.
La difficoltà risiede nelle aree di sovrapposizione. Un audit di conformità IA che trascura il lato dei dati personali espone l’azienda a sanzioni su entrambi i fronti. Raccomandiamo di designare un referente unico incaricato della coerenza tra i due corpus, piuttosto che compartimentare le funzioni di compliance e protezione dei dati.
Inquadramento CNIL dell’IA generativa: obblighi pratici da luglio 2024
La CNIL ha pubblicato il 18 luglio 2024 le sue domande e risposte sull’uso dell’IA generativa in azienda. Questo documento va oltre il richiamo ai principi generali e entra nel dettaglio operativo.
Tre obblighi concreti emergono da questo inquadramento:
- Definire formalmente gli usi autorizzati e gli usi vietati dell’IA generativa all’interno dell’organizzazione, attraverso una politica interna documentata e opponibile ai collaboratori.
- Scegliere il modo di distribuzione (API, soluzione ospitata, modello locale) in base al livello di sensibilità dei dati trattati, in particolare i dati dei clienti, HR o contrattuali.
- Valutare la necessità di un’analisi d’impatto relativa alla protezione dei dati (AIPD) prima di qualsiasi distribuzione che coinvolga dati personali su larga scala.
Il punto più sottovalutato riguarda la gestione dei prompt contenenti dati sensibili. Un dipendente che presenta un contratto cliente a un modello ospitato al di fuori dell’UE attiva potenzialmente un trasferimento di dati al di fuori del quadro. La politica interna deve anticipare questo scenario e prevedere delle salvaguardie tecniche (filtraggio delle entrate, registrazione).
Reporting fiscale paese per paese: soglia e calendario di applicazione
Dal 22 giugno 2024, i gruppi il cui fatturato consolidato raggiunge i 750 milioni di euro sono soggetti all’obbligo di pubblicazione di un reporting fiscale paese per paese (CbCR pubblico). Questa trasposizione nel diritto francese modifica le dinamiche per le direzioni legali e fiscali interessate.
Il CbCR pubblico non si confonde con le dichiarazioni fiscali esistenti. Impone una pubblicazione accessibile al grande pubblico, contenente la ripartizione dei profitti, delle imposte versate e del personale per giurisdizione. La portata reputazionale di questo obbligo supera il perimetro fiscale classico.
Per i gruppi vicini alla soglia, la questione della consolidazione del fatturato su più esercizi merita un’attenzione particolare. Un superamento occasionale della soglia può attivare l’obbligo senza possibilità di regolarizzazione a posteriori. La direzione legale deve quindi integrare un monitoraggio previsionale del fatturato consolidato nei suoi cruscotti.
Punti di attenzione sul perimetro
Le filiali situate in giurisdizioni non cooperative ai sensi dell’UE sono oggetto di un’attenzione rafforzata nel reporting. L’assenza di attività sostanziale in un paese menzionato può generare domande da parte di investitori o ONG, anche se la conformità formale è rispettata.
Semplificazione del diritto delle società: cosa cambiano i testi in pratica
Il processo di semplificazione normativa avviato dal Ministero della Giustizia tocca direttamente il diritto delle società. I progetti di “diritto chiaro” mirano alla revisione o all’abrogazione di testi obsoleti, con un obiettivo dichiarato: ridurre il carico amministrativo senza compromettere la sicurezza giuridica.
Tra le evoluzioni concrete, la dematerializzazione dei titoli finanziari e la creazione dello sportello unico per le formalità di creazione d’impresa modificano i processi interni. Le direzioni legali che gestivano ancora registri cartacei o procedure multi-sportello devono adattare i loro strumenti.
Il gruppo di lavoro sulla semplificazione del diritto delle imprese in difficoltà, composto da undici esperti, sta lavorando per rendere le procedure collettive più leggibili. Per le PMI e le ETI, la chiarificazione delle soglie di attivazione delle procedure di prevenzione (mandato ad hoc, conciliazione) potrebbe modificare il calendario di intervento dei consulenti legali.
Formalità e registro unico delle imprese
Il passaggio al registro unico concentra le procedure dichiarative precedentemente distribuite tra più organismi. Questo cambiamento riduce i tempi ma impone una padronanza tecnica del nuovo portale, i cui malfunzionamenti iniziali sono stati documentati dalle cancellerie dei tribunali di commercio.
L’anno 2024 ha quindi posto delle basi normative i cui effetti si svilupperanno su più esercizi. La conformità simultanea al regolamento europeo sull’IA, al RGPD, alle nuove regole di trasparenza fiscale e alle riforme del diritto delle società richiede una coordinazione trasversale tra le funzioni legale, fiscale e IT. Le imprese che compartimentano ancora questi temi si espongono a angoli morti normativi difficili da recuperare una volta avviati i controlli.
