AI Act europeo: cosa cambia per chi sviluppa o usa sistemi di AI

Il regolamento (UE) 2024/1689, noto come AI Act, è la legge europea sull’intelligenza artificiale. È entrato in vigore il 1° agosto 2024 e si applica a tappe: alcune regole valgono già dal 2025, la maggior parte è partita ad agosto 2026 e le più impegnative, quelle sui sistemi ad alto rischio, sono state rinviate al 2027 e al 2028.

Non riguarda solo chi sviluppa AI: anche un’azienda che usa un chatbot per i clienti o un software che seleziona i CV ha degli obblighi. Qui riassumiamo come funziona e cosa fare adesso, sulla base del testo pubblicato su EUR-Lex e delle indicazioni di Commissione europea e Parlamento europeo.

Questo articolo è informativo e non è una consulenza legale: per i casi specifici conviene rivolgersi a un professionista del diritto.

Un approccio basato sul rischio

L’AI Act non regola la tecnologia in sé, ma i suoi usi, divisi per livello di rischio:

• Pratiche vietate: per esempio tecniche manipolative dannose, punteggio sociale (social scoring), riconoscimento delle emozioni sul lavoro e a scuola (salvo eccezioni), raccolta indiscriminata di volti per banche dati di riconoscimento facciale. Dal 2 dicembre 2026 si aggiungono i sistemi che generano materiale pedopornografico o immagini intime di persone riconoscibili senza consenso.
• Alto rischio: sistemi usati in ambiti sensibili elencati nell’Allegato III (selezione e gestione del personale, istruzione, accesso al credito e ai servizi essenziali, infrastrutture critiche, giustizia, migrazione) oppure componenti di sicurezza di prodotti già regolati, come dispositivi medici e macchinari (Allegato I). Richiedono gestione del rischio, dati di qualità, documentazione tecnica, registrazione degli eventi (log), sorveglianza umana e sicurezza informatica.
• Obblighi di trasparenza: dire alle persone che stanno interagendo con un’AI, marcare testi, immagini, audio e video generati in modo riconoscibile anche dalle macchine, dichiarare i deepfake, avvisare quando si usano il riconoscimento delle emozioni o la categorizzazione biometrica.
• Rischio minimo: la maggior parte delle applicazioni, come i filtri antispam o i videogiochi, senza obblighi specifici.

A parte ci sono i modelli di AI per finalità generali, come i grandi modelli linguistici (LLM): chi li sviluppa ha obblighi di documentazione e di rispetto del diritto d’autore.

Il calendario aggiornato a ottobre 2026

• 1° agosto 2024: entrata in vigore.
• 2 febbraio 2025: divieti e obbligo di alfabetizzazione sull’AI (formare chi usa o sviluppa i sistemi).
• 2 agosto 2025: regole sui modelli per finalità generali, governance e sanzioni.
• 2 agosto 2026: si applica la maggior parte del regolamento, compresi gli obblighi di trasparenza. Per i sistemi generativi già sul mercato prima di quella data, la marcatura dei contenuti è richiesta dal 2 dicembre 2026.
• 2 dicembre 2027: obblighi per i sistemi ad alto rischio dell’Allegato III (prima previsti per il 2 agosto 2026).
• 2 agosto 2028: obblighi per i sistemi ad alto rischio integrati in prodotti regolati, Allegato I (prima previsti per il 2 agosto 2027).

Il rinvio viene dal Digital Omnibus sull’AI, proposto dalla Commissione nel novembre 2025, approvato da Parlamento europeo e Consiglio nel giugno 2026 e pubblicato nella Gazzetta ufficiale dell’UE come regolamento (UE) 2026/1744, in vigore dal 27 luglio 2026. Lo stesso testo ha riformulato l’alfabetizzazione: fornitori e utilizzatori devono adottare misure per favorirla, senza dover garantire un livello preciso. Un rinvio non è una cancellazione, e linee guida e norme tecniche sono ancora in preparazione.

Fornitore o utilizzatore: chi fa cosa

Il regolamento distingue i ruoli. Il fornitore (provider) sviluppa un sistema di AI, o lo fa sviluppare, e lo immette sul mercato o lo mette in servizio con il proprio nome. L’utilizzatore (deployer, termine usato anche nella versione italiana del testo) lo usa sotto la propria autorità per un’attività professionale.

Gli obblighi più pesanti sono del fornitore, ma chi usa un sistema ad alto rischio deve seguirne le istruzioni, affidarne la sorveglianza a persone competenti, conservare i log e informare i lavoratori coinvolti. Chi modifica in modo sostanziale un sistema ad alto rischio, o lo mette sul mercato con il proprio marchio, diventa a sua volta fornitore. Nelle applicazioni su misura, chi sia il fornitore tra software house e cliente va chiarito per iscritto.

Un esempio vicino al nostro lavoro: in un sistema di selezione del personale come ATS, una funzione di AI che filtra o valuta le candidature rientrerebbe tra gli usi ad alto rischio dell’Allegato III, mentre l’archivio dei CV o la gestione dei colloqui a fasi no.

In Italia: la legge 132/2025

Dal 10 ottobre 2025 è in vigore la legge 23 settembre 2025, n. 132, che si applica in coerenza con l’AI Act. Individua l’Agenzia per l’Italia Digitale (AgID) e l’Agenzia per la cybersicurezza nazionale (ACN) come autorità nazionali per l’AI, obbliga il datore di lavoro a informare i lavoratori sull’uso di sistemi di AI e introduce il reato di diffusione illecita di contenuti generati o manipolati con l’AI. Alcune parti sono affidate a decreti del Governo.

Cosa fare adesso in azienda

1. Inventario: elencare i sistemi di AI in uso o in sviluppo, compresi quelli dentro software acquistati e servizi cloud. In Artika, la piattaforma di streaming teatrale che abbiamo costruito su AWS, sottotitoli automatici (Amazon Transcribe) e moderazione dei video (Amazon Rekognition) sono servizi di AI di un fornitore cloud: anche questi vanno in inventario.
2. Classificazione: per ogni sistema, il livello di rischio e il ruolo dell’azienda, fornitore o utilizzatore.
3. Alfabetizzazione: formazione proporzionata al ruolo per chi usa, sviluppa o supervisiona i sistemi.
4. Documentazione: finalità, dati usati, fornitore, versione, responsabile interno; per l’alto rischio, la documentazione tecnica prevista.
5. Sorveglianza umana: chi controlla i risultati, come si corregge una decisione, come si sospende il sistema.
6. Trasparenza: avvisi nei chatbot ed etichette sui contenuti generati.
7. Verifica dei fornitori: documentazione, clausole contrattuali, luogo in cui vengono trattati i dati e rispetto del GDPR.

Molto di questo lavoro si appoggia su quello già fatto per il GDPR, come registri e valutazioni d’impatto.

Quando progettiamo applicazioni con componenti di AI, log, documentazione e controllo umano li prevediamo dall’inizio, perché aggiungerli dopo costa di più. Se volete fare il punto sui sistemi che usate, o ne state progettando uno nuovo, parliamone.