Al via l'applicazione dell'EU AI Act: checklist di conformità

L’AI Act entra in vigore

L’EU AI Act, il primo quadro giuridico completo al mondo sull’intelligenza artificiale, è passato dalla fase legislativa a quella dell’applicazione, per tappe. Il divieto delle pratiche di IA proibite e l’obbligo di alfabetizzazione in materia di IA si applicano dal 2 febbraio 2025. Gli obblighi per i fornitori di modelli di IA per finalità generali sono seguiti il 2 agosto 2025 e dal 2 agosto 2026 la Commissione può farli rispettare con sanzioni; dalla stessa data si applicano anche gli obblighi di trasparenza per chatbot e contenuti generati dall’IA. Le regole fondamentali sull’alto rischio sono state invece rinviate: il Digital Omnibus sull’IA, in vigore dal 27 luglio 2026, ha spostato gli obblighi per i sistemi ad alto rischio autonomi dell’allegato III (come selezione del personale o valutazione del merito creditizio) dal 2 agosto 2026 al 2 dicembre 2027, e quelli per l’IA integrata in prodotti soggetti alla normativa UE sulla sicurezza al 2 agosto 2028.

Non si tratta di politica astratta. Se la tua azienda usa l’IA per decisioni di assunzione, valutazione del merito creditizio, diagnostica medica o qualsiasi sistema che incida sui diritti e sulla sicurezza delle persone, l’AI Act si applica direttamente alle tue attività.

Comprendere i livelli di rischio

L’AI Act classifica i sistemi di IA in quattro categorie di rischio, ciascuna con requisiti normativi diversi:

Rischio inaccettabile (vietato): sistemi di IA per il social scoring da parte delle autorità pubbliche, identificazione biometrica in tempo reale negli spazi pubblici (con limitate eccezioni per le forze dell’ordine), manipolazione di gruppi vulnerabili e riconoscimento delle emozioni sul luogo di lavoro e nelle scuole. Questi sistemi sono vietati in modo assoluto.

Rischio alto: IA utilizzata in infrastrutture critiche, istruzione, occupazione, servizi essenziali, attività di contrasto, migrazione e giustizia. Questi sistemi devono essere sottoposti a valutazioni di conformità, mantenere sistemi di gestione del rischio, garantire la qualità dei dati, fornire trasparenza agli utenti e consentire la sorveglianza umana.

Rischio limitato: sistemi come chatbot e generatori di deepfake, che devono rispettare obblighi di trasparenza: gli utenti devono essere informati che stanno interagendo con un’IA o visualizzando contenuti generati dall’IA.

Rischio minimo: la maggior parte delle applicazioni di IA, come filtri antispam, IA nei videogiochi e gestione dell’inventario, non è soggetta a requisiti normativi aggiuntivi.

La tua checklist di conformità

Per le aziende che forniscono o impiegano sistemi di IA ad alto rischio, ecco cosa deve essere in atto (per i sistemi autonomi dell’allegato III questi obblighi si applicano dal 2 dicembre 2027: tempo per prepararsi, non per aspettare):

1. Inventario dei sistemi di IA: documenta ogni sistema di IA che la tua organizzazione usa o impiega, classificandolo per livello di rischio. Non puoi rispettare regole che non sai di dover applicare.

2. Sistema di gestione del rischio: istituisci un processo continuo di gestione del rischio che identifichi, analizzi e mitighi i rischi lungo l’intero ciclo di vita del sistema di IA.

3. Governance dei dati: assicurati che i set di dati di addestramento, convalida e test siano pertinenti, rappresentativi e il più possibile privi di distorsioni. Documenta la provenienza dei dati e i metodi di preparazione.

4. Documentazione tecnica: conserva registri dettagliati della progettazione del sistema, della metodologia di sviluppo, delle procedure di addestramento e delle metriche di prestazione, prima che il sistema sia immesso sul mercato.

5. Trasparenza e informazioni per gli utenti: fornisci istruzioni chiare ai deployer, comprese la finalità prevista del sistema, il livello di accuratezza, i limiti noti e le misure di sorveglianza umana.

6. Meccanismi di sorveglianza umana: progetta i sistemi in modo che le persone possano supervisionarne efficacemente il funzionamento, interpretarne gli output e intervenire o arrestare il sistema quando necessario.

7. Accuratezza, robustezza e cybersicurezza: dimostra che i sistemi funzionano in modo coerente e sono resilienti a errori, guasti e attacchi avversari.

8. Valutazione della conformità: la maggior parte dei sistemi ad alto rischio dell’allegato III, tra cui infrastrutture critiche, occupazione, istruzione e valutazione del merito creditizio, segue un controllo interno (autovalutazione) da parte del fornitore. La valutazione da parte di un organismo notificato è obbligatoria per i sistemi biometrici quando le norme armonizzate non sono state applicate (integralmente) e per l’IA integrata in prodotti che richiedono già una valutazione di terza parte in base alla normativa settoriale, come i dispositivi medici.

Sanzioni per la non conformità

Gli strumenti sanzionatori dell’AI Act sono consistenti. Le violazioni relative alle pratiche di IA vietate comportano sanzioni fino a 35 milioni di euro o al 7% del fatturato annuo globale, se superiore. La mancata conformità ai requisiti per l’alto rischio può comportare sanzioni fino a 15 milioni di euro o al 3% del fatturato. Fornire informazioni inesatte alle autorità comporta sanzioni fino a 7,5 milioni di euro o all’1% del fatturato.

Per PMI e startup le sanzioni sono limitate a soglie proporzionalmente più basse, e sono disponibili sandbox normative per testare sistemi di IA innovativi in condizioni controllate prima della piena immissione sul mercato.

Il divario transatlantico

Il contrasto con gli Stati Uniti non potrebbe essere più netto. Nel 2026 gli USA non hanno ancora una legislazione federale sull’IA. Ordini esecutivi sono stati emanati e revocati da un’amministrazione all’altra, lasciando un mosaico di impegni volontari e proposte a livello statale. Le aziende americane che operano in Europa devono comunque rispettare l’AI Act, il che crea uno standard globale di fatto, proprio come è successo con il GDPR per la protezione dei dati.

Per le imprese europee, l’AI Act non è solo un onere di conformità. È un quadro competitivo che rafforza la fiducia del pubblico nei sistemi di IA, crea condizioni di parità rispetto a concorrenti poco regolamentati e fa dell’UE il punto di riferimento globale per una governance responsabile dell’IA. Le aziende che raggiungono presto la conformità si troveranno in vantaggio quando le altre giurisdizioni seguiranno inevitabilmente l’esempio dell’Europa.