AI Act: valutazione degli obblighi e percorso di conformità

Finalità e ambito di applicazione del Regolamento (UE) 2024/1689

L'AI Act è il regolamento europeo che stabilisce regole armonizzate per immettere sul mercato, mettere in servizio e usare sistemi di intelligenza artificiale nell'Unione. Ha l'obiettivo di garantire che i sistemi AI siano sicuri e rispettino i diritti fondamentali, sostenendo al tempo stesso l'innovazione. Si applica direttamente negli Stati membri ed è in vigore dal 1° agosto 2024.

Il regolamento si applica a chi fornisce sistemi AI nell'UE, anche se stabilito fuori dall'Unione, a chi li utilizza nell'ambito di un'attività professionale e a chi li importa o distribuisce. Sono previste esclusioni, tra cui gli usi esclusivamente militari, di difesa o di sicurezza nazionale, la ricerca scientifica e l'uso puramente personale non professionale.

Il testo è stato modificato dal Regolamento (UE) 2026/1744 (Digital Omnibus sull'AI), in vigore dal 27 luglio 2026, che ha rivisto alcune scadenze e semplificato diversi adempimenti. In Italia si affianca la Legge 132/2025, che contiene disposizioni nazionali sull'intelligenza artificiale.

Ruoli e responsabilità: provider, deployer e altri operatori

Gli obblighi dipendono dal ruolo che l'organizzazione svolge per ciascun sistema. La stessa azienda può essere provider per un sistema sviluppato internamente e deployer per uno strumento acquistato.

Un deployer può diventare provider, con i relativi obblighi, se appone il proprio nome o marchio su un sistema ad alto rischio, lo modifica in modo sostanziale o ne cambia la finalità facendolo diventare ad alto rischio. Questa verifica è parte essenziale dell'assessment.

• Provider: sviluppa o fa sviluppare il sistema e lo immette sul mercato con il proprio nome
• Deployer: usa il sistema sotto la propria autorità in ambito professionale
• Importatore e distributore: rendono disponibile nell'UE un sistema di terzi
• Rappresentante autorizzato: agisce per conto di un provider extra UE
• Fabbricante di prodotti che integrano un sistema AI

Classificazione dei sistemi e obblighi applicabili

L'AI Act segue un approccio basato sul rischio. La classificazione dipende dalla finalità d'uso concreta, non dalla tecnologia: lo stesso modello linguistico può essere a rischio minimo come assistente interno e ad alto rischio se usato per selezionare candidati.

• Pratiche vietate (art. 5): ad esempio manipolazione dannosa, social scoring, alcuni usi di riconoscimento delle emozioni sul lavoro e a scuola
• Alto rischio (art. 6, Allegati I e III): componenti di sicurezza di prodotti regolamentati e usi in aree sensibili
• Obblighi di trasparenza (art. 50): chatbot, contenuti generati o manipolati, deepfake
• Rischio minimo: nessun obbligo specifico, codici di condotta volontari
• Modelli per finalità generali (GPAI): obblighi a carico dei provider dei modelli

Sistemi ad alto rischio, trasparenza e alfabetizzazione AI

L'Allegato III elenca le aree in cui un sistema è di norma ad alto rischio: biometria, infrastrutture critiche, istruzione e formazione, occupazione e gestione dei lavoratori, accesso a servizi essenziali pubblici e privati (ad esempio valutazione del merito creditizio e alcune assicurazioni), attività di contrasto, migrazione e controllo delle frontiere, amministrazione della giustizia e processi democratici. Un sistema in queste aree può non essere considerato ad alto rischio se non presenta un rischio significativo, ad esempio perché svolge un compito procedurale limitato; la valutazione va documentata, e la profilazione di persone fisiche resta sempre ad alto rischio.

Per i sistemi che interagiscono con le persone o generano contenuti valgono gli obblighi di trasparenza dell'art. 50: informare che si sta interagendo con un'AI, marcare i contenuti sintetici, dichiarare i deepfake.

L'art. 4 sull'alfabetizzazione in materia di AI si applica dal 2 febbraio 2025. Il Digital Omnibus ne ha semplificato la portata per le imprese, attribuendo a Commissione e Stati membri un ruolo più forte nel promuoverla; restano gli obblighi di competenza e formazione per chi esercita la supervisione umana sui sistemi ad alto rischio. Verifichiamo l'obbligo applicabile sul testo consolidato per ciascun caso.

Documentazione, gestione del rischio, supervisione e monitoraggio

Per i sistemi ad alto rischio il provider deve predisporre un sistema di gestione dei rischi (art. 9), garantire la qualità dei dati (art. 10), redigere la documentazione tecnica (art. 11), consentire la registrazione automatica degli eventi (art. 12), fornire istruzioni d'uso (art. 13), progettare la supervisione umana (art. 14), assicurare accuratezza, robustezza e cybersicurezza (art. 15) e un sistema di gestione della qualità (art. 17), oltre a valutazione della conformità, registrazione e monitoraggio successivo all'immissione sul mercato.

Il deployer di un sistema ad alto rischio (art. 26) deve usarlo secondo le istruzioni, affidare la supervisione a persone competenti e con autorità, controllare la pertinenza dei dati di input sotto il proprio controllo, monitorarne il funzionamento, conservare i log generati automaticamente per almeno sei mesi salvo diverse disposizioni e informare i lavoratori interessati. Enti pubblici, soggetti privati che erogano servizi pubblici e alcuni deployer in ambito creditizio e assicurativo devono svolgere una valutazione d'impatto sui diritti fondamentali (art. 27).

• Registro dei sistemi e scheda di classificazione
• Procedure di supervisione umana e di escalation
• Conservazione e analisi dei log
• Gestione e segnalazione degli incidenti gravi

Le scadenze di applicazione, dopo il Digital Omnibus

Le disposizioni dell'AI Act non si applicano tutte nello stesso momento. Il calendario seguente riflette le modifiche del Regolamento (UE) 2026/1744 così come riportate dall'AI Act Service Desk della Commissione europea alla data di revisione di questa pagina.

• 1 agosto 2024: entrata in vigore
• 2 febbraio 2025: definizioni, alfabetizzazione AI e pratiche vietate
• 2 agosto 2025: obblighi per i modelli GPAI, governance e sanzioni
• 2 agosto 2026: gran parte delle regole, trasparenza (art. 50) e avvio dell'enforcement
• 2 dicembre 2026: nuovi divieti su deepfake sessuali non consensuali e materiale pedopornografico; termine transitorio art. 50(2) per sistemi già sul mercato
• 2 agosto 2027: almeno una sandbox regolamentare operativa per Stato membro
• 2 dicembre 2027: regole per i sistemi ad alto rischio dell'Allegato III
• 2 agosto 2028: regole per i sistemi ad alto rischio integrati in prodotti dell'Allegato I

Interazione con GDPR, NIS2 e normative di settore

Quando un sistema AI tratta dati personali il GDPR continua ad applicarsi integralmente: base giuridica, informativa, diritti degli interessati, limiti alle decisioni automatizzate (art. 22) e valutazione d'impatto (art. 35), che può essere coordinata con la valutazione d'impatto sui diritti fondamentali. Per i soggetti NIS2 i sistemi AI rientrano nel perimetro delle misure di gestione del rischio cyber. In settori regolati come servizi finanziari, dispositivi medici e macchine valgono anche le regole settoriali, con cui l'AI Act si coordina.

Sanzioni

L'art. 99 prevede sanzioni amministrative fino a 35 milioni di euro o al 7% del fatturato mondiale annuo per le pratiche vietate, fino a 15 milioni o al 3% per la violazione di altri obblighi, fino a 7,5 milioni o all'1% per informazioni inesatte, incomplete o fuorvianti fornite alle autorità. Per le PMI si applica l'importo inferiore tra i due.

Assessment iniziale, gap analysis, roadmap e documentazione

Accompagniamo l'organizzazione dalla verifica di ciò che usa fino alla documentazione richiesta. Le attività sono modulari: si può partire dall'assessment iniziale e decidere in seguito come proseguire.

• Assessment iniziale: inventario dei sistemi e verifica dei ruoli
• Classificazione di ciascun sistema e mappa degli obblighi
• Gap analysis rispetto agli obblighi applicabili e alle scadenze
• Roadmap di adeguamento con priorità e responsabili
• Documentazione: policy, procedure di supervisione, registri
• Supporto alla valutazione d'impatto sui diritti fondamentali
• Verifica della conformità dei fornitori di sistemi AI
• Test di sicurezza dei sistemi (art. 15)