La prima legge al mondo sull'intelligenza artificiale introduce obblighi differenziati in base al rischio, scadenze scaglionate fino al 2027 e sanzioni fino al 7% del fatturato globale.
Con il Regolamento (UE) 2024/1689, entrato in vigore il 1° agosto 2024 e pubblicato nella Gazzetta ufficiale dell'Unione europea il 12 luglio 2024, l'Unione europea si è dotata del primo quadro giuridico organico al mondo per lo sviluppo, l'immissione sul mercato e l'uso dei sistemi di intelligenza artificiale. Per le imprese, comprese le PMI e le start-up, il regolamento non è un tema riservato agli sviluppatori di software: riguarda chiunque produca, venda, distribuisca o semplicemente utilizzi un sistema di IA nella propria attività.
Obiettivo e ambito di applicazione
Il regolamento, meglio noto come AI Act, persegue un duplice obiettivo: garantire che i sistemi di intelligenza artificiale immessi sul mercato dell'Unione siano sicuri e rispettosi dei diritti fondamentali, e al tempo stesso favorire l'innovazione e gli investimenti nel settore. Le regole si applicano in modo trasversale a tutti i settori economici.
L'ambito soggettivo è molto ampio e comprende:
- Fornitori che sviluppano un sistema di IA e lo immettono sul mercato UE, anche se stabiliti in un paese terzo;
- Deployer, cioè le imprese e i professionisti che utilizzano un sistema di IA nell'ambito della propria attività;
- Importatori e distributori di sistemi di IA;
- Fabbricanti che integrano un sistema di IA in un proprio prodotto, con il proprio nome o marchio;
- Rappresentanti autorizzati di fornitori non stabiliti nell'Unione.
Il criterio decisivo non è la nazionalità dell'operatore, ma il mercato in cui il sistema produce i suoi effetti: anche un'impresa extra-UE è soggetta al regolamento se l'output del suo sistema di IA viene utilizzato all'interno dell'Unione. Restano invece esclusi i sistemi destinati esclusivamente a scopi militari, di difesa e sicurezza nazionale, le attività di ricerca e sviluppo precedenti l'immissione sul mercato e l'uso puramente personale non professionale.
Un approccio basato sul rischio
Il cuore del regolamento è la classificazione dei sistemi di IA in quattro categorie di rischio, a ciascuna delle quali corrisponde un diverso livello di obblighi.
| Rischio inaccettabile — vietato Social scoring, manipolazione subliminale o ingannevole, sfruttamento delle vulnerabilità di minori o soggetti fragili, identificazione biometrica remota "in tempo reale" in spazi pubblici (salvo eccezioni per le forze dell'ordine), riconoscimento delle emozioni sul lavoro o a scuola. |
Alto rischio Sistemi usati ad esempio in selezione del personale, credito e assicurazioni, dispositivi medici, infrastrutture critiche, istruzione. Requisiti stringenti prima e dopo l'immissione sul mercato. |
| Rischio limitato — trasparenza Chatbot, deepfake e contenuti generati artificialmente: l'utente deve poter sapere che sta interagendo con un sistema di IA o che il contenuto è generato/manipolato artificialmente. |
Rischio minimo La maggior parte dei sistemi oggi in uso (filtri anti-spam, videogiochi, raccomandazioni): nessun obbligo specifico, adesione volontaria a codici di condotta. |
Le pratiche vietate (Articolo 5)
Dal 2 febbraio 2025 sono già vietate, in tutta l'Unione, le pratiche di IA considerate a rischio inaccettabile per i diritti fondamentali. Tra queste rientrano i sistemi che manipolano il comportamento delle persone tramite tecniche subliminali o ingannevoli, quelli che sfruttano vulnerabilità legate a età, disabilità o condizione sociale, i sistemi di valutazione sociale ("social scoring") da parte di autorità pubbliche o private, la creazione di banche dati di riconoscimento facciale tramite scraping non mirato di immagini da internet o da telecamere di sorveglianza, e il riconoscimento delle emozioni nei luoghi di lavoro e negli istituti scolastici (salvo motivi medici o di sicurezza).
Gli obblighi per i sistemi ad alto rischio
Le imprese che sviluppano o utilizzano sistemi di IA ad alto rischio devono predisporre un sistema di gestione del rischio, garantire la qualità dei dati di addestramento, mantenere una documentazione tecnica dettagliata, assicurare la tracciabilità tramite log automatici, prevedere una sorveglianza umana effettiva e sottoporre il sistema a valutazione di conformità prima dell'immissione sul mercato.
Chi utilizza il sistema (deployer) deve inoltre:
- impiegare il sistema secondo le istruzioni per l'uso fornite dal produttore;
- affidare la sorveglianza umana a personale competente e formato;
- conservare per almeno sei mesi i log generati automaticamente dal sistema;
- informare fornitore e autorità di vigilanza in caso di rischi o incidenti gravi;
- informare i lavoratori e i loro rappresentanti prima di introdurre un sistema di IA ad alto rischio sul posto di lavoro.
Trasparenza per chatbot, contenuti sintetici e deepfake
L'articolo 50 introduce obblighi di trasparenza per una vasta gamma di applicazioni commerciali comuni. Chi mette a disposizione un chatbot o un assistente virtuale deve rendere evidente all'utente che sta interagendo con un sistema di IA. Chi genera contenuti audio, video, immagini o testi tramite IA deve marcarli come tali in modo leggibile da una macchina, e chi diffonde un deepfake deve segnalarlo chiaramente, salvo il caso di opere dichiaratamente artistiche, satiriche o di fantasia.
Alfabetizzazione in materia di IA
Articolo 4. Fornitori e deployer devono garantire un livello adeguato di "alfabetizzazione in materia di IA" al proprio personale e a chiunque operi sistemi di IA per loro conto, tenendo conto delle competenze tecniche, dell'esperienza, del contesto d'uso e delle persone su cui il sistema produce effetti. È l'unico obbligo del regolamento già pienamente in vigore per tutte le imprese, a prescindere dal livello di rischio del sistema utilizzato.
Le scadenze: un'entrata in vigore scaglionata
| 1° agosto 2024 | Entrata in vigore del regolamento. |
| 2 febbraio 2025 | Diventano applicabili le disposizioni generali e il divieto delle pratiche di IA a rischio inaccettabile (Capi I e II). |
| 2 agosto 2025 | Si applicano le regole su modelli di IA per finalità generali (es. modelli fondativi), governance, autorità competenti e sanzioni. |
| 2 agosto 2026 | Data di applicazione generale del regolamento, compresi gli obblighi di trasparenza e le regole sui sistemi ad alto rischio elencati nell'Allegato III. |
| 2 agosto 2027 | Termine ultimo per gli obblighi relativi ai sistemi di IA ad alto rischio integrati come componenti di sicurezza in prodotti già regolamentati da altre normative UE (macchinari, dispositivi medici, giocattoli, ecc.). |
Le sanzioni
| Violazione | Sanzione massima |
|---|---|
| Uso di pratiche di IA vietate (art. 5) | 35 milioni di € oppure 7% del fatturato mondiale annuo, se superiore |
| Violazione di altri obblighi (fornitori, deployer, importatori, distributori, organismi notificati, trasparenza) | 15 milioni di € oppure 3% del fatturato mondiale annuo, se superiore |
| Informazioni inesatte, incomplete o fuorvianti alle autorità | 7,5 milioni di € oppure 1% del fatturato mondiale annuo, se superiore |
Per le PMI e le start-up, il regolamento prevede espressamente che ciascuna sanzione sia calcolata applicando il valore più basso tra la soglia percentuale e l'importo fisso, tenendo conto della sostenibilità economica dell'impresa.
Attenzione alle scadenze già trascorse. Il divieto delle pratiche a rischio inaccettabile e l'obbligo di alfabetizzazione in materia di IA sono in vigore dal 2 febbraio 2025: le imprese che non hanno ancora effettuato una verifica di conformità dovrebbero considerarlo prioritario.
Cosa possono fare le imprese, in pratica
Un primo percorso di adeguamento
- Mappare i sistemi di IA già in uso o in fase di adozione (compresi quelli integrati in software di terzi) e classificarli per livello di rischio.
- Verificare l'eventuale presenza di pratiche vietate dall'articolo 5 e sospenderle immediatamente.
- Avviare un piano di formazione interna sull'IA per il personale coinvolto (obbligo già vigente).
- Per i sistemi ad alto rischio, predisporre documentazione tecnica, log e procedure di sorveglianza umana in vista delle scadenze 2026-2027.
- Definire policy di trasparenza per chatbot, contenuti generati da IA e strumenti di comunicazione con i clienti.
- Monitorare gli orientamenti della Commissione europea e degli organismi nazionali di vigilanza, in continua pubblicazione.
Il Regolamento (UE) 2024/1689 introduce un cambio di paradigma nella gestione dell'intelligenza artificiale in azienda: non si tratta più soltanto di una scelta tecnologica, ma di un ambito di conformità normativa a tutti gli effetti, con impatti su governance, gestione del personale, protezione dei dati e responsabilità d'impresa. Le organizzazioni che iniziano oggi il percorso di adeguamento arriveranno più preparate alle scadenze del 2026 e del 2027.
Fonte: Regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio del 13 giugno 2024, pubblicato nella Gazzetta ufficiale dell'Unione europea (Serie L) del 12 luglio 2024. Questo articolo ha finalità informativa e non costituisce consulenza legale.
