In breve: L'AI Act (Regolamento UE 2024/1689) classifica i sistemi di IA per rischio. Dal 2 febbraio 2025 valgono divieti e obbligo di sostenere l'alfabetizzazione del personale, dal 2 agosto 2026 il resto della disciplina. Il regolamento UE 2026/1744 (in vigore dal 27 luglio 2026) ha spostato gli obblighi per i sistemi ad alto rischio al 2 dicembre 2027 (allegato III) e al 2 agosto 2028 (allegato I).
Il Regolamento (UE) 2024/1689, noto come AI Act, è in vigore dal 1° agosto 2024 e si applica per gradi. A luglio 2026 il Regolamento (UE) 2026/1744, il cosiddetto Omnibus digitale sull'IA, ha spostato alcune date e semplificato alcuni obblighi. In Italia si aggiunge la legge 132/2025 sull'intelligenza artificiale.
Questa è una guida divulgativa e non una consulenza legale. Controlla sempre la versione aggiornata sulle fonti ufficiali dell'Unione europea.
L'idea di fondo: regole in base al rischio
- Rischio inaccettabile: pratiche vietate, per esempio la manipolazione che danneggia le persone. Dal 2 dicembre 2026 si aggiungono divieti sui sistemi che generano immagini intime non consensuali e materiale pedopornografico.
- Alto rischio: usi in settori sensibili come selezione del personale, istruzione o accesso a servizi essenziali (allegato III) e usi in cui l'IA è componente di sicurezza di prodotti regolati (allegato I). Richiedono gestione del rischio, qualità dei dati, documentazione e supervisione umana.
- Obblighi di trasparenza: chi interagisce con un'IA deve saperlo e i contenuti sintetici vanno segnalati (articolo 50).
- Rischio minimo: gran parte degli usi aziendali comuni, senza obblighi specifici oltre a quelli generali.
I ruoli: fornitore e deployer
Il fornitore sviluppa il sistema o lo immette sul mercato con il proprio nome. Il deployer (in italiano, utilizzatore) lo usa nella propria attività. Una PMI che adotta un assistente di IA per l'assistenza clienti è di regola deployer. Se modifica in modo sostanziale un sistema o lo commercializza con il proprio marchio può diventare fornitore e gli obblighi crescono.
Il calendario aggiornato
- 2 febbraio 2025: capi I e II (disposizioni generali e pratiche vietate). Include l'articolo 4 sull'alfabetizzazione.
- 2 agosto 2025: regole per i modelli di IA per finalità generali e governance.
- 2 agosto 2026: applicazione generale del regolamento, comprese le regole di trasparenza dell'articolo 50.
- 2 dicembre 2026: i fornitori di sistemi che generano contenuti sintetici già sul mercato prima del 2 agosto 2026 si adeguano all'obbligo di marcatura leggibile da macchina. Dalla stessa data valgono i nuovi divieti dell'articolo 5.
- 2 dicembre 2027: obblighi per i sistemi ad alto rischio dell'allegato III (per esempio selezione del personale).
- 2 agosto 2028: obblighi per i sistemi ad alto rischio dell'allegato I (prodotti regolati).
Cosa riguarda quasi tutte le aziende
Alfabetizzazione (articolo 4)
Dal regolamento 2026/1744 fornitori e deployer adottano misure volte a sostenere lo sviluppo dell'alfabetizzazione in materia di IA del personale e di chi usa i sistemi per loro conto, tenendo conto di conoscenze, esperienza e contesto. L'obbligo non impone un livello specifico per ogni persona. Nella pratica: una breve formazione e regole d'uso scritte.
Pratiche vietate
Una PMI difficilmente le incontra ma conviene sapere che esistono, per esempio nel riconoscimento delle emozioni sul lavoro o nella manipolazione subliminale.
Trasparenza (articolo 50)
- I sistemi destinati a interagire con le persone devono informarle che stanno interagendo con un'IA salvo che sia evidente dal contesto.
- I fornitori di sistemi che generano contenuti audio, immagine, video o testo sintetici li marcano in formato leggibile da macchina.
- Chi usa un sistema che genera o manipola immagini, audio o video che costituiscono un «deep fake» deve rendere noto che il contenuto è stato generato o manipolato.
Modelli di uso generale
Le regole per i fornitori dei grandi modelli valgono dal 2 agosto 2025. Riguardano chi li costruisce più che chi li usa.
Dove entra la scelta dei server
Far girare un modello su un server riservato, a noleggio in Europa o nella propria sede, non esonera dall'AI Act. Cambia un'altra cosa: sai dove stanno i dati e chi vi accede. Questo semplifica il rispetto del GDPR e le richieste dei clienti. Il confronto tra le soluzioni è in AI privata: server a noleggio o in sede.
Una lista di partenza
- Censimento. Quali strumenti di IA si usano in azienda? Contano anche quelli adottati da singoli dipendenti.
- Classificazione. Per ognuno: a cosa serve; chi lo usa; che dati tratta. Rientra tra gli usi ad alto rischio?
- Ruolo. Sei deployer o fornitore?
- Regole interne. Una pagina su cosa si può fare e cosa no. Vedi cosa non incollare in un chatbot.
- Formazione. Una sessione breve e un promemoria.
- Trasparenza. Avvisi nei chatbot e segnalazione dei contenuti generati.
- Registro. Tieni traccia di strumenti, decisioni e responsabili.
Approfondimenti: AI per aziende · intelligenza artificiale in azienda: da dove cominciare · assistente AI sui documenti aziendali
Domande frequenti
Cos'è l'AI Act?
È il Regolamento (UE) 2024/1689 sull'intelligenza artificiale, il primo quadro europeo che regola l'IA in base al rischio. È in vigore dal 1° agosto 2024 e si applica per gradi.
Quando si applicano gli obblighi per l'IA ad alto rischio?
Dopo il regolamento (UE) 2026/1744, in vigore dal 27 luglio 2026, gli obblighi per i sistemi ad alto rischio dell'allegato III si applicano dal 2 dicembre 2027 e quelli per i sistemi dell'allegato I dal 2 agosto 2028.
Un'azienda che usa un chatbot deve fare qualcosa?
Chi mette a disposizione sistemi destinati a interagire con le persone deve garantire che siano informate di parlare con un'IA salvo che sia evidente dal contesto (articolo 50). Chi usa un sistema di IA deve inoltre adottare misure per sostenere l'alfabetizzazione in materia di IA del personale (articolo 4).
L'obbligo di formazione sull'IA è ancora in vigore?
Sì. L'obbligo è però attenuato: dal regolamento (UE) 2026/1744 fornitori e deployer devono adottare misure volte a sostenere lo sviluppo dell'alfabetizzazione del personale, senza dover garantire un livello specifico di alfabetizzazione per ogni persona.
Far girare l'IA su un server privato esonera dall'AI Act?
No. Il regolamento si applica a prescindere da dove gira il modello. Un ambiente riservato aiuta invece a controllare dove stanno i dati e chi vi accede.