Calendario

Le scadenze dell'EU AI Act

L'EU AI Act non si applica tutto in una volta, ma per fasi ben definite. Due obblighi importanti sono già in vigore, e la prossima grande scadenza si avvicina più di quanto molti pensino.

La timeline dell'EU AI Act

Il legislatore europeo ha scelto un'entrata in vigore graduale per l'EU AI Act, una decisione deliberata per consentire alle aziende di adeguarsi. Chi però aspetta che tutte le scadenze siano passate ha già aspettato troppo. La timeline seguente mostra quali obblighi si applicano e da quando:

1° agosto 2024: L'EU AI Act (Regolamento (UE) 2024/1689) entra in vigore ed è direttamente applicabile in tutti gli Stati membri come regolamento UE, senza necessità di recepimento nazionale. Iniziano a decorrere i periodi transitori per la maggior parte degli obblighi.
2 febbraio 2025: Le pratiche di IA vietate ai sensi dell'articolo 5 sono proibite da subito. Contemporaneamente si applica l'obbligo di competenza in IA ai sensi dell'articolo 4: le aziende devono garantire che tutte le persone che utilizzano l'IA professionalmente dispongano di conoscenze adeguate in materia di IA.
2 agosto 2025: Entrano in vigore gli obblighi per i modelli di IA per finalità generali (GPAI, General Purpose AI). In parallelo si attiva la struttura di governance: l'Ufficio IA dell'UE, le autorità nazionali di vigilanza del mercato e le norme sulle sanzioni diventano applicabili.
2 agosto 2026: La maggior parte delle disposizioni per i sistemi di IA ad alto rischio diventa efficace. Questa è la data centrale per le aziende che utilizzano o sviluppano IA in settori sensibili come la selezione del personale, la concessione di credito o le infrastrutture critiche.
2 agosto 2027: Scadono gli ultimi periodi transitori, per determinati sistemi di IA ad alto rischio utilizzati come componenti di sicurezza in prodotti già regolamentati (p. es. dispositivi medici, macchinari).

Cosa è già in vigore?

Quando l'EU AI Act è entrato in vigore il 1° agosto 2024, gli orologi hanno cominciato a girare. Dal 2 febbraio 2025 valgono i primi obblighi stringenti, e riguardano praticamente ogni azienda che utilizza l'IA professionalmente.

Pratiche vietate (art. 5): Alcune applicazioni di IA sono completamente proibite da allora. Rientrano in questa categoria i sistemi di manipolazione delle persone a loro insaputa, il social scoring da parte di autorità pubbliche e il riconoscimento biometrico di massa in tempo reale negli spazi pubblici senza controllo. Chi gestisce o sviluppa tali sistemi agisce illegalmente dal febbraio 2025.

Obbligo di competenza in IA (art. 4): In parallelo si applica l'articolo 4, che impone a fornitori e gestori di garantire che tutte le persone impiegate dispongano di un livello adeguato di conoscenze sull'IA. Quest'obbligo si rivolge espressamente anche ai gestori, cioè alle aziende che utilizzano prodotti IA già pronti come chatbot, strumenti di analisi o software di recruitment basati sull'IA, senza svilupparli in proprio. La grande maggioranza di tutte le aziende rientra esattamente in questa categoria.

L'obbligo di competenza in IA ai sensi dell'art. 4 è in vigore dal 2 febbraio 2025, indipendentemente dalle dimensioni aziendali e dalla classe di rischio dell'IA utilizzata. Chi non ha ancora formato i propri dipendenti dovrebbe farlo ora. La prova di una formazione documentata è il principale strumento di compliance.

Cosa succede dopo?

La prossima grande scadenza è il 2 agosto 2026. Da questa data le norme centrali dell'EU AI Act per i sistemi di IA ad alto rischio diventano pienamente applicabili, e con esse le relative fattispecie sanzionatorie. Le aziende che entro allora non saranno in grado di presentare prove di compliance solide rischiano sanzioni significative.

Cosa si considera ad alto rischio? L'EU AI Act definisce nell'Allegato III settori applicativi concreti: IA nella selezione e nella gestione del personale, in istituti di istruzione e formazione professionale, nella concessione di credito, nelle infrastrutture critiche e nell'attività di polizia giudiziaria. Anche i sistemi di IA che preparano o influenzano decisioni relative all'accesso a servizi pubblici o privati essenziali possono essere classificati come ad alto rischio.

Per i sistemi ad alto rischio, da agosto 2026 saranno obbligatori tra l'altro: un sistema di gestione dei rischi documentato, documentazione tecnica, supervisione umana, un sistema di gestione della qualità, e la prova di adeguata competenza in IA delle persone impiegate. L'approccio basato sul rischio e le quattro classi di rischio sono illustrati nella nostra pagina Panoramica sull'EU AI Act.

Sanzioni già applicabili: Le norme sulle sanzioni dell'EU AI Act sono applicabili dal 2 agosto 2025. Le violazioni delle pratiche vietate comportano sanzioni fino a 35 mio. € o il 7 % del fatturato mondiale annuo. Le violazioni dell'obbligo di competenza in IA e di altri obblighi dei gestori possono essere sanzionate con fino a 15 mio. € o il 3 %. Tutti i dettagli nella pagina Sanzioni.

Cosa devono fare le aziende e quando

Subito: Creare un inventario dell'IA, dove utilizza la vostra azienda sistemi di IA e quale classe di rischio si applica a tali applicazioni?
Subito (se non ancora fatto): Organizzare formazioni sulla competenza in IA per tutti i dipendenti che utilizzano l'IA professionalmente e documentare la partecipazione in modo verificabile, le autorità possono richiedere le prove.
Entro agosto 2026: Per l'IA ad alto rischio, verificare e garantire che gestione dei rischi, documentazione tecnica e supervisione umana siano istituiti e dimostrabili in conformità ai requisiti dell'EU AI Act.
Continuativamente: Verificare la classe di rischio e gli eventuali obblighi di trasparenza dei nuovi strumenti di IA e dei modelli GPAI al momento della loro introduzione, prima che vengano messi in uso produttivo.
Continuativamente: Conservare in modo sicuro le prove di formazione e aggiornarle regolarmente, l'IA si evolve rapidamente e la legge richiede conoscenze aggiornate.

Domande frequenti sulle scadenze

L'obbligo di competenza in IA è già in vigore ma cosa significa esattamente?

L'articolo 4 dell'EU AI Act obbliga fornitori e gestori a garantire che tutte le persone che utilizzano o supervisionano l'IA dispongano di conoscenze adeguate in materia. La legge definisce il contenuto esatto in modo tecnologicamente neutro, non si tratta di insegnare a tutti i dipendenti a programmare. Si tratta di far capire loro come funzionano i sistemi utilizzati, quali rischi comportano e quando è necessario l'intervento umano. Una formazione strutturata sull'EU AI Act è il modo più diretto per adempiere a quest'obbligo e documentarlo. Maggiori dettagli nella pagina Art. 4, Obbligo di competenza in IA.

Usiamo solo strumenti di IA semplici riguarda davvero anche noi?

Sì. L'obbligo di competenza in IA ai sensi dell'articolo 4 si applica indipendentemente dal fatto che un'azienda sviluppi o "semplicemente" utilizzi l'IA. Chi usa professionalmente un chatbot IA, uno strumento di traduzione basato sull'IA o un software di analisi automatizzata è un gestore ai sensi dell'EU AI Act e quindi soggetto agli obblighi. La classe di rischio dell'IA utilizzata determina la portata degli ulteriori obblighi, ma l'obbligo di competenza vale per tutti. Ulteriori risposte nella nostra pagina FAQ.

Forma il team ora Scopri l'obbligo di competenza in IA

Questa panoramica si basa sul calendario ufficiale di applicazione del Regolamento (UE) 2024/1689 e non sostituisce una consulenza legale.