Risposta rapida

Il Regolamento (UE) 2024/1689, noto come AI Act, introduce obblighi progressivi per chi sviluppa, distribuisce o utilizza sistemi di intelligenza artificiale nell'Unione Europea. Le scadenze AI Act non sono tutte concentrate in un'unica data: si distribuiscono su un arco temporale che va dal 2 febbraio 2025 al 31 dicembre 2030, con tappe intermedie che richiedono azioni specifiche. La prima scadenza operativa è già trascorsa (divieto delle pratiche inaccettabili), ma la maggior parte delle aziende italiane deve concentrarsi sulle prossime: 2 agosto 2025 per le norme di governance e i modelli di IA per finalità generali, 2 agosto 2026 per gli obblighi sui sistemi ad alto rischio, e 2 agosto 2027 per la piena applicazione. L'approccio corretto non è attendere le singole scadenze, ma avviare subito un assessment del proprio parco applicazioni IA per capire in quale categoria di rischio ricadono i propri sistemi.

Perché questo tema è importante

L'AI Act è il primo quadro giuridico organico al mondo sull'intelligenza artificiale e introduce un approccio basato sul rischio che coinvolge sia i fornitori (provider) sia gli utilizzatori (deployer) di sistemi IA. Per le imprese italiane, questo significa che non basta più chiedersi "cosa possiamo fare con l'IA", ma bisogna documentare come lo si fa, con quali dati, con quale supervisione umana e con quali garanzie di trasparenza.

Il tema delle scadenze è critico perché gli obblighi non arrivano tutti insieme: chi li affronta con gradualità ha il tempo di costruire un sistema di governance solido, mentre chi aspetta rischia di trovarsi a dover mettere in compliance decine di applicazioni in poche settimane. Inoltre, la mancata conformità può comportare sanzioni amministrative pecuniarie fino al 7% del fatturato mondiale annuo per le violazioni più gravi, percentuali che rendono l'AI Act una priorità strategica, non solo tecnica.

Quadro normativo e fonti ufficiali

Il riferimento normativo principale è il Regolamento (UE) 2024/1689, pubblicato nella Gazzetta Ufficiale dell'Unione Europea il 12 luglio 2024 ed entrato in vigore il 1° agosto 2024. La Commissione europea ha istituito un AI Office dedicato al supporto dell'implementazione, oltre a una piattaforma informativa unica (AI Act Single Information Platform) e un servizio di assistenza (AI Act Service Desk).

La struttura delle scadenze è la seguente:

• 2 febbraio 2025: divieto delle pratiche di IA considerate inaccettabili (otto categorie su nove, come la manipolazione dannosa, lo scoring sociale, l'identificazione biometrica remota in tempo reale per le forze dell'ordine in spazi pubblici).
• 2 agosto 2025: applicazione delle norme su governance, obblighi per i modelli di IA per finalità generali (GPAI), sanzioni e autorità notificate.
• 2 agosto 2026: applicazione degli obblighi per i sistemi ad alto rischio elencati nell'Allegato III (settori come istruzione, occupazione, servizi essenziali, immigrazione).
• 2 agosto 2027: piena applicazione per i sistemi ad alto rischio di cui all'Allegato I (componenti di sicurezza di prodotti regolamentati).
• 31 dicembre 2030: scadenza per i sistemi già immessi sul mercato prima del 2 agosto 2027 che ricadono nelle categorie ad alto rischio dell'Allegato III.

La nona pratica vietata (generazione di contenuti sessualmente espliciti non consensuali e materiale CSAM) diventa effettiva a dicembre 2026, come introdotto dal pacchetto AI Omnibus.

In Italia, il quadro di riferimento coinvolge AgID per gli aspetti di digitalizzazione della PA e ACN (Agenzia per la Cybersicurezza Nazionale) per i profili di sicurezza informatica connessi ai sistemi IA, oltre al Garante per la protezione dei dati personali per le intersezioni con il GDPR.

Cosa significa per l'azienda

Per un'impresa italiana, l'AI Act non è un problema "da ufficio legale": è una questione che attraversa tutta l'organizzazione. Ogni sistema che utilizza tecniche di machine learning, elaborazione del linguaggio naturale, computer vision o modelli generativi va classificato in una delle quattro categorie di rischio:

• Rischio inaccettabile: pratiche vietate, come la manipolazione subliminale o lo sfruttamento delle vulnerabilità di gruppi specifici.
• Rischio alto: sistemi che possono incidere su salute, sicurezza o diritti fondamentali (es. selezione del personale, valutazione del merito creditizio, diagnosi mediche).
• Rischio limitato: sistemi con obblighi di trasparenza (es. chatbot che devono dichiarare di essere macchine).
• Rischio minimo: la maggior parte dei sistemi attuali, per i quali non ci sono obblighi specifici ma resta valido il quadro normativo generale.

Il punto critico è che molte aziende non sanno di avere sistemi ad alto rischio. Un software di screening dei curriculum, un algoritmo di scoring dei clienti o un sistema di monitoraggio dei dipendenti possono rientrare nelle categorie dell'Allegato III senza che l'azienda lo abbia formalmente classificato.

Cosa deve fare concretamente l'organizzazione

L'approccio operativo si articola in cinque fasi:

1. Inventario dei sistemi IA. Mappare tutte le applicazioni, i software e i processi che utilizzano tecniche di IA, incluse quelle "nascoste" in fornitori terzi o in soluzioni SaaS. Per ogni sistema, documentare: finalità, dati utilizzati, categoria di rischio presunta, fornitore, ambito di utilizzo.

2. Classificazione del rischio. Applicare i criteri dell'AI Act per determinare se il sistema è a rischio inaccettabile, alto, limitato o minimo. Questa fase richiede competenze specifiche e va documentata con una valutazione di impatto quando si rientra nelle categorie ad alto rischio.

3. Gap analysis rispetto agli obblighi. Per i sistemi ad alto rischio, verificare la conformità rispetto a: sistema di gestione dei rischi, governance dei dati, documentazione tecnica, registrazione nella banca dati UE, trasparenza, supervisione umana, robustezza e accuratezza.

4. Adeguamento contrattuale. Rivedere i contratti con i fornitori di soluzioni IA per allocare correttamente le responsabilità tra provider e deployer, come richiesto dall'articolo 25 del Regolamento.

5. Formazione e sensibilizzazione. Formare il personale su cosa significa usare l'IA in modo conforme, con particolare attenzione a chi opera nelle funzioni HR, marketing, customer service e compliance.

Esempio pratico

Un'azienda manifatturiera italiana con 300 dipendenti utilizza da due anni un software di recruiting che analizza i CV e classifica i candidati. Il sistema è stato acquistato da un fornitore europeo e l'azienda lo considera "solo uno strumento di supporto".

Applicando la classificazione dell'AI Act, questo sistema rientra nell'Allegato III (punto 4a: "strumenti utilizzati per reclutare o selezionare persone fisiche"). È quindi ad alto rischio. Gli obblighi diventano operativi dal 2 agosto 2026, ma l'azienda deve già ora:

• Verificare che il fornitore abbia predisposto la documentazione tecnica e la registrazione nella banca dati UE.
• Predisporre un accordo contrattuale che definisca le responsabilità reciproche.
• Implementare un processo di supervisione umana sulle decisioni di selezione.
• Condurre una valutazione di impatto sui diritti fondamentali.

Se l'azienda non fa nulla, dal 2 agosto 2026 rischia sanzioni che possono arrivare fino a 15 milioni di euro o al 3% del fatturato mondiale annuo.

Errori comuni da evitare

• Pensare che l'AI Act riguardi solo i grandi player tecnologici. Gli obblighi si applicano anche a chi *utilizza* sistemi IA, non solo a chi li sviluppa.
• Confondere l'AI Act con il GDPR. Sono normative complementari ma distinte: l'AI Act ha un perimetro più ampio (sicurezza, diritti fondamentali, trasparenza) e non si limita alla protezione dei dati.
• Sottovalutare i sistemi "embedded". Un algoritmo di ottimizzazione dei prezzi o di manutenzione predittiva può essere IA anche se non viene chiamato così.
• Affidarsi solo al fornitore. Il deployer ha obblighi propri e indipendenti, anche quando il sistema è acquistato da terzi.
• Non documentare le decisioni di classificazione. Se non c'è evidenza scritta del perché un sistema è stato classificato a basso rischio, in caso di verifica sarà difficile dimostrare la diligenza.

Come GAPOFF aiuta

La piattaforma GAPOFF supporta le organizzazioni italiane nel percorso di adeguamento all'AI Act attraverso il modulo AI Act Governance, che guida l'azienda nella mappatura dei sistemi IA, nella classificazione del rischio e nella gestione documentale degli obblighi. Il modulo consente di mantenere traccia delle scadenze, delle valutazioni effettuate e delle evidenze raccolte, integrandosi con i flussi di compliance già esistenti. La piattaforma è provabile gratuitamente per 14 giorni: uno strumento che supporta il lavoro di analisi e documentazione, ma non sostituisce la valutazione giuridica e tecnica che l'organizzazione deve comunque condurre con i propri professionisti.

Checklist operativa

• Nominare un responsabile interno per la conformità AI Act
• Creare l'inventario completo dei sistemi IA in uso (inclusi quelli SaaS)
• Classificare ogni sistema secondo le quattro categorie di rischio
• Identificare i sistemi ad alto rischio (Allegato I e Allegato III)
• Verificare i contratti con i fornitori di soluzioni IA
• Predisporre la documentazione tecnica per i sistemi ad alto rischio
• Implementare procedure di supervisione umana
• Pianificare la registrazione nella banca dati UE (dal 2 agosto 2026)
• Formare il personale su trasparenza e uso corretto dell'IA
• Monitorare le linee guida della Commissione europea e le indicazioni di AgID/ACN

FAQ

Il mio sistema è un semplice chatbot: devo fare qualcosa?

Sì. I chatbot e i sistemi di interazione conversazionale rientrano nella categoria a rischio limitato, per la quale l'AI Act prevede obblighi di trasparenza: l'utente deve essere informato che sta interagendo con una macchina. Inoltre, se il chatbot tratta dati personali, restano applicabili tutti gli obblighi del GDPR. La verifica minima consiste nell'assicurarsi che il sistema dichiari chiaramente la propria natura artificiale e che il trattamento dei dati sia coperto da idonea informativa.

Cosa succede se non mi adeguo entro le scadenze?

Le sanzioni previste dall'AI Act sono graduate: fino a 35 milioni di euro o al 7% del fatturato mondiale annuo per le violazioni delle pratiche vietate, fino a 15 milioni o al 3% per le violazioni degli obblighi sui sistemi ad alto rischio, fino a 7,5 milioni o all'1,5% per la fornitura di informazioni inesatte. A queste si aggiungono i rischi reputazionali e la possibilità che clienti o partner commerciali richiedano evidenze di conformità nei processi di due diligence.

Come faccio a sapere se il mio sistema è "ad alto rischio"?

L'AI Act elenca le categorie nell'Allegato III: istruzione e formazione professionale, occupazione e gestione dei lavoratori, accesso a servizi privati essenziali (credito, assicurazioni), applicazioni delle forze dell'ordine, migrazione e asilo, giustizia e processi democratici. Se il vostro sistema opera in uno di questi ambiti e prende decisioni che incidono su persone fisiche, è presumibilmente ad alto rischio. In caso di dubbio, la scelta prudente è classificarlo come tale e predisporre la documentazione corrispondente.

FAQ

Il mio sistema è un semplice chatbot: devo fare qualcosa?

Sì. I chatbot e i sistemi di interazione conversazionale rientrano nella categoria a **rischio limitato**, per la quale l'AI Act prevede obblighi di trasparenza: l'utente deve essere informato che sta interagendo con una macchina. Inoltre, se il chatbot tratta dati personali, restano applicabili tutti gli obblighi del GDPR. La verifica minima consiste nell'assicurarsi che il sistema dichiari chiaramente la propria natura artificiale e che il trattamento dei dati sia coperto da idonea informativa.

Cosa succede se non mi adeguo entro le scadenze?

Le sanzioni previste dall'AI Act sono graduate: fino a **35 milioni di euro o al 7% del fatturato mondiale annuo** per le violazioni delle pratiche vietate, fino a 15 milioni o al 3% per le violazioni degli obblighi sui sistemi ad alto rischio, fino a 7,5 milioni o all'1,5% per la fornitura di informazioni inesatte. A queste si aggiungono i rischi reputazionali e la possibilità che clienti o partner commerciali richiedano evidenze di conformità nei processi di due diligence.

Come faccio a sapere se il mio sistema è "ad alto rischio"?

L'AI Act elenca le categorie nell'Allegato III: istruzione e formazione professionale, occupazione e gestione dei lavoratori, accesso a servizi privati essenziali (credito, assicurazioni), applicazioni delle forze dell'ordine, migrazione e asilo, giustizia e processi democratici. Se il vostro sistema opera in uno di questi ambiti e prende decisioni che incidono su persone fisiche, è presumibilmente ad alto rischio. In caso di dubbio, la scelta prudente è classificarlo come tale e predisporre la documentazione corrispondente.