Il regolamento europeo sull’intelligenza artificiale è pienamente applicabile dal 2 agosto 2026. Ecco le regole sui diversi livelli di rischio, gli obblighi per aziende e fornitori, la trasparenza dell’AI generativa e le sanzioni.
L’intelligenza artificiale è ormai entrata nei processi produttivi, negli uffici, nella comunicazione, nel marketing, nel customer care e nelle attività quotidiane di milioni di persone. Ma con la diffusione dell’AI cresce anche la necessità di stabilire regole chiare per garantirne un utilizzo sicuro, trasparente e rispettoso dei diritti fondamentali.
È questo l’obiettivo dell’AI Act, il regolamento dell’Unione europea che rappresenta il primo grande quadro normativo organico dedicato all’intelligenza artificiale.
Il regolamento europeo 2024/1689 è entrato in vigore il 1° agosto 2024 e viene applicato progressivamente. Il 2 agosto 2026 è arrivata la piena applicabilità generale, anche se alcune disposizioni seguono calendari specifici. Le pratiche di AI vietate e gli obblighi di alfabetizzazione sull’intelligenza artificiale sono applicabili dal 2 febbraio 2025, mentre le disposizioni sulla governance e sui modelli di AI per finalità generali, i cosiddetti GPAI, sono applicabili dal 2 agosto 2025.
Per aziende, pubbliche amministrazioni, professionisti e fornitori di tecnologie, l’AI Act non è quindi soltanto una norma da conoscere: è un nuovo elemento da integrare nei processi di gestione del rischio, nella compliance, nella formazione delle persone e nelle strategie di innovazione.
Che cos’è l’AI Act
L’AI Act è il regolamento europeo che stabilisce un quadro comune per lo sviluppo, l’immissione sul mercato e l’utilizzo dei sistemi di intelligenza artificiale nell’Unione europea.
Il principio fondamentale è semplice: non tutte le applicazioni dell’intelligenza artificiale presentano gli stessi rischi e, quindi, non devono essere sottoposte alle stesse regole.
La normativa adotta infatti un approccio basato sul rischio. Più un sistema può incidere sulla sicurezza, sulla salute, sui diritti fondamentali o sulla vita delle persone, maggiori sono gli obblighi previsti.
L’AI Act distingue sostanzialmente quattro livelli:
- rischio inaccettabile;
- rischio elevato;
- rischio di trasparenza;
- rischio minimo o nullo.
La maggior parte delle applicazioni di AI utilizzate quotidianamente rientra nella categoria a rischio minimo o nullo e non è soggetta a nuovi obblighi specifici previsti dall’AI Act.
Il principio del rischio
Il modello europeo si differenzia da un approccio che vieterebbe o autorizzerebbe l’intelligenza artificiale nel suo complesso.
L’Unione europea ha scelto invece di chiedersi che cosa fa un sistema di AI, in quale contesto viene utilizzato e quali conseguenze può avere sulle persone.
Una soluzione utilizzata per filtrare lo spam, per esempio, non ha lo stesso impatto di un sistema che contribuisce a decidere se una persona possa ottenere un posto di lavoro, un finanziamento o accedere a determinati servizi.
Da questa differenza deriva la struttura dell’AI Act.
AI vietata: cosa non si può fare
Al livello più alto ci sono le pratiche considerate incompatibili con i valori e i diritti fondamentali dell’Unione europea.
Sono vietati determinati utilizzi dell’intelligenza artificiale considerati inaccettabili, tra cui alcune forme di manipolazione del comportamento, sfruttamento delle vulnerabilità delle persone e sistemi di classificazione sociale.
La normativa interviene inoltre su particolari pratiche biometriche e su altri utilizzi ritenuti particolarmente invasivi.
Per imprese e organizzazioni il primo passo, quindi, non è chiedersi soltanto “quale AI possiamo utilizzare?”, ma anche “quale utilizzo dell’AI non possiamo fare?”.
I sistemi di AI ad alto rischio
Il secondo grande livello è quello dei sistemi ad alto rischio.
Sono applicazioni che possono avere conseguenze rilevanti sulla salute, sulla sicurezza o sui diritti fondamentali delle persone.
Rientrano in questo ambito, a seconda delle caratteristiche e delle finalità del sistema, applicazioni legate a settori come:
- occupazione e selezione del personale;
- istruzione e formazione;
- infrastrutture critiche;
- accesso a servizi essenziali;
- alcuni sistemi biometrici;
- attività di contrasto alla criminalità;
- migrazione, asilo e controllo delle frontiere;
- amministrazione della giustizia.
Per i sistemi ad alto rischio il regolamento impone requisiti molto più stringenti.
Tra questi ci sono la gestione e mitigazione dei rischi, la qualità dei dati, la documentazione tecnica, la registrazione delle attività, la tracciabilità, l’informazione agli utilizzatori, la supervisione umana e requisiti elevati di accuratezza, robustezza e cybersicurezza.
L’obiettivo è evitare che una decisione prodotta o supportata da un algoritmo diventi una sorta di “scatola nera” impossibile da comprendere e controllare.
Il ruolo della supervisione umana
Uno dei principi più importanti dell’AI Act è quello della human oversight, cioè della supervisione umana.
Nei sistemi ad alto rischio le persone devono poter comprendere e controllare adeguatamente il funzionamento del sistema, intervenire quando necessario e, nei casi previsti, ignorare, annullare o modificare il risultato prodotto dall’AI.
Per le organizzazioni questo significa che introdurre un sistema di intelligenza artificiale non equivale automaticamente a delegargli una decisione.
La responsabilità dei processi deve essere chiaramente attribuita e devono essere definiti ruoli, procedure e controlli.
AI generativa: ChatGPT e i sistemi GPAI
Un capitolo particolarmente importante riguarda i modelli di AI per finalità generali, o GPAI, cioè tecnologie capaci di svolgere un’ampia varietà di compiti e utilizzabili all’interno di molte applicazioni.
È il mondo dei grandi modelli generativi utilizzati per produrre testi, immagini, audio, video, codice e altri contenuti.
Le regole per i modelli GPAI sono diventate applicabili dal 2 agosto 2025. Per i fornitori, gli obblighi possono comprendere documentazione tecnica, informazioni destinate ai fornitori che integrano il modello nei propri sistemi e una politica per rispettare la normativa europea sul diritto d’autore. Per i modelli GPAI classificati con rischio sistemico sono previsti requisiti aggiuntivi.
Questo aspetto è particolarmente importante per le aziende che sviluppano, integrano o commercializzano prodotti basati su modelli generativi.
Dal 2 agosto 2026 scattano le nuove regole sulla trasparenza
Uno dei cambiamenti più immediatamente visibili riguarda la trasparenza.
Dal 2 agosto 2026 si applica l’articolo 50 dell’AI Act, che introduce obblighi specifici per determinati sistemi di AI, compresi quelli interattivi e generativi.
La logica è quella di consentire alle persone di capire quando stanno interagendo con una macchina oppure quando sono esposte a contenuti generati o manipolati dall’intelligenza artificiale.
I fornitori devono progettare determinati sistemi in modo da informare esplicitamente gli utenti quando interagiscono direttamente con un sistema di AI.
Per i contenuti generati o manipolati dall’intelligenza artificiale sono inoltre previste tecniche che consentano la loro identificazione, attraverso marcature leggibili dalle macchine.
Deepfake e contenuti generati dall’AI
Il tema della trasparenza diventa particolarmente importante per i deepfake, cioè contenuti audio, immagini o video generati o manipolati dall’intelligenza artificiale che possono rappresentare persone, eventi o situazioni in modo artificiale ma estremamente realistico.
Quando un contenuto costituisce un deepfake, l’AI Act prevede specifici obblighi di informazione.
Regole di trasparenza riguardano inoltre determinati contenuti generati o manipolati dall’AI destinati a informare il pubblico su questioni di interesse pubblico quando non sono stati sottoposti a revisione umana o controllo editoriale.
È un passaggio particolarmente significativo per il mondo dell’informazione, della comunicazione, del marketing e dei social media.
AI e comunicazione: cosa cambia per aziende e agenzie
Per chi lavora nella comunicazione digitale il tema è centrale.
L’intelligenza artificiale può essere utilizzata per scrivere testi, creare immagini, generare video, sintetizzare documenti, produrre campagne pubblicitarie, analizzare dati e supportare attività creative.
Ma l’adozione di questi strumenti rende sempre più importante stabilire chi è responsabile del contenuto finale, quali controlli vengono effettuati e quando sia necessario rendere esplicito l’utilizzo dell’AI.
Non significa che ogni testo scritto con l’aiuto di un chatbot debba automaticamente essere accompagnato da una specifica etichetta. Gli obblighi dell’articolo 50 dipendono dal tipo di sistema, dal contenuto, dal suo utilizzo e dalle condizioni previste dalla normativa.
La regola generale, però, è destinata a diventare sempre più importante: non utilizzare l’AI per creare un rapporto ingannevole con il pubblico.
Riconoscimento delle emozioni e dati biometrici
Un’altra area interessata dalle regole sulla trasparenza riguarda i sistemi di riconoscimento delle emozioni e di categorizzazione biometrica.
Quando le persone vengono esposte a questi strumenti nei casi previsti dall’AI Act, devono essere informate.
La questione è particolarmente delicata perché l’utilizzo dell’AI può riguardare caratteristiche personali, identità, comportamenti e informazioni potenzialmente molto sensibili.
Per le aziende che adottano queste tecnologie è quindi fondamentale valutare non soltanto le prestazioni del sistema, ma anche quali dati vengono utilizzati, per quale finalità e con quali conseguenze.
L’AI Act non riguarda soltanto chi sviluppa AI
Uno degli aspetti più importanti da comprendere è che l’AI Act non interessa esclusivamente le società che sviluppano algoritmi o modelli di intelligenza artificiale.
Il regolamento distingue tra diversi soggetti, tra cui provider, cioè fornitori di sistemi o modelli di AI, e deployer, cioè soggetti che utilizzano sistemi di AI sotto la propria responsabilità.
Di conseguenza, anche un’impresa che non sviluppa direttamente tecnologia può essere interessata dalla normativa se utilizza l’intelligenza artificiale nei propri processi.
Un’azienda che impiega un sistema di AI per la selezione dei candidati, per esempio, deve chiedersi quale sia la classificazione del sistema, quali obblighi si applichino e quali procedure di controllo siano necessarie.
AI literacy: la formazione diventa un requisito
L’AI Act introduce anche il concetto di AI literacy, cioè alfabetizzazione in materia di intelligenza artificiale.
Dal 2 febbraio 2025 sono applicabili gli obblighi relativi all’AI literacy. Le organizzazioni che utilizzano sistemi di AI devono adottare misure per garantire, per quanto necessario, un livello sufficiente di competenze alle persone che utilizzano o gestiscono questi sistemi.
È una novità molto importante per le imprese.
La formazione sull’intelligenza artificiale non dovrebbe essere considerata soltanto come un corso tecnico per specialisti. Serve a comprendere i limiti dei sistemi, riconoscere possibili errori, interpretare correttamente gli output e utilizzare l’AI in modo responsabile.
Per un’organizzazione, quindi, la governance dell’AI passa anche dalle competenze delle persone.
Cosa deve fare un’azienda
Per una piccola o media impresa che utilizza strumenti di AI, un primo percorso di adeguamento può partire da alcuni passaggi fondamentali.
1. Mappare l’utilizzo dell’AI
Bisogna innanzitutto capire quali strumenti di intelligenza artificiale vengono utilizzati all’interno dell’organizzazione.
Non soltanto quelli acquistati centralmente dall’azienda, ma anche quelli utilizzati autonomamente dai dipendenti.
2. Individuare i casi d’uso
Non è sufficiente sapere che un’organizzazione utilizza l’AI. Occorre capire per quale attività.
Scrivere una bozza di comunicato stampa, analizzare un documento, selezionare candidati, valutare il merito creditizio o prendere decisioni che riguardano persone sono attività molto diverse tra loro.
3. Classificare i rischi
Per ogni caso d’uso bisogna verificare quale sia la categoria di rischio prevista dall’AI Act e quali obblighi ne derivino.
4. Definire responsabilità e controlli
È necessario stabilire chi può utilizzare determinati strumenti, con quali finalità, quali dati può inserire e chi deve verificare il risultato.
5. Formare le persone
I dipendenti devono conoscere opportunità e limiti degli strumenti di AI utilizzati nel proprio lavoro.
6. Proteggere dati e informazioni aziendali
Prima di inserire informazioni riservate in un sistema di AI generativa occorre verificare come vengono trattati i dati, quali condizioni contrattuali si applicano e quali garanzie offre il fornitore.
7. Verificare la trasparenza
Quando si producono contenuti con l’intelligenza artificiale, soprattutto immagini, audio, video e contenuti destinati al pubblico, bisogna verificare se si applicano gli obblighi di trasparenza previsti dall’AI Act.
AI Act e privacy non sono la stessa cosa
Un altro punto importante è che l’AI Act non sostituisce il GDPR.
Le due normative operano su piani differenti ma possono riguardare contemporaneamente lo stesso processo.
Il GDPR tutela le persone rispetto al trattamento dei dati personali, mentre l’AI Act disciplina i sistemi di intelligenza artificiale secondo un approccio basato sul rischio.
Un progetto aziendale che utilizza AI e dati personali può quindi richiedere contemporaneamente una valutazione sotto il profilo della normativa sull’intelligenza artificiale e una verifica rispetto alla disciplina sulla protezione dei dati.
Per le imprese questo significa evitare l’errore di considerare la conformità all’AI Act come una sorta di sostituto della compliance privacy.
Le sanzioni
L’AI Act prevede sanzioni significative.
Per alcune violazioni le multe possono arrivare fino a 35 milioni di euro o al 7% del fatturato mondiale annuo dell’esercizio precedente, mentre per altre categorie di infrazioni possono arrivare fino a 15 milioni di euro o al 3% del fatturato mondiale.
Sono previste regole di proporzionalità specifiche per PMI e piccole imprese a media capitalizzazione. Per le violazioni degli obblighi di trasparenza dell’articolo 50, la Commissione indica multe fino a 15 milioni di euro o al 3% del fatturato mondiale totale dell’esercizio precedente.
Il sistema sanzionatorio è quindi un ulteriore elemento che rende la governance dell’intelligenza artificiale una questione strategica per le imprese.
Il calendario dell’AI Act
Il percorso di applicazione del regolamento è progressivo.
1 agosto 2024: entra in vigore l’AI Act.
2 febbraio 2025: diventano applicabili le disposizioni sulle pratiche di AI vietate e gli obblighi di AI literacy.
2 agosto 2025: entrano in applicazione le regole sulla governance e gli obblighi per i modelli GPAI.
2 agosto 2026: arriva la piena applicabilità generale del regolamento e diventano applicabili, tra gli altri, gli obblighi di trasparenza dell’articolo 50.
2 dicembre 2027: secondo l’attuale calendario, diventano applicabili le regole per determinati sistemi ad alto rischio in settori come biometria, infrastrutture critiche, istruzione, occupazione, migrazione, asilo e controllo delle frontiere.
2 agosto 2028: si applicano le regole per i sistemi ad alto rischio integrati in determinati prodotti regolamentati.
Il calendario è particolarmente importante per le aziende perché significa che la conformità non può essere affrontata come un unico adempimento da svolgere in una sola volta.
L’AI Act come occasione per una nuova governance digitale
L’AI Act può essere percepito dalle imprese esclusivamente come un nuovo insieme di obblighi burocratici. Sarebbe però una lettura riduttiva.
La diffusione dell’intelligenza artificiale sta modificando profondamente i processi organizzativi. Per questo la normativa europea può diventare anche l’occasione per costruire una governance dell’AI capace di rendere più consapevole l’innovazione.
Un’organizzazione dovrebbe sapere quali sistemi utilizza, quali dati vengono trattati, quali decisioni vengono supportate dall’intelligenza artificiale, quali rischi esistono e chi è responsabile del controllo.
Questa mappatura può contribuire anche a migliorare la sicurezza informatica, la gestione dei dati, la qualità dei processi e la capacità delle persone di utilizzare correttamente le nuove tecnologie.
Dalla compliance alla fiducia
Il vero obiettivo dell’AI Act va quindi oltre la semplice regolamentazione.
L’Unione europea sta cercando di costruire un modello nel quale l’intelligenza artificiale possa essere utilizzata senza trasformarsi in una tecnologia opaca, incontrollabile o potenzialmente lesiva dei diritti.
Per le imprese la sfida è trasformare questo principio in pratiche concrete: conoscere gli strumenti, classificare i rischi, formare le persone, proteggere i dati, controllare i risultati e garantire trasparenza quando richiesta.
L’intelligenza artificiale continuerà a evolversi rapidamente. L’AI Act prova a costruire intorno a questa trasformazione un quadro di regole capace di tenere insieme innovazione, competitività e tutela delle persone.
Per aziende e professionisti, il momento giusto per occuparsi di AI governance non è quando arriverà una verifica o una sanzione. È adesso: l’intelligenza artificiale è già parte dei processi aziendali e la conformità deve diventare parte della strategia digitale.
Per Novajo.it, questo articolo può essere ulteriormente valorizzato con un box finale “AI Act: checklist per le aziende” e una tabella “obbligo / chi riguarda / da quando / cosa fare”, così da trasformarlo da articolo informativo in una vera guida operativa per imprese e professionisti.
Vuoi utilizzare l’IA in azienda ? Novajo può aiutarti. Contattaci per saperne di più
