Il futuro della regolamentazione dell’IA in Europa

L’AI Act europeo è in vigore, ma come funzionerà nella pratica lo decideranno norme armonizzate, codici di buone pratiche, autorità di vigilanza, sentenze e revisioni, e una modifica del 2026 ha già spostato le regole per i sistemi ad alto rischio al 2027 e al 2028.

Un avvio scaglionato

L’AI Act, il regolamento (UE) 2024/1689, è entrato in vigore il 1° agosto 2024 e si applica per fasi. I divieti di pratiche come il punteggio sociale e il riconoscimento delle emozioni nei luoghi di lavoro e nelle scuole si applicano dal 2 febbraio 2025, e gli obblighi per i modelli di IA per finalità generali dal 2 agosto 2025. La maggior parte degli obblighi per i sistemi ad alto rischio era prevista in origine per il 2 agosto 2026, con scadenze successive per l’IA integrata nei prodotti regolamentati.

Le date sono poi cambiate. Nel novembre 2025 la Commissione europea ha proposto delle modifiche, il cosiddetto omnibus digitale; il Parlamento e il Consiglio le hanno adottate a metà 2026 come regolamento (UE) 2026/1744, in vigore dal 27 luglio 2026. Gli obblighi per gli usi ad alto rischio elencati si applicano ora dal 2 dicembre 2027, quelli per l’IA integrata nei prodotti regolamentati dal 2 agosto 2028. La modifica ha inoltre aggiunto due divieti, relativi all’IA che genera materiale intimo non consensuale o materiale pedopornografico, che si applicano dal 2 dicembre 2026. L’impianto del regolamento resta invariato.

L’elenco degli usi ad alto rischio comprende ambiti come occupazione, istruzione, servizi essenziali, attività di contrasto e migrazione. I fornitori devono predisporre la gestione del rischio, la governance dei dati, la documentazione e la supervisione umana e completare una valutazione della conformità, di norma un’autovalutazione. Gli enti pubblici, e alcuni deployer privati come chi offre servizi pubblici o valuta il merito creditizio, devono prima valutare l’impatto sui diritti fondamentali.

Norme e codici: dove si scrivono i dettagli

Il regolamento fissa i requisiti in termini generali; che cosa significhino una governance dei dati adeguata o una supervisione umana sufficiente viene definito in gran parte nelle norme armonizzate, redatte dagli organismi di normazione CEN e CENELEC su richiesta della Commissione. Seguire una norma pubblicata nella Gazzetta ufficiale dell’Unione europea crea una presunzione di conformità; altre strade sono ammesse, ma in tal caso il fornitore deve dimostrare che il suo approccio soddisfa i requisiti.

La normazione favorisce chi può permettersi di partecipare, per lo più le grandi imprese. La stesura richiede anni e, quando le norme restano indietro rispetto alle scadenze di legge, cresce la pressione per spostarle: il ritardo delle norme è stato un argomento centrale a favore del rinvio del 2026. Il regolamento consente di usare dati personali sensibili per il rilevamento dei bias solo quando dati sintetici o anonimizzati non basterebbero, una facoltà che la modifica del 2026 ha esteso oltre i sistemi ad alto rischio; il rapporto tecnico della Fondazione sul rilevamento dei bias ai sensi dell’AI Act dell’UE esamina quando tali dati sono sufficienti.

Per i modelli per finalità generali esiste una via più rapida: il Codice di buone pratiche per l’IA per finalità generali, pubblicato nel luglio 2025 sotto l’egida dell’Ufficio europeo per l’IA, copre la trasparenza, il diritto d’autore e, per i modelli con rischio sistemico, la sicurezza e la protezione. L’adesione è volontaria, ma è riconosciuta come un modo per dimostrare la conformità finché non esisteranno le norme.

Applicazione delle regole: istituzioni e capacità

L’Ufficio europeo per l’IA vigila direttamente sui modelli di IA per finalità generali. Le autorità nazionali di vigilanza del mercato sorvegliano i sistemi di IA sul proprio territorio. Per le pratiche vietate le sanzioni possono arrivare a 35 milioni di euro o al 7 per cento del fatturato mondiale annuo, se superiore; per la maggior parte delle altre violazioni, a 15 milioni di euro o al 3 per cento.

La questione più difficile è la capacità. Verificare se uno strumento di selezione del personale è stato sottoposto a test sui bias richiede persone che capiscano sia il diritto sia l’apprendimento automatico, e nella pubblica amministrazione sono poche. Entro il 2 agosto 2027, un anno più tardi di quanto previsto in origine, ogni Stato membro deve inoltre attivare uno spazio di sperimentazione normativa (sandbox) in cui i fornitori testano i sistemi sotto supervisione prima del lancio.

Revisione: una legge pensata per cambiare

Il regolamento può cambiare dall’interno. La Commissione può modificare con atto delegato l’elenco dei casi d’uso ad alto rischio, entro i settori fissati dal legislatore, e può aggiornare la soglia di potenza di calcolo oltre la quale si presume che un modello per finalità generali comporti un rischio sistemico.

La Corte di giustizia dell’Unione europea ha l’ultima parola su termini come «sistema di IA» e «modifica sostanziale». Nella sentenza SCHUFA del dicembre 2023 ha stabilito che produrre un punteggio di affidabilità creditizia può costituire di per sé una decisione automatizzata ai sensi del GDPR quando il finanziatore vi si basa in modo determinante, ridisegnando i confini pratici di quella norma.

La responsabilità civile è un capitolo incompiuto. Nel 2025 la Commissione ha ritirato la proposta di direttiva sulla responsabilità da intelligenza artificiale, quindi il risarcimento dei danni causati dall’IA si fonda sul diritto nazionale e sulla direttiva riveduta del 2024 sulla responsabilità per danno da prodotti difettosi, che tratta il software, compresi i sistemi di IA, come un prodotto e si applica da dicembre 2026.

L’Europa in un quadro più ampio

La Convenzione quadro del Consiglio d’Europa sull’intelligenza artificiale, aperta alla firma nel settembre 2024, è il primo trattato internazionale vincolante sull’IA; l’UE l’ha firmata nel settembre 2024, l’ha ratificata nel maggio 2026 e l’attuerà soprattutto attraverso l’AI Act. I Principi dell’OCSE sull’IA, l’AI Risk Management Framework del NIST e la norma ISO/IEC 42001 forniscono un vocabolario comune e strumenti di gestione.

Chi sviluppa e vende in tutto il mondo si adeguerà al regime più severo, il cosiddetto effetto Bruxelles, oppure distribuirà prodotti diversi su mercati diversi; e poiché l’Europa dipende da capacità di calcolo, modelli e servizi cloud realizzati altrove, la politica dell’UE affianca ormai alle regole investimenti pubblici nella capacità di calcolo.

Cosa possono aspettarsi sviluppatori e cittadini

Per gli sviluppatori, la parte durevole del regolamento è la disciplina, non il calendario:

• Conoscere la categoria di rischio di ogni sistema, e documentarne il perché.
• Registrare le fonti dei dati, le scelte di progettazione e i limiti noti.
• Eseguire test su bias, accuratezza e robustezza, e conservare le prove.
• Mantenere una persona in grado di capire il sistema, di annullarne le decisioni e di fermarlo.

Queste pratiche sopravvivono a qualsiasi slittamento delle scadenze; i progetti di norma e gli orientamenti dell’Ufficio europeo per l’IA mostrano già quali prove saranno attese, e un inventario dei sistemi e delle loro finalità è il primo passo, e il meno costoso.

Per i cittadini, il regolamento aggiunge diritti: essere informati quando interagiscono con un sistema di IA o quando viene mostrato loro un deepfake; presentare un reclamo a un’autorità nazionale; e, una volta applicabili le regole per i sistemi ad alto rischio, ricevere una spiegazione chiara del ruolo che il sistema ha avuto in una decisione che incide in modo significativo su di loro, accanto all’articolo 22 del GDPR. Questi diritti funzionano solo se le persone li usano; il primo passo è scoprire quale autorità nazionale è competente. La Fondazione studia come queste regole funzionano nella pratica e quali prove richiedono, e pubblica i risultati sotto forma di rapporti tecnici.

In breve

L’AI Act europeo è in vigore, ma il suo significato pratico sarà definito da norme armonizzate, codici di condotta, autorità di vigilanza, sentenze e revisioni. Una modifica del 2026, il regolamento (UE) 2026/1744, ha già spostato gli obblighi per gli usi ad alto rischio elencati al 2 dicembre 2027, e per l’IA nei prodotti regolamentati al 2 agosto 2028.

Domande frequenti

Da quando si applicano gli obblighi per i sistemi ad alto rischio dell’AI Act dell’UE?

Gli obblighi per gli usi ad alto rischio elencati si applicano ora dal 2 dicembre 2027, e per l’IA nei prodotti regolamentati dal 2 agosto 2028. In origine la maggior parte doveva applicarsi dal 2 agosto 2026, ma il regolamento (UE) 2026/1744, in vigore dal 27 luglio 2026, ha spostato le date.

A quanto ammontano le sanzioni dell’AI Act dell’UE?

Secondo l’AI Act dell’UE, per le pratiche vietate le sanzioni possono arrivare a 35 milioni di euro o al 7 per cento del fatturato mondiale annuo, se superiore. Per la maggior parte delle altre violazioni il limite è di 15 milioni di euro o il 3 per cento.

Chi fa rispettare l’AI Act dell’UE?

L’Ufficio per l’IA dell’UE vigila direttamente sui modelli di IA per finalità generali, mentre le autorità nazionali di vigilanza del mercato controllano i sistemi di IA presenti sul loro territorio. La questione più difficile è la capacità, perché nelle pubbliche amministrazioni mancano persone che conoscano insieme il diritto e il machine learning.

Che cosa sono le norme armonizzate nell’AI Act dell’UE?

Le norme armonizzate sono redatte dagli organismi di normazione CEN e CENELEC su richiesta della Commissione e precisano nel dettaglio che cosa significano i requisiti generali dell’AI Act. Seguire una norma pubblicata nella Gazzetta ufficiale dell’Unione europea dà una presunzione di conformità, anche se sono ammesse altre strade.

Quali diritti hanno i cittadini secondo l’AI Act dell’UE?

Il regolamento riconosce alle persone il diritto di essere informate quando interagiscono con un sistema di IA o vedono un deepfake, e di presentare reclamo a un’autorità nazionale. Quando si applicheranno le regole sull’alto rischio, le persone avranno anche il diritto a una spiegazione chiara del ruolo del sistema in una decisione che le riguarda in modo significativo.

Come citare Fondazione LASTHUMAN. (2026, 3 novembre). Il futuro della regolamentazione dell’IA in Europa. https://lasthuman.today/it/insights/future-of-ai-regulation-in-europe.html