AI Act europeo in pratica: cosa cambia davvero per le aziende italiane

Il 1° agosto 2024 è entrato in vigore il Regolamento (UE) 2024/1689 — meglio noto come AI Act. È la prima legge al mondo che regolamenta l'intelligenza artificiale in modo orizzontale, e si applica a chiunque sviluppi, distribuisca o utilizzi sistemi AI all'interno del mercato europeo. L'Italia è ovviamente inclusa.

Come spesso accade con la normativa europea, c'è stato un primo momento di panico (e di convegni), seguito da mesi di silenzio in cui «tanto c'è tempo». Quella finestra si sta chiudendo. Le date di applicazione scattano in fasi, la prima delle quali è già passata. È il momento di capire cosa serve davvero fare — senza allarmismi, ma senza rimandare.

La struttura del regolamento: rischio, non proibizione universale

Il punto di partenza dell'AI Act è un approccio basato sul rischio: non tutti i sistemi AI sono trattati allo stesso modo. Il regolamento divide i sistemi in quattro categorie.

Rischio inaccettabile — vietati. Sistemi di social scoring generalizzato, manipolazione subliminale, alcune forme di biometric identification in spazi pubblici in tempo reale. Questi sono vietati tout court, con pochissime eccezioni per le forze dell'ordine soggette ad autorizzazione giudiziaria.

Alto rischio — obblighi stringenti. Questa è la categoria più rilevante per le aziende. Rientrano qui i sistemi usati in:

• infrastrutture critiche (energia, acqua, trasporti)
• istruzione e formazione professionale
• occupazione e gestione delle risorse umane (screening CV, valutazione performance)
• accesso a servizi essenziali (credito, assicurazioni, prestazioni sociali)
• contrasto alla criminalità e giustizia
• gestione delle frontiere
• dispositivi medici e medicali

Rischio limitato — obblighi di trasparenza. Chatbot, deepfake, sistemi che generano contenuti sintetici. L'utente deve essere informato che sta interagendo con una macchina o con contenuto generato dall'AI.

Rischio minimo — nessun obbligo specifico. La grande maggioranza dei sistemi AI rientra qui: filtri antispam, motori di raccomandazione, AI nei videogiochi, strumenti di produttività. Non ci sono obblighi specifici, anche se le buone pratiche restano raccomandate.

Le date che contano

L'AI Act ha una struttura di applicazione progressiva. Ecco le scadenze principali:

• Febbraio 2025: divieto dei sistemi a rischio inaccettabile.
• Agosto 2025: obblighi per i modelli AI a uso generale (General Purpose AI — GPAI), inclusi i grandi modelli linguistici come GPT, Claude, Gemini. I fornitori di questi modelli devono fornire documentazione tecnica, rispettare la normativa sul copyright, e — per i modelli con impatto sistemico — sottoporsi a valutazioni di sicurezza.
• Agosto 2026: piena applicazione degli obblighi per i sistemi ad alto rischio.
• Agosto 2027: ulteriore estensione ad alcuni sistemi ad alto rischio già regolamentati da altra normativa settoriale.

Se la tua azienda usa, compra o sviluppa sistemi AI nell'HR, nel credito, nella salute o in altri settori ad alto rischio, agosto 2026 non è lontano.

Cosa devono fare concretamente le aziende

Se sei un fornitore di sistemi AI ad alto rischio

Gli obblighi sono pesanti. Devi:

1. Implementare un sistema di gestione del rischio documentato e aggiornato lungo l'intero ciclo di vita del sistema.
2. Garantire la qualità dei dati di addestramento: i dataset devono essere rappresentativi, privi di errori rilevanti, protetti da bias inappropriati.
3. Tenere documentazione tecnica completa — architettura, dati usati, metodologie di validazione, metriche di performance.
4. Garantire log e tracciabilità delle operazioni automatizzate ad alto impatto.
5. Assicurare supervisione umana: il sistema deve essere progettato in modo che una persona qualificata possa comprenderne l'output, intervenire e, se necessario, fermarlo.
6. Registrare il sistema nel database EU prima della messa in commercio.
7. Apporre il marchio CE e redigere una dichiarazione di conformità.

Se sei un deployer (utilizzi sistemi AI di terzi)

Anche chi compra e usa sistemi AI di fornitori terzi ha obblighi. I principali:

• Usare il sistema secondo le istruzioni del fornitore.
• Garantire supervisione umana adeguata al contesto.
• Monitorare il funzionamento nel tempo e segnalare incidenti gravi all'autorità di vigilanza.
• Informare i dipendenti quando vengono monitorati o valutati da sistemi AI.
• Condurre una valutazione d'impatto sui diritti fondamentali per i sistemi ad alto rischio usati nel settore pubblico o in certi contesti privati.

Se usi modelli General Purpose AI (GPAI)

Se integri API di grandi modelli linguistici (GPT-4, Claude, Gemini, ecc.) nelle tue applicazioni, sei un deployer di GPAI. I fornitori di questi modelli hanno obblighi propri verso i propri clienti aziendali (documentazione, trasparenza sulle capacità e limitazioni). Tu, come deployer, sei responsabile dell'uso che ne fai — incluso il rispetto delle norme di trasparenza verso gli utenti finali.

I rischi concreti di non conformità

Le sanzioni sono significative:

• Violazioni dei divieti (sistemi vietati): fino a 35 milioni di euro o il 7% del fatturato mondiale annuo.
• Violazioni degli obblighi per sistemi ad alto rischio o GPAI: fino a 15 milioni o il 3% del fatturato.
• Informazioni false alle autorità: fino a 7,5 milioni o l'1,5% del fatturato.

Per le PMI, le sanzioni sono parametrate in modo più favorevole — ma la soglia non è zero, e il danno reputazionale può essere più pesante della multa.

Cosa fare adesso: un approccio pratico

Non serve partire dall'assunto che ogni sistema AI che usi sia ad alto rischio. Il percorso utile è questo:

1. Inventario. Mappa tutti i sistemi AI che usi, acquisti o sviluppi — inclusi strumenti di produttività, chatbot interni, sistemi di analisi. Molti non lo fanno perché «l'AI è ovunque» è diventata una frase vuota; paradossalmente, nessuno ha la lista.

2. Classificazione del rischio. Per ogni sistema, identifica la categoria di rischio secondo il regolamento. La Commissione Europea e le autorità nazionali stanno pubblicando linee guida operative — usale.

3. Priorità sui sistemi ad alto rischio. Se ne trovi, inizia subito il percorso di conformità: nomina un referente, avvia la documentazione tecnica, verifica i requisiti del fornitore.

4. Trasparenza verso gli utenti. Per chatbot e contenuti AI-generated, implementa le notifiche obbligatorie. È il requisito più semplice da soddisfare e quello con la visibilità più alta verso i clienti.

5. Formazione interna. Le persone che prendono decisioni supportate da AI devono capire i limiti del sistema. La supervisione umana non funziona se chi supervisiona non sa cosa sta guardando.

Il quadro italiano

In Italia, l'autorità di vigilanza designata è l'Agenzia per l'Italia Digitale (AgID) in coordinamento con altre autorità di settore (Garante Privacy, AGCM, AGCOM). Il panorama è ancora in evoluzione, con la nomina definitiva dell'autorità nazionale market surveillance ancora in corso al momento della scrittura.

Il Garante per la protezione dei dati personali resta rilevante: i sistemi AI ad alto rischio che trattano dati personali sono soggetti sia all'AI Act sia al GDPR, e le due normative si integrano (la valutazione d'impatto sull'AI può essere condotta insieme alla DPIA del GDPR).

Conclusione

L'AI Act non è una minaccia esistenziale per chi usa l'AI in modo ragionevole. È però un framework normativo serio, con scadenze reali e sanzioni reali. Le aziende che avranno fatto il lavoro di mappatura e classificazione nei prossimi mesi si troveranno in una posizione molto più solida di quelle che aspettano agosto 2026 per iniziare.

In MAST seguiamo questa evoluzione da vicino — sia per i nostri sistemi interni sia per i progetti che accompagniamo. Se stai costruendo qualcosa che potrebbe ricadere nelle categorie ad alto rischio, o se vuoi capire dove si posiziona la tua operatività rispetto al regolamento, è una conversazione che vale la pena fare adesso.