AI Act: obblighi, scadenze e adeguamento delle imprese

In breve: il Regolamento (UE) 2024/1689 (AI Act) disciplina sviluppo e uso dei sistemi di intelligenza artificiale nell’Unione europea. È in vigore dal 1° agosto 2024, ma si applica per tappe. Con il Regolamento (UE) 2026/1744 — l'”Omnibus digitale sull’IA”, in vigore dal 27 luglio 2026 — gli obblighi sui sistemi ad alto rischio sono stati spostati al 2 dicembre 2027 e al 2 agosto 2028. Restano pienamente efficaci i divieti (dal 2 febbraio 2025) e l’obbligo di alfabetizzazione IA del personale.

Cos’è l’AI Act

È il primo regolamento al mondo che disciplina in modo organico l’intelligenza artificiale con un approccio basato sul rischio: non tutte le applicazioni sono regolate allo stesso modo, ma gli obblighi crescono in proporzione al rischio che il sistema genera per i diritti fondamentali, la salute e la sicurezza delle persone.

Persegue tre obiettivi:

garantire che i sistemi di IA immessi sul mercato UE siano sicuri e rispettino i diritti fondamentali;
creare un mercato unico dell’IA con regole uniformi nei 27 Stati membri;
sostenere l’innovazione, anche con spazi di sperimentazione regolamentata (sandbox).

A chi si applica

L’AI Act non riguarda solo chi sviluppa intelligenza artificiale: riguarda anche chi la usa.

Ruolo	Chi è	Obblighi principali
Fornitore (provider)	chi sviluppa il sistema o lo immette sul mercato con il proprio nome	conformità, documentazione tecnica, marcatura CE, valutazione di conformità
Utilizzatore (deployer)	chi usa il sistema nell’ambito della propria attività	uso conforme alle istruzioni, sorveglianza umana, alfabetizzazione IA
Importatore / distributore	chi importa o distribuisce sistemi da Paesi terzi	verifica della conformità e della documentazione
Rappresentante autorizzato	soggetto stabilito nell’UE per fornitori extra-UE	interlocuzione con le autorità di vigilanza

La portata è extraterritoriale: si applica anche ai fornitori stabiliti fuori dall’UE quando il sistema è usato nell’Unione o quando i suoi risultati sono impiegati nell’Unione.

I livelli di rischio

Livello	Esempi	Regime
Rischio inaccettabile	social scoring, manipolazione comportamentale, riconoscimento biometrico in tempo reale in spazi pubblici	vietati
Alto rischio	selezione del personale, punteggio creditizio, istruzione, infrastrutture critiche, giustizia, frontiere, dispositivi medici	obblighi stringenti (Capo III)
Rischio limitato	chatbot, contenuti generati dall’IA	obblighi di trasparenza (art. 50)
Rischio minimo	filtri antispam, videogiochi	nessun obbligo aggiuntivo

Attenzione: il livello dipende dall’uso concreto, non dal software in sé. Un sistema di analisi testi è a rischio minimo, ma se serve a decidere chi convocare a un colloquio diventa alto rischio.

Le pratiche vietate (già in vigore)

Dal 2 febbraio 2025 è vietato immettere sul mercato o usare sistemi di IA che:

usano tecniche subliminali o manipolatorie per alterare il comportamento in modo da causare un danno;
sfruttano vulnerabilità legate a età, disabilità o condizione socioeconomica;
realizzano social scoring generalizzato;
effettuano previsioni di reato basate unicamente su profilazione o tratti della personalità;
raschiano immagini del volto da internet o da telecamere per costruire banche dati di riconoscimento facciale;
deducono le emozioni sul luogo di lavoro o in ambito scolastico (salvo motivi medici o di sicurezza);
categorizzano le persone per dedurre razza, opinioni politiche, appartenenza sindacale, convinzioni religiose o orientamento sessuale;
applicano il riconoscimento biometrico in tempo reale in spazi accessibili al pubblico per attività di polizia, fuori dalle eccezioni tassative.

L’obbligo che riguarda tutte le imprese: alfabetizzazione IA

L’articolo 4 impone a fornitori e utilizzatori di adottare misure per garantire un livello sufficiente di alfabetizzazione in materia di IA (AI literacy) per il personale e i collaboratori che si occupano dello sviluppo, dell’uso e della manutenzione dei sistemi. Non è una raccomandazione: è un obbligo in vigore dal 2 febbraio 2025.

In pratica significa sapere cos’è un sistema di IA, quali rischi comporta, quando l’output va verificato da una persona e cosa si può fare con i dati. È l’unico obbligo dell’AI Act che coinvolge anche le imprese che usano soltanto strumenti di terzi — per esempio un chatbot per l’assistenza clienti o un software di screening dei curriculum.

Il calendario aggiornato

Data	Cosa si applica
1° agosto 2024	entrata in vigore del regolamento
2 febbraio 2025	divieti (art. 5) e alfabetizzazione IA (art. 4)
2 agosto 2025	modelli di IA per uso generale (GPAI), governance, autorità di vigilanza
2 novembre 2026	obbligo di filigrana (watermarking) sui contenuti generati dall’IA
2 dicembre 2027	sistemi ad alto rischio dell’Allegato III: biometria, infrastrutture critiche, istruzione, occupazione, servizi essenziali, giustizia, frontiere
2 agosto 2028	sistemi ad alto rischio disciplinati da normative settoriali UE (Allegato I)

Le date originarie (2 agosto 2026 e 2 agosto 2027) sono state spostate dal Regolamento (UE) 2026/1744 — Omnibus digitale sull’IA — pubblicato in GUUE il 24 luglio 2026 ed efficace dal 27 luglio 2026. La motivazione dichiarata è la mancata disponibilità, alla scadenza originale, delle norme tecniche armonizzate e degli strumenti di valutazione della conformità, oltre al non completo assetto delle autorità competenti in tutti gli Stati membri.

Il rinvio non è una tregua: gli obblighi arrivano, ma nel frattempo vanno costruiti governance, processi, documentazione e competenze.

La legge italiana 132/2025

L’Italia ha affiancato all’AI Act la Legge 23 settembre 2025, n. 132 (“Disposizioni e deleghe al Governo in materia di intelligenza artificiale”), pubblicata in Gazzetta Ufficiale n. 223 del 25 settembre 2025 e in vigore dal 10 ottobre 2025: 28 articoli in 6 capi, primo intervento nazionale organico in ambito UE.

Punti chiave:

Approccio antropocentrico: l’IA è strumento a supporto dell’uomo e non sostituisce il giudizio umano.
Governance: AgID per notifica e accreditamento degli organismi di valutazione; ACN per vigilanza, sicurezza cibernetica e sanzioni; aggiornamento della Strategia nazionale per l’IA.
Professioni intellettuali: l’IA è ammessa solo come supporto alle attività strumentali, con prevalenza del lavoro intellettuale, e il cliente deve essere informato in modo chiaro e comprensibile sull’uso di sistemi di IA. L’obbligo vale anche per le professioni non organizzate in ordini.
Lavoro: informazione ai lavoratori e limiti all’uso di sistemi che incidono sulla prestazione.
Sanità: uso come supporto clinico, con obbligo di informare il paziente.
Giustizia: supporto ai magistrati, mai sostituzione della decisione.
Profili penali: nuove fattispecie, tra cui la diffusione di contenuti deepfake.
Diritto d’autore: disciplina delle opere generate con IA.
Deleghe: l’articolo 24 ha previsto decreti legislativi di adeguamento interno all’AI Act, approvati in via definitiva dal Consiglio dei ministri il 4 agosto 2026, incluso il decreto sull’impiego di IA nelle attività di polizia con obbligo di controllo umano.

Sanzioni

Violazione	Sanzione massima
Pratiche vietate (art. 5)	35.000.000 € o 7% del fatturato mondiale annuo
Obblighi su sistemi ad alto rischio e GPAI	15.000.000 € o 3% del fatturato mondiale annuo
Informazioni inesatte o incomplete alle autorità	7.500.000 € o 1,5% del fatturato mondiale annuo

Per PMI e start-up sono previsti importi ridotti e proporzionati.

Cosa fare adesso: checklist operativa

Inventario dei sistemi di IA in uso: ogni software che genera previsioni, contenuti o decisioni, anche se acquistato come servizio.
Classificazione del rischio per ciascuno: vietato, alto, limitato o minimo.
Ruolo ricoperto: fornitore o utilizzatore? Gli obblighi cambiano.
Alfabetizzazione IA: eroga e registra la formazione del personale coinvolto (obbligo già efficace).
Verifica umana: definisci chi valida gli output prima che producano effetti giuridici o economici.
Documentazione: conserva istruzioni del fornitore, valutazioni, log e decisioni.
Contratti con i fornitori: pretendi dichiarazioni di conformità e informazioni sugli obblighi che ricadono su di te.
Se sei potenziale alto rischio: prepara la valutazione di conformità entro le nuove scadenze.

Domande frequenti

L’AI Act obbliga la mia impresa a formare i dipendenti sull’IA?
Sì. L’articolo 4 impone l’alfabetizzazione IA dal 2 febbraio 2025 a chi sviluppa o usa sistemi di IA. È l’obbligo più trasversale del regolamento.

Le scadenze del 2026 sono state cancellate?
No, spostate. Divieti e alfabetizzazione IA restano in vigore; sono slittati gli obblighi sui sistemi ad alto rischio (2 dicembre 2027 e 2 agosto 2028). L’obbligo di watermarking è fissato al 2 novembre 2026.

Un’impresa che usa solo ChatGPT deve adeguarsi?
Se lo usa per attività d’impresa, sì: come utilizzatore deve rispettare l’uso conforme alle istruzioni del fornitore, garantire la sorveglianza umana dove necessaria e formare il personale.

Serve un responsabile AI?
L’AI Act non impone una figura dedicata. Conviene però individuare un referente interno per inventario dei sistemi, classificazione del rischio e documentazione.

Qual è il rapporto con il GDPR?
Sono discipline parallele e cumulative: l’AI Act regola i sistemi, il GDPR i dati personali trattati. Un sistema conforme all’AI Act può restare illecito sul piano della protezione dei dati.

Corso sull’AI Act

Formazione su AI Act, normativa nazionale, privacy, responsabilità e compliance per imprese e professionisti.

Vedi il corso