L’intelligenza artificiale è ormai entrata nella vita quotidiana di imprese, professionisti e cittadini. Viene utilizzata per creare testi e immagini, analizzare documenti, selezionare candidati, assistere i clienti, concedere finanziamenti, prevenire frodi, automatizzare processi produttivi e supportare decisioni sempre più complesse.
Di fronte a una diffusione così rapida, l’Unione Europea ha scelto di introdurre un quadro normativo comune. È nato così l’AI Act, il Regolamento europeo sull’intelligenza artificiale, formalmente identificato come Regolamento UE 2024/1689.
La normativa è entrata in vigore il 1° agosto 2024, ma la sua applicazione è stata organizzata in più fasi. Dal 2 agosto 2026 è diventata applicabile una parte molto rilevante delle disposizioni, comprese le regole sulla trasparenza dei sistemi di intelligenza artificiale. Alcuni obblighi, in particolare quelli relativi ai sistemi ad alto rischio, seguiranno invece scadenze successive, modificate dall’AI Omnibus entrato in vigore il 27 luglio 2026.
Che cos’è l’AI Act
L’AI Act è il regolamento con cui l’Unione Europea disciplina lo sviluppo, la commercializzazione e l’utilizzo dei sistemi di intelligenza artificiale nel mercato europeo.
L’obiettivo non è vietare l’intelligenza artificiale, ma creare condizioni che permettano di utilizzarla tutelando contemporaneamente la sicurezza, i diritti fondamentali, la trasparenza e la libertà delle persone.
Il regolamento segue un principio centrale: più elevato è il rischio generato da un sistema di intelligenza artificiale, più rigorosi sono gli obblighi previsti.
Non tutte le applicazioni di AI vengono quindi trattate allo stesso modo. Un filtro antispam, un software che suggerisce una playlist musicale e un sistema utilizzato per selezionare candidati a un posto di lavoro possono avere conseguenze molto diverse. Per questa ragione, il legislatore europeo ha costruito una classificazione basata sul livello di rischio.
A chi si applica il regolamento europeo sull’intelligenza artificiale
L’AI Act non riguarda esclusivamente le grandi società tecnologiche che sviluppano modelli di intelligenza artificiale. Può coinvolgere anche aziende, pubbliche amministrazioni, software house, professionisti e organizzazioni che utilizzano sistemi di AI nello svolgimento delle proprie attività.
La normativa distingue principalmente tra il fornitore del sistema e il deployer, cioè il soggetto che utilizza il sistema sotto la propria autorità nell’ambito di un’attività professionale o organizzativa.
Un’impresa che sviluppa e vende un software basato sull’intelligenza artificiale può essere considerata un fornitore. Un’azienda che acquista quel software e lo usa, ad esempio, per analizzare curriculum, valutare clienti o gestire un assistente virtuale può invece assumere il ruolo di deployer.
La qualificazione precisa dipende tuttavia dal ruolo effettivamente svolto. Personalizzare in modo significativo un sistema, modificarne la finalità o commercializzarlo con il proprio nome può comportare responsabilità diverse rispetto al semplice utilizzo di un servizio standard.
Il regolamento può inoltre interessare soggetti stabiliti al di fuori dell’Unione Europea quando i loro sistemi vengono immessi sul mercato europeo oppure producono effetti su persone che si trovano nell’UE.
La classificazione dei sistemi in base al rischio
Il modello europeo prevede quattro livelli principali: rischio inaccettabile, rischio elevato, rischio legato alla trasparenza e rischio minimo o nullo.
Sistemi di intelligenza artificiale vietati
Alcuni utilizzi dell’intelligenza artificiale vengono considerati incompatibili con i valori e i diritti tutelati dall’Unione Europea. Questi sistemi rientrano nella categoria del rischio inaccettabile e sono vietati.
Le prime pratiche proibite sono diventate applicabili il 2 febbraio 2025. Le limitazioni riguardano, tra gli altri casi, determinate forme di manipolazione delle persone, sfruttamento delle vulnerabilità, valutazione sociale e utilizzi particolarmente invasivi della biometria.
L’AI Omnibus del 2026 ha inoltre aggiunto il divieto di sistemi destinati a generare contenuti sessualmente espliciti o intimi non consensuali e materiale relativo ad abusi sessuali sui minori, comprese alcune applicazioni comunemente definite di “nudificazione”.
Sistemi ad alto rischio
Una seconda categoria comprende i sistemi di AI che possono incidere in modo significativo sulla sicurezza, sulla salute, sull’accesso ai servizi o sui diritti fondamentali delle persone.
Possono rientrare in questa area, a seconda delle caratteristiche e dell’impiego concreto, sistemi utilizzati nella selezione del personale, nell’istruzione, nella gestione di infrastrutture critiche, nell’accesso a servizi essenziali, nel controllo delle frontiere e in alcuni ambiti biometrici.
Per questi sistemi sono previsti obblighi particolarmente articolati, come la gestione dei rischi, il controllo della qualità dei dati, la documentazione tecnica, la registrazione delle operazioni, la supervisione umana, la sicurezza informatica e il monitoraggio dopo la commercializzazione.
Le relative scadenze sono state recentemente prorogate. In seguito all’AI Omnibus, le regole per i sistemi utilizzati nelle aree ad alto rischio elencate nell’Allegato III si applicheranno dal 2 dicembre 2027. Per i sistemi di AI integrati in prodotti regolamentati, come alcuni macchinari, ascensori o giocattoli, la nuova scadenza è il 2 agosto 2028.
Sistemi soggetti a obblighi di trasparenza
Una parte importante dell’AI Act riguarda i sistemi che possono indurre una persona a credere di interagire con un essere umano oppure che possono generare o manipolare contenuti difficili da distinguere da quelli autentici.
Le regole di trasparenza previste dall’articolo 50 sono applicabili dal 2 agosto 2026. La normativa comprende, tra gli altri casi, i sistemi interattivi, l’intelligenza artificiale generativa, i deepfake, gli strumenti di riconoscimento delle emozioni e alcuni sistemi di categorizzazione biometrica.
Sistemi a rischio minimo o nullo
La maggior parte delle applicazioni oggi utilizzate nell’Unione Europea rientra, secondo la Commissione, nella categoria del rischio minimo o nullo.
Ne sono esempi i filtri antispam e alcune funzionalità di intelligenza artificiale presenti nei videogiochi. In questi casi, l’AI Act non introduce normalmente un insieme specifico di obblighi, salvo che il sistema ricada in altre disposizioni per le sue caratteristiche o per il modo in cui viene utilizzato.
Obblighi di trasparenza per chatbot e contenuti generati dall’AI
Dal 2 agosto 2026, chi mette a disposizione determinati sistemi interattivi deve fare in modo che le persone siano informate quando stanno interagendo direttamente con un’intelligenza artificiale, salvo che ciò risulti già evidente dalle circostanze.
Questo principio interessa, ad esempio, chatbot, assistenti virtuali e altri strumenti che comunicano direttamente con gli utenti. L’obiettivo è evitare che una persona possa scambiare il sistema per un operatore umano e prendere decisioni sulla base di una percezione errata.
I fornitori di sistemi che generano o manipolano immagini, audio, video o testi devono inoltre adottare soluzioni tecniche che permettano di rilevare la natura artificiale del contenuto. L’AI Act richiede quindi, nei casi previsti, marcature leggibili dalle macchine.
Chi utilizza sistemi di intelligenza artificiale per creare o modificare deepfake deve rendere riconoscibile la natura artificiale o manipolata del contenuto. Specifici obblighi riguardano anche la pubblicazione di testi generati o manipolati dall’AI destinati a informare il pubblico su questioni di interesse generale, soprattutto quando manca una revisione umana o una responsabilità editoriale effettiva.
Non significa, tuttavia, che ogni testo scritto con l’aiuto di un assistente AI debba essere automaticamente accompagnato dalla stessa identica dichiarazione. L’applicazione dipende dalla tipologia di contenuto, dalla finalità, dal ruolo del soggetto che lo pubblica e dall’eventuale presenza di controllo umano ed editoriale.
Che cosa cambia per aziende e professionisti
Per molte imprese, il primo passo non consiste nell’acquistare nuovi software o predisporre documenti estremamente complessi. È necessario innanzitutto capire dove e come viene utilizzata l’intelligenza artificiale.
Un’azienda può utilizzare sistemi di AI senza averne una visione complessiva: nei programmi di marketing, nei servizi di assistenza clienti, nei software per le risorse umane, negli strumenti di analisi, nei sistemi antifrode, nella produzione di contenuti o nelle piattaforme fornite da soggetti esterni.
Diventa quindi utile predisporre un inventario interno degli strumenti adottati, indicando la loro finalità, i dati trattati, il fornitore, gli utenti autorizzati e l’eventuale impatto sulle persone.
Successivamente occorre verificare il ruolo dell’organizzazione e il livello di rischio del sistema. Un generatore di testi utilizzato per creare una prima bozza di una comunicazione commerciale presenta implicazioni diverse rispetto a un software che attribuisce automaticamente un punteggio a un candidato, a un lavoratore o a una richiesta di finanziamento.
Le aziende dovrebbero inoltre aggiornare procedure interne, informative, contratti con i fornitori e modalità di controllo umano. Particolare attenzione va riservata agli strumenti che producono decisioni o raccomandazioni con effetti rilevanti sulle persone.
AI literacy: la formazione di chi utilizza l’intelligenza artificiale
L’AI Act attribuisce un ruolo importante anche alla cosiddetta AI literacy, cioè alla capacità di comprendere caratteristiche, limiti, rischi e modalità corrette di utilizzo dei sistemi di intelligenza artificiale.
L’articolo 4 è applicabile dal 2 febbraio 2025 ed è stato successivamente modificato dall’AI Omnibus. Fornitori e utilizzatori professionali devono adottare misure a sostegno delle competenze del personale e delle altre persone che utilizzano sistemi di AI per loro conto.
Non viene imposto un unico corso obbligatorio o uno specifico livello identico per tutte le aziende. La formazione deve essere proporzionata alle conoscenze, all’esperienza, al ruolo delle persone coinvolte e al contesto in cui il sistema viene utilizzato.
Un dipendente che impiega un assistente AI per rielaborare testi avrà esigenze formative diverse rispetto a chi utilizza un sistema che analizza dati finanziari, sanitari, biometrici o relativi ai lavoratori.
La formazione dovrebbe permettere almeno di riconoscere errori, allucinazioni, risultati discriminatori, problemi di riservatezza, rischi relativi al diritto d’autore e situazioni nelle quali è necessario il controllo di una persona competente.
I modelli di intelligenza artificiale per finalità generali
L’AI Act disciplina anche i modelli di intelligenza artificiale per finalità generali, spesso indicati con la sigla GPAI. Si tratta di modelli capaci di svolgere numerose attività e utilizzabili come base per servizi e applicazioni differenti.
Gli obblighi per i fornitori di questi modelli sono diventati applicabili il 2 agosto 2025. Comprendono disposizioni sulla documentazione, sulla trasparenza, sul rispetto del diritto d’autore e sulla pubblicazione di informazioni relative ai dati utilizzati per l’addestramento.
Per i modelli che possono generare rischi sistemici sono previste misure ulteriori, come valutazioni, test, gestione dei rischi, segnalazione degli incidenti e protezione informatica. Dal 2 agosto 2026, l’AI Office europeo dispone di poteri di supervisione ed enforcement nei confronti dei fornitori sottoposti alla sua competenza.
Controlli, responsabilità e possibili sanzioni
L’applicazione dell’AI Act è affidata alla Commissione europea, attraverso l’AI Office, e alle autorità nazionali competenti. Dal 2 agosto 2026 queste autorità possono svolgere attività di vigilanza e applicazione delle disposizioni già operative.
Il sistema sanzionatorio è graduato in base alla gravità della violazione, alla dimensione dell’impresa, alla collaborazione con le autorità e alle circostanze concrete.
Per le violazioni più gravi, in particolare quelle relative alle pratiche vietate, il regolamento originario prevede sanzioni che possono raggiungere importi molto elevati, calcolati anche in percentuale sul fatturato mondiale annuo dell’impresa.
Non tutte le irregolarità portano automaticamente alla sanzione massima. Il principio europeo richiede misure effettive, proporzionate e dissuasive, tenendo conto anche delle esigenze delle piccole e medie imprese.
Come prepararsi all’applicazione dell’AI Act
Per affrontare correttamente la nuova disciplina, imprese e professionisti dovrebbero evitare due errori opposti: considerare l’AI Act un problema esclusivo delle grandi aziende tecnologiche oppure trasformare ogni utilizzo dell’intelligenza artificiale in un adempimento eccessivamente complesso.
La soluzione più efficace è adottare un approccio proporzionato. Occorre censire gli strumenti utilizzati, identificare i processi più sensibili, verificare le condizioni contrattuali dei fornitori e stabilire chi è responsabile del controllo dei risultati.
È inoltre opportuno documentare le attività formative, definire regole sull’inserimento di dati personali o riservati nei sistemi generativi e prevedere una supervisione umana adeguata quando l’AI contribuisce a decisioni rilevanti.
Per chatbot, deepfake e contenuti sintetici bisogna verificare gli obblighi di informazione, marcatura e dichiarazione previsti dall’articolo 50. Per i sistemi che possono rientrare tra quelli ad alto rischio è invece necessario seguire con attenzione le nuove scadenze del 2 dicembre 2027 e del 2 agosto 2028.
Un nuovo quadro per utilizzare l’AI in modo consapevole
L’AI Act rappresenta un cambiamento importante nel rapporto tra tecnologia, imprese e cittadini. L’Unione Europea non ha scelto di bloccare l’innovazione, ma di differenziare gli obblighi in base ai rischi reali prodotti dai sistemi.
Per le aziende, il messaggio principale è chiaro: utilizzare l’intelligenza artificiale non è di per sé vietato, ma richiede maggiore consapevolezza. È necessario conoscere gli strumenti adottati, comprendere come vengono utilizzati, formare il personale e informare correttamente le persone quando la trasparenza è essenziale.
Il 2 agosto 2026 non rappresenta quindi un unico punto di arrivo. È una tappa centrale di un percorso normativo che continuerà nei prossimi anni, con l’applicazione progressiva degli obblighi per i sistemi ad alto rischio e con la pubblicazione di nuove indicazioni tecniche da parte delle istituzioni europee.
Le informazioni contenute nell’articolo hanno finalità divulgativa e sono aggiornate al 3 agosto 2026. La classificazione di uno specifico sistema di intelligenza artificiale e l’individuazione degli obblighi applicabili richiedono una valutazione del caso concreto.
