Obblighi e novità di ai act: cosa devono sapere aziende e utenti

Dal 2 agosto 2026, l’AI Act incide concretamente sulle organizzazioni che sviluppano, acquistano o utilizzano sistemi intelligenti. Il regolamento europeo definisce un quadro uniforme, costruito in base al livello di rischio. Non tutte le applicazioni ricevono, quindi, lo stesso trattamento: un filtro antispam presenta implicazioni diverse rispetto a un software medico o a uno strumento per selezionare candidati.

Il Regolamento UE 2024/1689 è entrato in vigore il 1º agosto 2024, ma la sua applicazione segue un calendario progressivo.
Questa gradualità permette di distinguere gli obblighi già operativi dai termini transitori e dai rinvii introdotti nel 2026. Il tema coinvolge fornitori, importatori, distributori e utilizzatori professionali, definiti anche deployer. Per ciascun soggetto cambiano responsabilità, documenti da predisporre e controlli richiesti.

La disciplina interessa inoltre chatbot, strumenti di IA generativa, software sanitari e sistemi decisionali.
Comprendere la propria posizione nella filiera consente di evitare valutazioni approssimative e adempimenti non pertinenti. Nei prossimi passaggi analizzeremo scadenze, categorie di rischio, trasparenza, governance e conseguenze operative. L’obiettivo è spiegare regole complesse attraverso esempi accessibili, senza confondere l’innovazione tecnologica con la conformità giuridica.

Scadenze aggiornate per il calendario AI Act

Il calendario dell’AI Act non coincide con una sola data. I primi obblighi sono diventati applicabili il 2 febbraio 2025. Da quel momento valgono i divieti sulle pratiche considerate inaccettabili.
È operativo anche l’obbligo di alfabetizzazione all’IA. Dal 2 agosto 2025 sono partite, invece, le norme sulla governance e sui modelli a finalità generali.

Il 2 agosto 2026 sono diventati applicabili gli obblighi di trasparenza dell’articolo 50 e altre disposizioni generali. Nello stesso periodo è iniziata l’attività di controllo sull’alfabetizzazione all’IA, con applicazione dal 3 agosto 2026. Il Regolamento UE 2026/1744 ha tuttavia modificato alcune scadenze previste per i sistemi ad alto rischio.
Le principali sezioni del Capo III riferite all’allegato III diventano obbligatorie dal 2 dicembre 2027. Per i sistemi incorporati nei prodotti regolamentati dell’allegato I, il termine arriva invece al 2 agosto 2028. Un’azienda sanitaria deve quindi distinguere un software autonomo da uno integrato in un dispositivo regolamentato.

Per i sistemi pubblici ad alto rischio esistono inoltre termini che arrivano fino al 2 agosto 2030. Alcuni sistemi informatici speciali dovranno adeguarsi entro il 31 dicembre 2030. Leggere correttamente le diverse date evita ritardi, ma anche adempimenti anticipati privi di una base normativa.

Come funziona la classificazione basata sul rischio

L’AI Act adotta un approccio risk-based, proporzionato al rischio generato dall’applicazione.
La classificazione dipende dalla finalità concreta e non soltanto dalla tecnologia impiegata. Un algoritmo destinato a un’attività ludica può, per esempio, presentare un rischio minimo. Lo stesso modello, se usato per valutare candidati, può invece rientrare nell’alto rischio.

Le principali categorie aiutano a impostare l’analisi iniziale:

• Pratiche vietate perché incompatibili con diritti e libertà
• Sistemi ad alto rischio soggetti a requisiti rigorosi
• Applicazioni con specifici obblighi informativi e trasparenza
• Sistemi a rischio minimo con adesione volontaria
  
  

Un filtro antispam o un videogioco ricade normalmente nel rischio minimo, senza specifici obblighi vincolanti. Rimane comunque possibile aderire volontariamente a codici di condotta. Un sistema utilizzato per assumere personale, al contrario, può influire sull’accesso al lavoro e richiede quindi controlli più severi.

Anche gli agenti AI devono essere valutati in base alle funzioni effettivamente svolte.
Un agente che organizza appuntamenti non equivale a uno che respinge automaticamente richieste finanziarie. L’impresa deve descrivere finalità, utenti, dati trattati e conseguenze delle decisioni. Questa mappatura identifica il ruolo giuridico ricoperto e separa gli strumenti accessori dai sistemi capaci di incidere significativamente sulle persone.

Requisiti dell’AI Act per i sistemi ad alto rischio

I sistemi ad alto rischio richiedono misure organizzative e tecniche che possano essere documentate.
L’AI Act impone gestione dei rischi, qualità dei dati, documentazione tecnica e registrazione degli eventi. Richiede inoltre accuratezza, robustezza, sicurezza informatica e sorveglianza umana. Quest’ultima deve permettere interventi reali, non limitarsi a una semplice approvazione formale dell’output.

Si consideri una società che utilizza un algoritmo per ordinare 5.000 candidature. Il sistema assegna punteggi sulla base di esperienze, competenze e informazioni inserite nei profili. L’organizzazione deve verificare la presenza di possibili distorsioni nei dati, conservare registrazioni adeguate e spiegare agli operatori quando intervenire. Un responsabile delle risorse umane non dovrebbe accettare automaticamente ogni risultato.

Inoltre, il GDPR resta applicabile quando il sistema tratta dati personali di candidati, pazienti o dipendenti. Le due normative perseguono finalità differenti, ma possono sovrapporsi. Il Data Protection Officer valuta gli aspetti legati alla protezione dei dati, mentre il CISO presidia sicurezza informatica, accessi e risposta agli incidenti.

Queste funzioni devono collaborare con l’ufficio legale, gli acquisti e i responsabili operativi. La conformità riguarda infatti l’intero ciclo di vita del sistema: dalla scelta del fornitore alla configurazione, fino al monitoraggio, agli aggiornamenti e alla gestione degli errori.

Trasparenza dei contenuti e sistemi generativi

Dal 2 agosto 2026, l’articolo 50 dell’AI Act rafforza gli obblighi di trasparenza. Gli utenti devono sapere quando interagiscono con determinati sistemi automatizzati.
I contenuti sintetici devono inoltre risultare identificabili in un formato leggibile dalle macchine. L’informazione deve essere chiara, accessibile e coerente con il mezzo attraverso cui viene comunicata.

L’IA generativa richiede particolare attenzione, perché produce testi, immagini, audio o video difficili da distinguere.
Un’azienda potrebbe utilizzare un chatbot per rispondere ai clienti oppure creare una voce sintetica per una pubblicità. In entrambi i casi deve valutare quali comunicazioni fornire e come applicare la marcatura tecnica richiesta.

Per i sistemi immessi sul mercato prima del 2 agosto 2026, l’articolo 50, paragrafo 2, prevede il termine del 2 dicembre 2026. Anche i deepfake, ossia contenuti manipolati molto realistici, richiedono informative adeguate. Il contesto editoriale, artistico o satirico può tuttavia incidere sulle modalità con cui queste informazioni vengono presentate.
Le violazioni degli obblighi di trasparenza possono comportare sanzioni fino a 15 milioni di euro. In alternativa, può applicarsi il 3% del fatturato mondiale annuo precedente.
Il sistema sanzionatorio considera la proporzionalità e le condizioni specifiche previste per le imprese minori. Una semplice etichetta grafica potrebbe quindi non bastare, se manca un’adeguata marcatura digitale.

Alfabetizzazione AI Act, controlli e responsabilità interne

L’AI Act non riguarda soltanto software e documenti tecnici.
L’articolo 4 impone a fornitori e utilizzatori professionali di garantire un livello adeguato di alfabetizzazione all’IA. L’obbligo è attivo dal 2 febbraio 2025, mentre l’attività di applicazione e controllo è iniziata il 3 agosto 2026. La preparazione richiesta varia in base ai ruoli, all’esperienza e al contesto operativo.

Un operatore sanitario deve comprendere i limiti e le probabilità di errore di un sistema diagnostico. Un addetto al marketing deve invece riconoscere contenuti sintetici, rischi reputazionali e usi impropri dei dati. L’organizzazione può documentare istruzioni, procedure, responsabilità e verifiche interne. Il regolamento, però, non indica una certificazione generale obbligatoria.

Sul piano istituzionale, le autorità nazionali di vigilanza controllano il mercato e applicano le norme. Il Garante europeo della protezione dei dati vigila sui sistemi utilizzati dalle istituzioni dell’Unione. A livello aziendale, una governance efficace assegna responsabilità precise: gli acquisti verificano i contratti, la sicurezza controlla le vulnerabilità e il legale esamina la classificazione.
Le unità operative monitorano invece risultati ed errori. Anche un progetto di AI marketing richiede questo coordinamento. La tecnologia può sembrare innocua, ma profilazione e personalizzazione possono produrre effetti rilevanti.
Una governance distribuita riduce le aree grigie e rende dimostrabile la responsabilità organizzativa.

Una responsabilità proporzionata al potere tecnologico

L’AI Act trasforma la regolazione dell’intelligenza artificiale in una disciplina concreta, graduata e verificabile. Il suo nucleo non consiste nel vietare l’innovazione, ma nel collegare potere tecnologico, livello di rischio e responsabilità.
Per questo distingue filtri antispam, chatbot, strumenti generativi e sistemi capaci di incidere sui diritti.

Le aziende devono considerare insieme classificazione, ruolo nella filiera, trasparenza e calendario applicativo. I rinvii introdotti nel 2026 non eliminano gli obblighi già operativi. Restano centrali l’articolo 50, l’alfabetizzazione, la governance e le regole sui modelli generali. Protezione dei dati e sicurezza informatica continuano inoltre ad applicarsi secondo le rispettive discipline.

Per gli utenti, il cambiamento più visibile riguarda la riconoscibilità delle interazioni e dei contenuti artificiali. Per le organizzazioni conta invece la capacità di dimostrare decisioni coerenti e controlli effettivi. Non basta che un sistema funzioni tecnicamente: deve operare entro confini comprensibili, sorvegliabili e compatibili con i diritti fondamentali. È questa la soglia che separa la semplice automazione da un’innovazione responsabile.