L'EU AI Act in breve

Di cosa si occupa l'EU AI Act?

L'EU AI Act è entrato in vigore il 1° agosto 2024 e si applica come regolamento UE direttamente in tutti gli Stati membri, senza necessità di una legge nazionale di recepimento. L'obiettivo è un uso dell'IA affidabile, sicuro e rispettoso dei diritti fondamentali nel mercato unico europeo. Il regolamento segue un approccio basato sul rischio: maggiore è il rischio di un sistema di IA per le persone e la società, più rigide sono le prescrizioni.

Importante: l'EU AI Act ha effetto extraterritoriale. Anche i fornitori al di fuori dell'UE vi rientrano non appena i loro sistemi di IA vengono immessi sul mercato UE o i loro risultati vengono utilizzati nell'UE. Gli obblighi non scattano tutti insieme, ma per fasi, un calendario completo è disponibile nella nostra pagina delle scadenze.

L'approccio basato sul rischio: le quattro classi

Il nucleo dell'EU AI Act è la suddivisione dei sistemi di IA in quattro classi di rischio. Dalla classe dipendono gli obblighi concreti:

La maggior parte delle aziende utilizza l'IA nell'ambito del rischio minimo o limitato. Tuttavia, anche in questi casi vige un obbligo fondamentale, indipendente dalla classe di rischio: la competenza in IA dei dipendenti.

GPAI: modelli per finalità generali

Un ruolo speciale spetta ai modelli GPAI (General Purpose AI), modelli di IA grandi e versatili, come quelli alla base dei moderni chatbot e dei generatori di testo o immagini. Per essi vigono, dal 2 agosto 2025, obblighi propri, ad esempio in materia di documentazione tecnica, trasparenza nei confronti dei fornitori a valle e rispetto del diritto d'autore. Per i modelli particolarmente potenti con possibili rischi sistemici si aggiungono requisiti supplementari.

Chi è interessato? Fornitori, deployer e altri

L'EU AI Act distingue diversi ruoli — con obblighi di portata differente:

• Fornitori (provider): sviluppano sistemi di IA o li immettono sul mercato sotto il proprio nome. Hanno gli obblighi più estesi.
• Deployer: utilizzano l'IA nell'ambito della propria attività professionale, è il caso della maggior parte delle aziende.
• Importatori e distributori: importano o distribuiscono sistemi di IA nel mercato UE e devono verificarne la conformità.

Fondamentale: anche chi usa l'IA «soltanto», cioè chi agisce da deployer, ha obblighi, in particolare riguardo alla competenza in IA dei dipendenti. L'equivoco «noi non sviluppiamo IA, quindi non ci riguarda» è uno degli errori più frequenti.

Quali obblighi si applicano e da quando?

L'EU AI Act entra in vigore per gradi. Le date più importanti in sintesi:

• 1° agosto 2024: il regolamento entra in vigore.
• 2 febbraio 2025: le pratiche vietate (art. 5) e l'obbligo di competenza in IA (art. 4) sono applicabili.
• 2 agosto 2025: scattano gli obblighi per i modelli GPAI, la struttura di governance e le disposizioni sulle sanzioni.
• 2 agosto 2026: la maggior parte delle disposizioni per i sistemi di IA ad alto rischio diventa applicabile.
• 2 agosto 2027: scadono gli ultimi periodi transitori per determinati sistemi ad alto rischio.

Tutti i dettagli e le eccezioni sono illustrati nella pagina delle scadenze.

EU AI Act e GDPR: non si escludono a vicenda

L'EU AI Act non sostituisce il Regolamento generale sulla protezione dei dati, entrambi si applicano in parallelo. Mentre il GDPR disciplina il trattamento dei dati personali, l'EU AI Act si occupa del sistema di IA in quanto tale e dei suoi rischi. Quando un'applicazione di IA tratta dati personali, le aziende devono rispettare entrambi i regimi contemporaneamente. Una solida competenza in IA aiuta i dipendenti a riconoscere esattamente queste intersezioni nella vita quotidiana.

Sanzioni per le violazioni

Le violazioni dell'EU AI Act possono comportare sanzioni significative. Il regolamento le articola in base alla gravità:

• Fino a 35 milioni di € o il 7 % del fatturato annuo mondiale, solo per le pratiche vietate ai sensi dell'articolo 5.
• Fino a 15 milioni di € o il 3 %, per violazioni di altri obblighi, come l'obbligo di competenza in IA ai sensi dell'art. 4.
• Fino a 7,5 milioni di € o l'1,5 %, per informazioni false o fuorvianti fornite alle autorità.

Per le piccole e medie imprese e le start-up si applica il valore inferiore dei due come massimale. Ulteriori dettagli nella pagina sanzioni.

Cosa significa in pratica per la vostra azienda?

• Fate un inventario di dove viene utilizzata l'IA nella vostra azienda.
• Assicuratevi che i dipendenti abbiano una competenza in IA sufficiente ai sensi dell'articolo 4.
• Seguite una formazione sull'EU AI Act e documentate le formazioni in modo verificabile, come prova nei confronti delle autorità.
• Tenete d'occhio le scadenze dell'EU AI Act, in particolare il 2 agosto 2026, data in cui le norme per molti sistemi di IA ad alto rischio diventano applicabili.

Domande frequenti sull'EU AI Act

L'EU AI Act si applica anche alle piccole aziende?

Sì. L'obbligo di competenza in IA ai sensi dell'articolo 4 si applica indipendentemente dalle dimensioni aziendali a chiunque utilizzi l'IA professionalmente. Le sanzioni per le PMI sono tuttavia proporzionalmente inferiori.

Devo registrare i miei sistemi di IA da qualche parte?

L'obbligo di registrazione riguarda principalmente determinati sistemi ad alto rischio. Se si utilizza l'IA solo nell'ambito del rischio minimo o limitato, ciò che conta è la competenza in IA dei propri dipendenti. Ulteriori risposte si trovano nella nostra pagina FAQ.

Forma il tuo team Vedi le sanzioni

Nota: questa panoramica è a scopo informativo e non costituisce consulenza legale.