L’AI Act, adottato nel 2024, entra nella sua fase di applicazione su larga scala nel 2026. Gli obblighi che sembravano lontani diventano opponibili. Per la maggior parte delle imprese la posta in gioco non è più capire il testo, ma tradurne i requisiti in processi interni.
Quando entra in vigore ciascun obbligo
- Febbraio 2025
Pratiche vietate
Punteggio sociale, manipolazione cognitiva, biometria di massa in tempo reale — vietate.
- Agosto 2025
Obblighi GPAI (modelli di base)
Trasparenza, diritto d’autore, documentazione tecnica per i fornitori di LLM.
- Agosto 2026
Alto rischio (allegato III)
Sistema di gestione dei rischi, qualità dei dati, supervisione umana, registrazione.
- Agosto 2027
Alto rischio allegato I
Prodotti soggetti alle direttive settoriali (sanità, macchine…) — termine prolungato.
I 4 livelli da conoscere
Livello
Inaccettabile
Punteggio sociale, manipolazione comportamentale, biometria in tempo reale a fini di profilazione. Severamente vietato.
Livello
Alto rischio
Risorse umane, istruzione, sanità, infrastrutture critiche, giustizia, servizi essenziali. Dossier di conformità impegnativo.
Livello
Rischio limitato
Chatbot, deepfake, IA generative. Obbligo principale: trasparenza (informare l’utente).
Livello
Rischio minimo
Filtri antispam, IA nei videogiochi. Solo obblighi volontari.
Che cosa produrre concretamente
Per un sistema ad alto rischio, l’AI Act impone un dossier di conformità opponibile. Gli elementi attesi:
Sistema di gestione dei rischi
Identificazione, valutazione e mitigazione dei rischi lungo tutto il ciclo di vita.
Qualità dei dati
Pertinenza, rappresentatività, assenza di errori e di distorsioni documentate. Test obbligatori.
Documentazione tecnica
Descrizione del sistema, scelte progettuali, prestazioni, limiti — versione per versione.
Registrazione automatica
Log degli eventi tracciabili, conservati abbastanza a lungo da consentire un audit.
Supervisione umana
L’essere umano deve poter interpretare, ignorare o ribaltare una decisione dell’IA. Nessuna automazione al 100 %.
Robustezza, precisione, cibersicurezza
Test documentati, livello di precisione dichiarato, piano di risposta agli incidenti.
Informazione dell’utente finale
Indicazione chiara che si sta interagendo con un’IA. Trasparenza sui contenuti generati (deepfake, immagini, testo).
Newsletter
Ricevi le analisi sull’IA, una volta al mese
Approfondimenti come questo, senza hype e senza spam.
La scala delle sanzioni
| Infrazione | Sanzione max. |
|---|---|
| Pratiche vietate | 35 M€ o 7 % del fatturato |
| Violazioni sui sistemi ad alto rischio | 15 M€ o 3 % del fatturato |
| Informazioni errate alle autorità | 7,5 M€ o 1,5 % del fatturato |
Le sanzioni sono modulate in base alla dimensione dell’impresa — con un tetto più basso per PMI e start-up.
Un piano realistico in 6 tappe
- 1
Inventario
Mappare tutti i sistemi di IA utilizzati o sviluppati. Senza inventario non è possibile alcuna classificazione.
- 2
Classificazione
Per ciascun sistema, determinare il livello di rischio e il ruolo (fornitore / utilizzatore).
- 3
Gap analysis
Confrontare i requisiti applicabili con il livello reale di documentazione e di controllo.
- 4
Piano d’azione prioritizzato
Trattare prima l’alto rischio e le pratiche vietate. Il resto: per fasi.
- 5
Governance
Designare un referente IA (spesso collegato al DPO o alla funzione compliance). Definire un comitato IA.
- 6
Monitoraggio
Cruscotto, revisioni periodiche, integrazione nel ciclo di vita del prodotto. È un processo, non una tappa isolata.
«La trappola è trattare l’AI Act come un progetto una tantum. È un sistema di gestione — esattamente come la sicurezza o il GDPR.»
Strumenti e governance consigliati
📋Registro dei sistemi di IA
Inventario centrale con livello di rischio, responsabile e dossier di conformità associato.
🔎Strumenti di audit e lineage
Tracciare i dati di addestramento e gli output (Credo AI, Holistic AI…).
⚖️Contrattuale
Clausole per i fornitori (DPA esteso all’IA), responsabilità di utilizzatore e fornitore.
🛡️Barriere tecniche
Filtri anti prompt injection, monitoraggio degli output, registrazione.
Domande frequenti
L’AI Act si applica alla mia impresa se ho sede fuori dall’UE? +
Sì, non appena offrite un sistema di IA utilizzato nell’UE o i cui output vi sono impiegati. Il regolamento ha una portata extraterritoriale analoga a quella del GDPR.
Il mio uso interno di ChatGPT ricade nell’AI Act? +
Se lo utilizzate così com’è (utilizzatore), gli obblighi sono limitati: informare gli utenti, trasparenza sui contenuti generati, rispetto delle pratiche vietate. Se lo riaddestrate o lo commercializzate modificato, diventate fornitori e gli obblighi si appesantiscono.
Che cos’è un uso ad «alto rischio»? +
Elenco tassativo nell’allegato III: risorse umane (selezione dei CV, valutazione), istruzione (valutazione), sanità (diagnosi), applicazione della legge, servizi essenziali (credito, assicurazioni), infrastrutture critiche. Rientrarvi impone un dossier di conformità completo.
Quali obblighi per i modelli GPAI (general-purpose AI)? +
Documentazione tecnica, trasparenza sul corpus di addestramento (sintesi pubblica), rispetto del diritto d’autore, sicurezza dei modelli con rischio sistemico. Obblighi rafforzati oltre i 10^25 FLOPs di addestramento.
Quanto si rischia in caso di non conformità? +
Fino a 35 M€ o al 7 % del fatturato mondiale per le pratiche vietate. 15 M€ o il 3 % del fatturato per le altre infrazioni. Sanzioni calibrate sulla dimensione dell’impresa.
Da leggere anche
⚠️ Trasparenza: alcuni link possono essere affiliati. Nessun impatto sulle nostre valutazioni né sui prezzi.