AI Act europeo: cosa devono sapere le aziende che usano l'intelligenza artificiale

Il Regolamento (UE) 2024/1689, noto come AI Act, regola lo sviluppo, la commercializzazione e l'uso dei sistemi di intelligenza artificiale con un approccio basato sul rischio. Per una piccola o media azienda che usa un assistente AI, un chatbot sul sito o un software con funzioni AI, la domanda utile non è «siamo soggetti all'AI Act?», perché quasi sempre sì, ma «a quale livello di rischio appartiene quello che facciamo?». Da questa risposta dipende quasi tutto.

Il quadro, al novembre 2026, è questo: i divieti e l'obbligo di alfabetizzazione sull'AI si applicano dal 2 febbraio 2025, le regole sui modelli di uso generale dal 2 agosto 2025, gli obblighi di trasparenza dal 2 agosto 2026. Le regole più pesanti, quelle sui sistemi ad alto rischio, sono state rinviate da un regolamento di modifica (il cosiddetto «Digital Omnibus on AI»), entrato in vigore il 27 luglio 2026. Questo articolo è un quadro generale e non sostituisce la consulenza di un legale.

Le quattro fasce di rischio

Il regolamento distingue quattro livelli, e la maggior parte degli usi aziendali sta nei due più bassi.

• Rischio inaccettabile (pratiche vietate): nove pratiche, tra cui il punteggio sociale e la raccolta indiscriminata di volti da internet per costruire archivi di riconoscimento facciale. Il divieto sui contenuti sessuali non consensuali generati con l'AI è stato aggiunto dalla modifica del 2026 e ha un periodo transitorio fino al 2 dicembre 2026.
• Alto rischio: sistemi usati in ambiti elencati dal regolamento, come selezione e valutazione del personale, accesso all'istruzione, valutazione del merito di credito, infrastrutture critiche, biometria. Richiedono gestione del rischio, qualità dei dati, registri, documentazione e supervisione umana.
• Rischio di trasparenza: chatbot, contenuti generati o manipolati (immagini, audio, video, deepfake), testi diffusi per informare il pubblico su temi di interesse pubblico. Qui l'obbligo è dichiarare che c'è l'AI.
• Rischio minimo: filtri antispam, correzione automatica, funzioni AI nei videogiochi. Nessun obbligo specifico.

Un modello linguistico non è «ad alto rischio» per sua natura. Lo stesso modello può servire a riassumere un verbale (rischio minimo) o a ordinare i curriculum dei candidati (alto rischio): conta la finalità d'uso, non il prodotto.

Fornitore o utilizzatore: quale ruolo ha la tua azienda

Il regolamento distingue il fornitore (provider), che sviluppa un sistema o lo mette sul mercato col proprio nome, dall'utilizzatore (deployer), che lo impiega nella propria attività. Chi compra un servizio AI e lo usa in azienda è, di norma, utilizzatore. Gli obblighi più estesi gravano sul fornitore.

Il ruolo però può cambiare. Secondo l'articolo 25, un utilizzatore è trattato come fornitore di un sistema ad alto rischio se ci mette il proprio marchio, se lo modifica in modo sostanziale, oppure se cambia la finalità di un sistema non ad alto rischio (compresi quelli di uso generale) in modo che lo diventi. Un esempio concreto: un'azienda configura un assistente generico per classificare i candidati in base ai curriculum. Non sta più «usando uno strumento»: ha dato a quel sistema una finalità che rientra nell'alto rischio, con le conseguenze del caso.

Cosa devi fare già oggi

Alcuni obblighi non aspettano il 2027.

1. Alfabetizzazione (articolo 4): dal 2 febbraio 2025 fornitori e utilizzatori devono adottare misure per sostenere la competenza del personale che usa l'AI, proporzionate a ruolo, esperienza e contesto. Non c'è un corso obbligatorio standard: serve poter dimostrare che chi usa questi strumenti ne conosce limiti e regole interne.
2. Verifica dei divieti: controlla che nessuno strumento in uso rientri nelle pratiche vietate, per esempio sistemi di riconoscimento delle emozioni sul luogo di lavoro non giustificati da ragioni mediche o di sicurezza.
3. Trasparenza (articolo 50, dal 2 agosto 2026): chi mette in linea un chatbot deve far capire che si parla con una macchina, salvo sia ovvio; chi pubblica immagini, audio o video generati o manipolati che sembrano autentici deve dichiararlo. Per i testi vale per quelli pubblicati per informare il pubblico su temi di interesse pubblico, a meno che un responsabile editoriale li abbia verificati.
4. Censimento: elenca quali strumenti AI sono in uso, per quale scopo, chi li usa e quali dati ricevono. È il documento da cui parte qualsiasi valutazione successiva.

L'alto rischio: che cosa è cambiato nelle date

Le regole sui sistemi ad alto rischio dell'allegato III (personale, istruzione, credito, biometria e altri ambiti) dovevano applicarsi dal 2 agosto 2026. Il regolamento di modifica le ha spostate al 2 dicembre 2027; per l'AI incorporata in prodotti già regolati (allegato I, per esempio ascensori o giocattoli) la data è il 2 agosto 2028. È un rinvio, non un'abrogazione: l'impianto e le fasce di rischio restano gli stessi.

Per chi usa un sistema ad alto rischio, l'articolo 26 prevede, tra l'altro, di usarlo secondo le istruzioni del fornitore, di affidare la supervisione umana a persone competenti, di conservare i registri generati per almeno sei mesi e di informare i lavoratori prima di introdurlo sul posto di lavoro. Le date possono ancora essere precisate da atti successivi: prima di ogni decisione controlla lo stato aggiornato sul sito della Commissione europea.

AI Act e GDPR vanno insieme

L'AI Act non sostituisce la disciplina sulla protezione dei dati. Un'applicazione AI che tratta dati personali deve rispettare anche il GDPR: base giuridica, informativa, minimizzazione, eventuali valutazioni d'impatto. Chi carica documenti con dati di clienti o dipendenti in un servizio AI esterno deve sapere dove finiscono quei dati e se vengono riutilizzati per addestrare i modelli. Sul piano della sicurezza informatica il discorso si intreccia con altri obblighi: se ti interessa, leggi anche NIS2: obblighi di cybersicurezza per le aziende.

In Italia la legge 23 settembre 2025, n. 132 ha designato AgID e ACN come autorità nazionali competenti per l'AI. Le sanzioni europee, per ricordarne l'ordine di grandezza, arrivano fino a 35 milioni di euro o al 7% del fatturato mondiale per le pratiche vietate e fino a 15 milioni o al 3% per gli altri obblighi, compresa la trasparenza; per le PMI si applica il valore più basso tra importo e percentuale.

Un primo passo concreto

Prepara una pagina con tre colonne: strumento AI, scopo d'uso, dati trattati. Poi segna accanto a ogni riga la fascia di rischio e chi ne risponde in azienda. Se una riga tocca selezione del personale, credito o decisioni che riguardano persone, fermati e fai valutare il caso a un consulente legale prima di andare avanti.

Se stai introducendo un assistente AI, un sistema che interroga i documenti o un'automazione, possiamo aiutarti a progettarlo in modo che ruolo, dati e controlli siano chiari fin dall'inizio: parti dalla richiesta guidata per un progetto AI. Trovi il quadro dei nostri sistemi AI per le aziende nella pagina dedicata. Per il testo ufficiale del regolamento, consulta EUR-Lex; per il calendario aggiornato, la pagina della Commissione europea sul quadro normativo.