Il Regolamento UE sull'IA è la prima legge globale completa che regola l'intelligenza artificiale — e, come il GDPR prima di esso, la sua influenza si estende ben oltre i confini europei. Se la vostra azienda sviluppa, vende o addirittura utilizza sistemi di IA e ha comunque un qualsiasi tipo di contatto con il mercato UE, questa legge probabilmente si applica anche a voi. Questa guida ne spiega i contenuti in termini chiari e pratici.
Questo articolo contiene informazioni generali, non costituisce consulenza legale. Per conoscere i vostri obblighi specifici, consultate un professionista qualificato.
Punti chiave
- Il Regolamento UE sull'IA è la prima legge completa sull'IA e adotta un approccio basato sul rischio .
- Quattro livelli di rischio: inaccettabile (vietato), ad alto rischio (regole rigorose), a rischio limitato (trasparenza), a rischio minimo (libero).
- Si applica in modo extraterritoriale — le aziende non appartenenti all'UE sono incluse se il loro sistema AI influisce sul mercato UE.
- Viene introdotto gradualmente nel tempo, con obblighi diversi che entrano in vigore in date differenti.
- Le sanzioni sono severe — ammende elevate calcolate sul fatturato globale.
Che cos’è la legge europea sull’intelligenza artificiale (EU AI Act)?
L’EU AI Act è una normativa dell’Unione Europea che stabilisce regole per lo sviluppo, la commercializzazione e l’utilizzo dei sistemi di intelligenza artificiale. Il suo obiettivo è garantire che l’IA utilizzata nell’UE sia sicura, trasparente e rispetti i diritti fondamentali, pur consentendo al contempo l’innovazione.
La sua caratteristica distintiva è un approccio basato sul rischio. Piuttosto che regolamentare tutti i sistemi AI allo stesso modo, li classifica in base al livello di rischio che rappresentano per le persone, applicando regole più stringenti agli usi ad alto rischio. Un filtro antispam e un sistema AI che seleziona candidati per un posto di lavoro non sono trattati allo stesso modo — ed è proprio questo il punto.
I quattro livelli di rischio
Tutto quanto previsto dalla legge discende da queste categorie:
| Livello di rischio | Trattamento | Esempi |
|---|---|---|
| Rischio inaccettabile | Vietato in via assoluta | Valutazioni sociali, IA manipolativa o sfruttatrice |
| Alto rischio | Obblighi rigorosi | IA nelle assunzioni, nel credito, nell’istruzione, nelle infrastrutture critiche |
| Rischio limitato | Obblighi di trasparenza | Chatbot, contenuti generati dall’IA |
| Rischio minimo | In gran parte non regolamentato | Filtri antispam, IA nei giochi, strumenti di raccomandazione |
Rischio inaccettabile — un numero ristretto di applicazioni dell’IA considerate una chiara minaccia per i diritti delle persone è vietato in via assoluta.
Alto rischio — la categoria più rilevante ai fini della conformità. L’IA utilizzata in ambiti decisivi — decisioni occupazionali, accesso al credito e a servizi essenziali, istruzione, determinati sistemi critici — è soggetta a requisiti rigorosi prima e durante l’utilizzo.
Rischio limitato — sistemi come i chatbot e i contenuti generati dall’IA comportano obblighi di trasparenza : gli utenti devono essere informati del fatto che stanno interagendo con un sistema di IA o che il contenuto è stato generato dall’IA.
Rischio minimo — la grande maggioranza delle applicazioni di IA rientra in questa categoria e non è soggetta a nuovi obblighi significativi.
A chi si applica?
Questa è la parte che molte aziende trascurano: l’EU AI Act si applica in modo extraterritoriale. Non è necessario trovarsi fisicamente in Europa per essere soggetti alla normativa.
La legge riguarda:
- Fornitori — coloro che sviluppano sistemi di IA o li immettono sul mercato UE.
- Utilizzatori finali (deployers) — aziende che utilizzare sistemi di IA nelle proprie operazioni all’interno dell’UE.
- Aziende non appartenenti all’UE — se il vostro sistema di IA viene utilizzato nell’UE, oppure se i suoi output sono utilizzati nell’UE, la legge può applicarsi a voi indipendentemente dalla sede della vostra azienda.
Pertanto, un’azienda situata in qualunque parte del mondo che offra un prodotto basato sull’IA ai clienti UE, oppure che utilizzi l’IA per prendere decisioni che incidono su persone residenti nell’UE, potrebbe rientrare nel campo di applicazione della norma. Si tratta dello stesso effetto «Bruxelles» che ha reso il GDPR uno standard globale.
Principali obblighi per l’IA ad alto rischio
Se il vostro sistema di IA rientra nella categoria ad alto rischio, dovrete soddisfare requisiti quali:
- Gestione del rischio — un processo continuo volto a identificare e ridurre i rischi.
- Governance dei dati — utilizzo di dataset adeguati e ben gestiti, con particolare attenzione a bias.
- Documentazione — registri tecnici dettagliati che dimostrino la conformità.
- Trasparenza — informazioni chiare destinate sia agli utilizzatori finali sia alle persone interessate dal sistema.
- Supervisione umana — il sistema deve essere progettato in modo tale che gli esseri umani possano supervisionarlo in maniera efficace.
- Accuratezza e robustezza — prestazioni e sicurezza adeguate.
- Conservazione dei registri — registrazione delle operazioni del sistema, in modo da poterne tracciare il funzionamento.
Per rischio limitato sistemi, l’obbligo centrale è più semplice: divulgazione. Informare gli utenti che stanno interagendo con un sistema di intelligenza artificiale e indicare chiaramente quando i contenuti sono generati dall’IA.
IA a uso generale
La legge disciplina inoltre l’IA a uso generale — ossia i grandi modelli fondativi alla base di molti prodotti. I fornitori di tali modelli sono soggetti a specifici obblighi, tra cui quelli relativi alla trasparenza e alla documentazione; modelli particolarmente avanzati, in grado di comportare rischi più ampi, devono inoltre adempiere a ulteriori doveri.
Tempistica e sanzioni
Il Regolamento UE sull’IA non entra in vigore tutto insieme. Esso entra in vigore gradualmente, con obblighi diversi che diventano applicabili in date differenti: il divieto di usi vietati è entrato in vigore per primo, seguito a scadenze differite dagli obblighi relativi ai sistemi ad alto rischio e da altri requisiti. Poiché le date esatte dipendono dalla categoria, le imprese devono verificare il calendario aggiornato degli obblighi che le riguardano.
Il penalità sono intenzionalmente severe — multe sostanziali calcolate come percentuale del fatturato annuo globale dell’azienda, con le sanzioni più elevate riservate alle violazioni più gravi. Come per il GDPR, la struttura delle sanzioni garantisce che le grandi aziende non possano considerare la conformità come opzionale. global annual turnover, with the steepest fines for the most serious violations. As with GDPR, the penalty design ensures large companies cannot simply treat compliance as optional.
Cosa devono fare le imprese ora
Un pratico elenco di controllo iniziale:
- Inventariare tutti i propri sistemi di IA. Elencare ogni sistema di IA sviluppato o utilizzato che abbia un impatto sul territorio dell’UE.
- Classificare ciascuno di essi in base al livello di rischio. Questa classificazione determina quali obblighi, se presenti, devono essere adempiuti.
- Concentrarsi sui sistemi ad alto rischio — è qui che si concentra il vero lavoro di conformità.
- Verificare gli obblighi di trasparenza — se si utilizzano chatbot o si generano contenuti tramite IA, assicurarsi di informarne adeguatamente gli utenti.
- Assegnare la responsabilità Designare una persona con chiara responsabilità sulla governance dell’IA.
- Richiedere consulenza specializzata per qualsiasi sistema ad alto rischio o situazione incerta.
Per la maggior parte delle imprese, gran parte dell’utilizzo di IA rientrerà nelle categorie a rischio minimo o limitato e richiederà pochissimo. Lo sforzo di conformità si concentra invece sui sistemi ad alto rischio — quindi il primo passo consiste semplicemente nell’identificare quali dei propri sistemi, se presenti, rientrano in tale categoria.
Una roadmap graduale per la conformità ai nuovi termini 2026-2028
Il calendario non prevede più un’unica scadenza improvvisa. Con il pacchetto semplificato «Digital Omnibus», su cui Consiglio e Parlamento hanno raggiunto un accordo provvisorio il 7 maggio 2026, gli obblighi più stringenti per i sistemi ad alto rischio sono stati posticipati: i sistemi autonomi di cui all’Allegato III (assunzioni, valutazione del credito, istruzione e simili) saranno soggetti a tali obblighi a partire dal 2 dicembre 2027, mentre l’IA integrata in prodotti regolamentati ai sensi dell’Allegato I (dispositivi medici, macchinari, veicoli) dovrà conformarsi a partire dal 2 agosto 2028. Si tratta di un respiro, non di una sospensione. Le pratiche vietate sono state proibite fin dal febbraio 2025; le norme sulla trasparenza entreranno in vigore per la prima volta, e gli obblighi relativi all’IA a uso generale (già in vigore dal agosto 2025) diventeranno effettivamente sanzionabili a partire dal 2 agosto 2026. Si noti che queste nuove date sono subordinate all’adozione formale e alla pubblicazione nella Gazzetta Ufficiale. Considerare questo prolungamento come un’opportunità per adempiere correttamente agli obblighi, non come un motivo per rimandarli.
Lavorare sul problema in quattro fasi:
- Fase 1 – Inventario (da eseguire immediatamente). Elencare tutti i sistemi di intelligenza artificiale sviluppati, acquistati o integrati dalla vostra organizzazione. Per ciascuno, registrare il fornitore, la finalità aziendale, i dati che elabora e le persone interessate dai suoi output. Non è possibile classificare né allocare risorse finanziarie per ciò che non è stato catalogato, e l’IA non dichiarata all’interno di strumenti SaaS rappresenta il punto cieco più comune.
- Fase 2 – Classificazione e screening. Assegnare a ciascun sistema un livello di rischio. Qualsiasi sistema potenzialmente vietato (ad esempio il riconoscimento delle emozioni sul luogo di lavoro o lo scraping non mirato finalizzato alla creazione di database per il riconoscimento facciale) deve essere interrotto immediatamente: tali divieti sono già entrati in vigore. Segnalare tutti i sistemi ad alto rischio per un esame approfondito.
- Fase 3 – Chiusura dei gap (2026-2027). Per i sistemi ad alto rischio, predisporre la documentazione tecnica, il processo di gestione del rischio, la progettazione del controllo umano, i sistemi di registrazione (logging) e le prove relative alla governance dei dati richieste dal Regolamento. Qualora si implementi un sistema di terzi anziché svilupparne uno in proprio, gli obblighi ai sensi dell’articolo 26 sono ridotti ma comunque concreti: occorre ottenere per iscritto le istruzioni del fornitore e la sua documentazione di conformità.
- Fase 4 – Esercizio e monitoraggio (attività continuativa). La conformità non è un adempimento una tantum. Assegnare responsabili nominativi, conservare i log, monitorare le prestazioni e segnalare tempestivamente eventuali incidenti gravi.
Avviare parallelamente, fin dal primo giorno, corsi di formazione sulla literacy relativa all’IA: si tratta di un intervento economico, già previsto sia per i fornitori sia per gli utilizzatori, e un personale adeguatamente formato è la condizione essenziale affinché tutte le altre fasi risultino efficaci. Se siete una PMI o una piccola impresa di medie dimensioni, prestate attenzione alle semplificazioni introdotte dal pacchetto Omnibus, concepite appositamente per voi, tra cui requisiti ridotti per la documentazione e accesso prioritario alle sandbox regolatorie per test in condizioni reali.
Domande frequenti
Che cos’è la legge europea sull’intelligenza artificiale (EU AI Act)?
Il Regolamento UE sull’IA è la legge completa dell’Unione Europea volta a regolamentare l’intelligenza artificiale — la prima nel suo genere. Essa adotta un approccio basato sul rischio, suddividendo i sistemi di IA in quattro livelli (rischio inaccettabile, alto, limitato e minimo) e applicando obblighi proporzionati al rischio associato a ciascun sistema.
Il Regolamento UE sull’IA si applica anche alle aziende non europee?
Sì. Il regolamento ha efficacia extraterritoriale. Un’azienda con sede in qualsiasi parte del mondo può essere soggetta al regolamento qualora il suo sistema di IA venga immesso sul mercato dell’UE, utilizzato all’interno dell’UE o i suoi output vengano impiegati nell’UE. Le imprese di tutto il mondo possono dunque avere obblighi qualora il loro sistema di IA abbia un impatto sull’UE.
Quali sono le categorie di rischio previste dal Regolamento UE sull’IA?
Quattro: rischio inaccettabile (vietato in via assoluta), rischio elevato (obblighi rigorosi, ad esempio per l’IA utilizzata nelle assunzioni o nel credito), rischio limitato (obblighi di trasparenza, come la necessità per i chatbot di dichiarare esplicitamente la propria natura di IA) e rischio minimo (la maggior parte delle applicazioni di IA, sostanzialmente non regolamentate).
Quali sono le sanzioni per la violazione del Regolamento UE sull’IA?
Le sanzioni consistono in multe sostanziali calcolate come percentuale del fatturato annuo globale dell’azienda, con le multe più elevate riservate alle violazioni più gravi, ad esempio l’utilizzo di sistemi di IA vietati. La struttura delle sanzioni riprende l’approccio del GDPR, rendendo effettivamente costosa la mancata conformità.
Cosa deve fare la mia azienda per conformarsi al Regolamento UE sull’IA?
Iniziare con l’inventario di tutti i sistemi di IA sviluppati o utilizzati che abbiano un impatto sull’UE, quindi classificarli in base al livello di rischio. La maggior parte sarà a basso rischio e richiederà poco o nulla. Concentrare gli sforzi di conformità su eventuali sistemi ad alto rischio, garantire la trasparenza per chatbot e contenuti generati dall’IA, assegnare chiaramente la responsabilità della governance e richiedere consulenza legale ove necessario.
Le regole relative ai sistemi di IA ad alto rischio sono state effettivamente rinviati al 2027?
Sì, nella maggior parte dei casi. Il pacchetto digitale Omnibus — concordato in via provvisoria dal Consiglio e dal Parlamento europeo il 7 maggio 2026 — sposta gli obblighi relativi ai sistemi ad alto rischio elencati nell’Allegato III (stand-alone) al 2 dicembre 2027, e quelli relativi ai sistemi di IA integrati in prodotti regolamentati ai sensi dell’Allegato I all’8 agosto 2028. Tale modifica è subordinata all’adozione formale e non incide sui divieti (già in vigore dal febbraio 2025) né sulle regole in materia di trasparenza e di IA generale, fissate per l’8 agosto 2026. È opportuno pianificare in base alle nuove scadenze, senza tuttavia considerare i divieti come facoltativi.
Le sanzioni sono inferiori per startup e piccole imprese?
Di fatto, sì. I massimali indicati sono elevati: fino a 35 milioni di euro o al 7% del fatturato annuo globale per le pratiche vietate, e fino a 15 milioni di euro o al 3% per le violazioni relative ai sistemi ad alto rischio. Per la maggior parte delle imprese, l’autorità regolatoria applica l’importo più elevato tra i due. Tuttavia, l’articolo 99, paragrafo 6, inverte questo criterio per le PMI e le startup: la sanzione è limitata all’importo minore tra i due. Una piccola impresa sarà quindi esposta a una percentuale del proprio modesto fatturato, anziché a una sanzione fissa multimilionaria.
Siamo responsabili qualora utilizziamo soltanto uno strumento di IA di terzi, senza svilupparne uno in proprio?
Sì, potete esserlo, ma i vostri obblighi sono più limitati. Se semplicemente implementate un sistema ad alto rischio di terzi nella vostra attività, siete considerati «utilizzatori» (deployer), non «fornitori» (provider); pertanto, gli oneri principali — valutazione di conformità, documentazione tecnica, marcatura CE e registrazione presso l’UE — ricadono sul fornitore. I vostri obblighi ai sensi dell’articolo 26 restano comunque validi: utilizzare il sistema secondo le istruzioni del fornitore, designare figure umane competenti per il controllo, conservare i log per almeno sei mesi, monitorarne il funzionamento, segnalare tempestivamente eventuali incidenti gravi, informare le persone interessate e condurre, ove richiesto, una valutazione d’impatto sui diritti fondamentali. Una precisazione importante: se apportate modifiche sostanziali a un sistema o lo commercializzate sotto il vostro marchio, potreste assumervi l’intera responsabilità del fornitore.
Conclusione
Il Regolamento UE sull’IA rappresenta un traguardo storico: è il primo tentativo completo di regolamentare l’IA e, grazie alla sua portata extraterritoriale, probabilmente diventerà uno standard globale, proprio come il GDPR lo è diventato per la protezione dei dati. Il suo approccio basato sul rischio è ragionevole: l’IA a rischio minimo viene lasciata libera, mentre quella impiegata per decisioni di rilievo è sottoposta a un’effettiva verifica.
Per la maggior parte delle imprese il compito pratico è gestibile. Inventariare i propri sistemi di IA, classificarli in base al rischio e si scoprirà che gli obblighi più gravosi si applicano soltanto agli usi ad alto rischio. L’errore da evitare è presumere che la legge non si applichi perché l’azienda non ha sede in Europa — se il proprio sistema di IA raggiunge il mercato dell’UE, è molto probabile che ne sia soggetto.
