L’AI Act dell’UE: che cosa significa per il prossimo decennio

L’AI Act dell’UE, il regolamento (UE) 2024/1689, è ampiamente descritto come la prima legge organica che regola l’intelligenza artificiale in base al rischio che un sistema comporta per le persone. Classifica gli usi dell’IA in livelli di rischio, fa ricadere la maggior parte degli obblighi sui fornitori di sistemi ad alto rischio, si applica per fasi dal 2025 al 2028 e vincola qualsiasi fornitore che immetta un sistema sul mercato dell’UE, ovunque abbia sede.

Una legge costruita sul rischio, non sulla tecnologia

Fatta eccezione per i modelli per finalità generali (si veda più avanti), l’AI Act non regola la tecnologia in sé, ma l’uso a cui un sistema è destinato e il danno che quell’uso potrebbe causare. I sistemi sono suddivisi in quattro livelli:

• un breve elenco di pratiche vietate
• un elenco più lungo di usi ad alto rischio
• obblighi di trasparenza per i sistemi che interagiscono con le persone o generano contenuti
• un’ampia categoria residuale soggetta solo a un obbligo di alfabetizzazione all’IA per il personale

Lo stesso modello linguistico è a rischio minimo quando scrive la bozza di una newsletter e diventa parte di un sistema ad alto rischio quando classifica le candidature di lavoro. Il rischio dipende per lo più dalla finalità prevista, non dal codice.

Pratiche vietate e usi ad alto rischio

I divieti originari si applicano dal 2 febbraio 2025. Comprendono il punteggio sociale che porta a un trattamento sfavorevole ingiustificato, le tecniche manipolative che causano danni significativi, lo scraping non mirato di immagini facciali per creare banche dati di riconoscimento, e il riconoscimento delle emozioni sul luogo di lavoro e a scuola al di fuori di usi medici o di sicurezza. L’identificazione biometrica remota in tempo reale in spazi accessibili al pubblico da parte delle forze dell’ordine è vietata, con eccezioni limitate. La modifica del 2026 ha aggiunto altri due divieti, che si applicano dal 2 dicembre 2026: i sistemi di IA che generano o manipolano immagini, video o audio realistici a contenuto intimo o sessualmente esplicito di una persona identificabile senza il suo consenso esplicito, e i sistemi di IA che generano o manipolano materiale pedopornografico. Le violazioni comportano le sanzioni più alte previste dall’AI Act: fino a 35 milioni di euro o al 7 per cento del fatturato mondiale annuo, a seconda di quale importo sia più elevato.

Un sistema può risultare ad alto rischio in due modi. Un componente di sicurezza di un prodotto coperto dalla normativa UE sui prodotti elencata nell’AI Act, come un dispositivo medico o un ascensore, è ad alto rischio se quella normativa richiede una valutazione della conformità da parte di terzi, e segue il percorso di conformità del prodotto. I sistemi a sé stanti utilizzati per le finalità elencate in otto settori sono di norma ad alto rischio:

• biometria
• infrastrutture critiche
• istruzione
• occupazione
• servizi essenziali (comprese la valutazione del merito creditizio e le assicurazioni sulla vita e sanitarie)
• attività di contrasto (forze dell’ordine)
• migrazione, asilo e controllo delle frontiere
• amministrazione della giustizia e processi democratici

La valutazione degli esami e le decisioni sulle prestazioni sociali sono esempi tipici.

Obblighi per fornitori e deployer

Un fornitore sviluppa un sistema e lo commercializza con il proprio nome; un deployer lo utilizza nell’ambito della propria attività professionale. La maggior parte degli obblighi ricade sui fornitori di sistemi ad alto rischio, che devono:

• attuare un processo documentato di gestione dei rischi lungo tutto il ciclo di vita del sistema
• governare i dati di addestramento, convalida e test, compreso l’esame della presenza di bias
• predisporre la documentazione tecnica e integrare la registrazione automatica degli eventi
• progettare il sistema per garantire supervisione umana, accuratezza, robustezza e cybersicurezza
• completare una valutazione della conformità (di solito interna), apporre la marcatura CE e registrare i sistemi a sé stanti nella banca dati dell’UE

I deployer devono seguire le istruzioni per l’uso, affidare la supervisione a persone competenti con l’autorità di intervenire, conservare i log, informare le persone quando un sistema di questo tipo contribuisce a decisioni che le riguardano, e informare i lavoratori e i loro rappresentanti prima di usarne uno sul luogo di lavoro. Gli enti pubblici, gli operatori privati di servizi pubblici e i deployer che usano sistemi ad alto rischio per la valutazione del merito creditizio o per le assicurazioni sulla vita e sanitarie devono prima valutare l’impatto sui diritti fondamentali.

I test sui bias richiedono spesso attributi sensibili, come l’origine etnica o lo stato di salute, che la normativa sulla protezione dei dati limita. Dalla modifica del 2026, l’articolo 4a dell’AI Act consente di trattare tali dati per individuare e correggere i bias, non più soltanto per i sistemi ad alto rischio, con apposite garanzie e solo quando dati sintetici, anonimizzati o di altro tipo non sarebbero sufficienti. Stabilire se lo siano è una questione tecnica, esaminata nel rapporto tecnico della Fondazione sui dati sintetici, anonimizzati e con privacy differenziale per il rilevamento dei bias.

Il calendario e il percorso dell’IA per finalità generali

L’AI Act si applica per fasi:

• 1° agosto 2024: entrata in vigore
• 2 febbraio 2025: i divieti originari e l’obbligo di alfabetizzazione all’IA
• 2 agosto 2025: gli obblighi per i modelli di IA per finalità generali
• 2 agosto 2026: la maggior parte delle altre norme, compresi gli obblighi di trasparenza per i sistemi che interagiscono con le persone o generano contenuti
• 2 dicembre 2026: i due divieti aggiunti nel 2026 e l’obbligo di marcatura dei contenuti generati dall’IA per i sistemi generativi immessi sul mercato prima del 2 agosto 2026
• 2 dicembre 2027: la maggior parte degli obblighi per i sistemi ad alto rischio (in origine 2 agosto 2026)
• 2 agosto 2028: gli obblighi per l’IA ad alto rischio nei prodotti coperti dalla normativa UE sui prodotti (in origine 2 agosto 2027)

Nel novembre 2025 la Commissione europea ha proposto delle modifiche, l’omnibus digitale sull’IA; il Parlamento e il Consiglio le hanno adottate, con emendamenti, come regolamento (UE) 2026/1744, in vigore dal 27 luglio 2026.

I fornitori di modelli per finalità generali, cioè modelli adattabili a molti compiti, devono conservare la documentazione tecnica, informare gli sviluppatori che li integrano nei propri sistemi, adottare una politica sul diritto d’autore e pubblicare una sintesi dei contenuti usati per l’addestramento. Per i modelli con rischio sistemico si aggiungono obblighi di valutazione, attenuazione dei rischi, segnalazione degli incidenti e cybersicurezza. Il Codice di buone pratiche per l’IA per finalità generali, pubblicato nel 2025, offre uno strumento volontario per dimostrare la conformità; l’Ufficio per l’IA dell’UE, all’interno della Commissione, fa rispettare queste regole.

Perché gli effetti vanno oltre l’Europa

Tre meccanismi portano l’AI Act oltre i confini europei. L’ambito di applicazione: vincola qualsiasi fornitore che immetta un sistema sul mercato dell’UE, ovunque abbia sede, e i fornitori e i deployer stabiliti all’estero il cui sistema produce output utilizzati nell’Unione. L’economia: molte aziende preferiscono un’unica versione globale di un prodotto, perciò una regola rigorosa in un grande mercato può diventare lo standard anche altrove, un fenomeno noto come effetto Bruxelles e ampiamente discusso dopo il GDPR. La standardizzazione: le norme europee armonizzate, una volta pubblicati i loro riferimenti nella Gazzetta ufficiale dell’Unione europea, conferiranno una presunzione di conformità ai requisiti per i sistemi ad alto rischio, e le pratiche che codificano possono viaggiare insieme ai prodotti.

All’AI Act si affiancano i Principi dell’OCSE sull’IA, l’AI Risk Management Framework del NIST, la norma ISO/IEC 42001 e la Convenzione quadro del Consiglio d’Europa sull’intelligenza artificiale. Il prossimo decennio mostrerà se questi quadri di riferimento convergeranno su prove tecniche condivise o si frammenteranno in adempimenti burocratici incompatibili.

Cosa osservare e cosa fare adesso

Restano questioni aperte: con quale rapidità arriveranno le norme armonizzate, come saranno interpretate nella pratica le eccezioni alla classificazione ad alto rischio e come il diritto alla spiegazione previsto dall’AI Act interagirà con l’articolo 22 del GDPR.

Qualsiasi scuola, comune, ONG o piccola impresa può iniziare fin da ora elencando i sistemi di IA che utilizza, chiedendosi quali tocchino uno dei settori ad alto rischio elencati, richiedendo la documentazione ai fornitori, indicando chi è responsabile della supervisione e formando il personale, un obbligo che si applica già. Le persone ottengono tutele sancite dalla legge: essere informate quando interagiscono con un sistema di IA, una spiegazione delle decisioni significative basate su un sistema ad alto rischio e la possibilità di presentare un reclamo a un’autorità di vigilanza del mercato. La Fondazione studia le prove tecniche che tali regole richiedono e pubblica i risultati sotto forma di rapporti tecnici e analisi.

In breve

L’AI Act dell’UE, il regolamento (UE) 2024/1689, è considerato la prima legge organica che regola l’IA in base al rischio per le persone. Ordina gli usi dell’IA in livelli di rischio, pone la maggior parte degli obblighi sui fornitori di sistemi ad alto rischio e si applica per fasi dal 2025 al 2028. Vincola ogni fornitore che immetta un sistema sul mercato dell’UE, ovunque abbia sede.

Domande frequenti

Quali sono i livelli di rischio dell’AI Act dell’UE?

L’AI Act dell’UE ripartisce i sistemi in quattro livelli: un breve elenco di pratiche vietate, un elenco più lungo di usi ad alto rischio, obblighi di trasparenza per i sistemi che interagiscono con le persone o generano contenuti, e un’ampia parte restante soggetta soltanto all’obbligo di alfabetizzazione all’IA del personale. Il rischio dipende soprattutto dalla finalità prevista, non dal codice.

Quali pratiche di IA vieta l’AI Act dell’UE?

I divieti originari, in vigore dal 2 febbraio 2025, comprendono il punteggio sociale che porta a un trattamento pregiudizievole ingiustificato, le tecniche manipolatorie che causano un danno significativo, la raccolta non mirata di immagini facciali per creare banche dati di riconoscimento e il riconoscimento delle emozioni a lavoro e a scuola, salvo usi medici o di sicurezza. Due ulteriori divieti, aggiunti nel 2026, si applicano dal 2 dicembre 2026.

Che cosa conta come sistema di IA ad alto rischio secondo l’AI Act dell’UE?

Secondo l’AI Act dell’UE un sistema è ad alto rischio in due modi. Un componente di sicurezza di un prodotto coperto dalla normativa UE elencata, come un dispositivo medico o un ascensore, lo è se tale normativa richiede una valutazione della conformità da parte di terzi. I sistemi autonomi usati per le finalità elencate in otto ambiti lo sono di default, tra cui biometria, istruzione, occupazione, attività di contrasto e servizi essenziali come l’affidabilità creditizia.

Da quando si applicano le regole dell’AI Act dell’UE?

L’AI Act dell’UE è entrato in vigore il 1° agosto 2024. I divieti originari e l’obbligo di alfabetizzazione all’IA si applicano dal 2 febbraio 2025, gli obblighi per i modelli di IA per finalità generali dal 2 agosto 2025 e la maggior parte delle altre regole dal 2 agosto 2026. La maggior parte degli obblighi per i sistemi ad alto rischio si applica dal 2 dicembre 2027, e quelli per l’IA nei prodotti coperti dalla normativa europea sui prodotti dal 2 agosto 2028.

L’AI Act dell’UE si applica anche alle aziende fuori dall’UE?

Sì. L’AI Act dell’UE vincola qualsiasi fornitore che immetta un sistema sul mercato dell’UE, ovunque abbia sede, e i fornitori e i deployer di paesi terzi il cui output del sistema è utilizzato nell’Unione. Molte aziende preferiscono inoltre un’unica versione globale del prodotto, quindi una regola severa in un grande mercato può diventare lo standard anche altrove, un fenomeno noto come effetto Bruxelles.

Come citare Fondazione LASTHUMAN. (2026, 15 ottobre). L’AI Act dell’UE: che cosa significa per il prossimo decennio. https://lasthuman.today/it/insights/eu-ai-act-next-decade.html