Cos'è l'EU AI Act
Il Regolamento UE 2024/1689 (EU AI Act) è il primo quadro normativo al mondo dedicato specificamente all'intelligenza artificiale. Entrato in vigore il 1° agosto 2024, classifica i sistemi AI in base al livello di rischio che comportano per le persone e impone obblighi crescenti — dalla semplice trasparenza fino al divieto assoluto — con sanzioni che possono arrivare al 7% del fatturato globale annuo.
Non riguarda solo chi sviluppa intelligenza artificiale: riguarda anche le aziende italiane che si limitano a usare strumenti AI di terzi, come ChatGPT, Copilot o un chatbot integrato nel proprio gestionale.
Chi è obbligato: provider e deployer
Il Regolamento distingue due ruoli principali:
- Provider — chi sviluppa un sistema AI e lo immette sul mercato con il proprio nome o marchio. Obblighi più estesi: gestione del rischio, documentazione tecnica, registrazione.
- Deployer — chi utilizza un sistema AI nella propria attività, anche senza averlo sviluppato. Obblighi su supervisione umana, trasparenza verso i dipendenti e tenuta di un registro degli usi in essere.
La maggior parte delle PMI italiane rientra proprio in questa seconda categoria — e sottovaluta gli obblighi, pensando che il Regolamento riguardi solo chi "fa" intelligenza artificiale.
Le scadenze
| Data | Cosa scatta |
|---|---|
| 2 feb 2025 | Divieto delle pratiche AI a rischio inaccettabile |
| 2 ago 2025 | Obblighi di governance e per i modelli GPAI (general-purpose) |
| 2 ago 2026 | Obblighi sui sistemi ad alto rischio (Allegato III) e piena efficacia del regime sanzionatorio |
| 2 ago 2027 | Obblighi sui sistemi ad alto rischio integrati in prodotti già regolamentati (Allegato I) |
La classificazione del rischio
Il Regolamento divide i sistemi AI in quattro livelli:
- Rischio inaccettabile — vietato. Es. social scoring, manipolazione comportamentale, riconoscimento delle emozioni sul lavoro.
- Rischio alto — consentito con obblighi rafforzati. Es. selezione del personale, valutazione del credito, identificazione biometrica.
- Rischio limitato — obblighi di trasparenza. Es. chatbot che devono dichiararsi tali, contenuti generati o alterati con AI (deepfake).
- Rischio minimo — nessun obbligo specifico. La maggior parte degli strumenti AI in uso oggi rientra qui.
Le sanzioni
| Violazione | Sanzione massima |
|---|---|
| Pratiche vietate (rischio inaccettabile) | 35 milioni € o 7% del fatturato globale |
| Altre violazioni degli obblighi | 15 milioni € o 3% del fatturato globale |
| Informazioni scorrette alle autorità | 7,5 milioni € o 1% del fatturato globale |
Cosa significa "evidenza documentale" di conformità
In caso di ispezione, un'azienda deve poter dimostrare — non solo dichiarare — di avere sotto controllo i sistemi AI in uso. In pratica servono tre cose: un registro di quali strumenti AI sono realmente attivi in azienda (inclusi quelli adottati dai singoli reparti senza passare dall'IT, la cosiddetta Shadow AI), una valutazione del rischio per ciascuno secondo le categorie del Regolamento, e le misure di controllo effettivamente adottate. È esattamente il tipo di evidenza che uno scanner AI di rete come AITERA Brain genera automaticamente, monitorando il traffico uscente 24 ore su 24.
Checklist pratica
- Mappa tutti gli strumenti AI realmente in uso, reparto per reparto — non solo quelli approvati dall'IT.
- Classifica ciascuno strumento per livello di rischio secondo il Regolamento UE 2024/1689.
- Individua un referente interno per la conformità AI, anche non a tempo pieno.
- Forma i team che usano AI sugli obblighi di trasparenza verso colleghi e clienti.
- Documenta le misure adottate: è l'evidenza che ti verrà chiesta in caso di ispezione.
- Ripeti la mappatura periodicamente: gli strumenti AI in uso cambiano più in fretta di quanto pensi.
Domande frequenti
L'EU AI Act si applica anche alle aziende extra-UE?+
Sì. Il Regolamento si applica anche a provider e deployer stabiliti fuori dall'UE, se il sistema AI viene immesso sul mercato europeo o se il suo output è usato nell'UE — lo stesso principio di applicazione extraterritoriale già visto con il GDPR.
Cosa succede se un'azienda non si adegua in tempo?+
Oltre alle sanzioni pecuniarie, fino al 7% del fatturato globale per le violazioni più gravi, le autorità di vigilanza nazionali possono imporre il ritiro dal mercato del sistema AI non conforme o vietarne l'uso — conseguenze operative spesso più costose della sanzione stessa.
Serve un responsabile interno per l'AI Act, come il DPO per il GDPR?+
Il Regolamento non impone una figura equivalente al DPO in modo generalizzato, ma richiede che i deployer di sistemi ad alto rischio garantiscano supervisione umana e formazione adeguata — nella pratica quasi tutte le aziende strutturate individuano un referente interno per la conformità AI.
Il Regolamento riguarda anche i modelli general-purpose (GPAI) come GPT o Gemini?+
Sì, con obblighi specifici a carico dei provider di questi modelli — documentazione tecnica, rispetto del diritto d'autore, valutazione dei rischi sistemici per i modelli più potenti — dal 2 agosto 2025. Chi li utilizza come deployer resta comunque soggetto ai propri obblighi separati.
AITERA Brain
Vuoi la tua evidenza documentale in 30 secondi?
AITERA Brain scansiona il traffico AI in rete e genera automaticamente la documentazione richiesta dal Regolamento UE 2024/1689 — senza far uscire i tuoi dati dall'azienda.
Richiedi una demo gratuitaQuesto contenuto ha scopo informativo e non costituisce consulenza legale. Per una valutazione della conformità della tua azienda, rivolgiti a un legale specializzato in diritto delle nuove tecnologie. Vedi anche il glossario Shadow AI e AI governance.