Conformità normativa dell’IA
AI Act
La prima normativa organica sull’IA a livello mondiale è già in vigore. Affianchiamo le aziende nel comprendere i propri obblighi e nell’adempierli senza interrompere le attività basate sull’IA.
Conformità non significa governance. Questa pagina riguarda gli obblighi di legge: AI Act e GDPR. Il modello di governance (quali sistemi sono in uso, chi ne risponde e quando si fermano) è descritto in Governance dell’IA ed è ciò che produce buona parte delle evidenze richieste dalla normativa.
Calendario degli obblighi dell’AI Act
Le date da cui si applica ciascun obbligo
Il regolamento entra in vigore e ha inizio il periodo transitorio.
Sono vietati i sistemi di IA a rischio inaccettabile: punteggio sociale, manipolazione subliminale, sfruttamento delle vulnerabilità, riconoscimento delle emozioni sul luogo di lavoro e negli istituti di istruzione.
I fornitori di modelli linguistici di grandi dimensioni (LLM) e di sistemi di IA per finalità generali devono rispettare requisiti di trasparenza, documentazione tecnica e diritto d’autore.
Obbligo di informare le persone che stanno interagendo con un sistema di IA e di contrassegnare i contenuti generati o manipolati (compresi i deep fake). Per i contenuti già immessi sul mercato, la marcatura può essere completata entro dicembre 2026.
Il Digital Omnibus aggiunge al regolamento il divieto dei sistemi che generano immagini intime o sessuali non consensuali di persone reali, nonché di materiale pedopornografico (CSAM) generato dall’IA.
Obblighi completi per i sistemi di IA ad alto rischio a sé stanti: risorse umane e selezione del personale, valutazione del merito creditizio, istruzione, infrastrutture critiche, servizi essenziali, migrazione e giustizia. Il Digital Omnibus ha rinviato questa scadenza, inizialmente fissata ad agosto 2026.
Obblighi per l’IA integrata in prodotti soggetti alla normativa settoriale dell’UE (dispositivi medici, macchine, giocattoli e altri). Scadenza rinviata dall’agosto 2027.
Il Digital Omnibus (2026) ha modificato il calendario
La prima riforma dell’AI Act ha rinviato l’applicazione delle norme sui sistemi ad alto rischio, ma non le ha eliminate; non ha toccato né i divieti già in vigore né gli obblighi relativi ai modelli di IA per finalità generali (GPAI). La preparazione alla conformità richiede da 6 a 18 mesi: dicembre 2027 è più vicino di quanto sembri.
Quali effetti ha l’AI Act su un’azienda
L’impatto dipende dal ruolo che l’azienda svolge nella catena del valore dell’IA e dal tipo di sistemi che utilizza o sviluppa. Molte aziende ritengono di non essere interessate, e quasi sempre si sbagliano.
Sistemi di punteggio sociale, manipolazione subliminale, riconoscimento delle emozioni sul luogo di lavoro e negli istituti di istruzione (con alcune eccezioni) e, dopo la riforma del 2026, i «nudifier» e il materiale pedopornografico generato dall’IA. Vietati dal febbraio 2025; questi ultimi due, dal dicembre 2026.
IA nelle risorse umane, nel credito, nell’istruzione, nelle infrastrutture critiche, nella sanità e nelle assicurazioni. Richiede: valutazione della conformità, documentazione tecnica, registrazione nella banca dati dell’UE e sorveglianza umana.
Chatbot e sistemi che generano contenuti. Obbligo di informare le persone che stanno interagendo con un sistema di IA e di rendere riconoscibili i deep fake.
Filtri antispam, videogiochi basati sull’IA, raccomandazione di contenuti sulle piattaforme. Nessun obbligo normativo specifico (resta comunque applicabile il GDPR).
Il nostro servizio di conformità
Mappiamo tutti i sistemi di IA che l’azienda utilizza o sviluppa, compresi quelli che non vengono riconosciuti come «IA» (scoring, automazioni, modelli predittivi).
Classifichiamo ciascun sistema secondo i criteri dell’AI Act e individuiamo quali rientrano nelle categorie ad alto rischio e quali si collocano in una zona grigia.
Confrontiamo la situazione attuale con i requisiti applicabili e definiamo le priorità in base all’urgenza (scadenze) e all’impatto (costo della non conformità).
Redigiamo la documentazione richiesta: scheda tecnica del sistema, valutazione dei rischi, registro dei dati di addestramento, procedure di sorveglianza.
Formiamo i responsabili dei sistemi di IA sugli obblighi applicabili e sulle modalità per mantenere la conformità nel tempo.
Domande frequenti
Che cos’è l’AI Act?
L’AI Act è la prima normativa organica sull’intelligenza artificiale a livello mondiale. Adottato nel 2024, classifica i sistemi di IA per livello di rischio e stabilisce obblighi in funzione di tale classificazione. Il suo obiettivo è garantire che l’IA nell’UE sia sicura, trasparente e rispettosa dei diritti fondamentali.
Il Digital Omnibus rinvia l’AI Act? È possibile rimandare la preparazione?
Non del tutto. Il Digital Omnibus (adottato nel 2026, prima riforma del regolamento) ha rinviato la piena applicazione degli obblighi per i sistemi ad alto rischio: al 2 dicembre 2027 per i sistemi a sé stanti (allegato III) e al 2 agosto 2028 per l’IA integrata in prodotti regolamentati (allegato I). Non ha però eliminato nulla: le pratiche di IA vietate sono proibite dal febbraio 2025, i modelli di IA per finalità generali devono essere conformi dall’agosto 2025 e gli obblighi di trasparenza si applicano dall’agosto 2026. Poiché la preparazione alla conformità richiede dai 6 ai 18 mesi, il margine effettivo è inferiore a quanto sembri.
Un’azienda è tenuta a conformarsi all’AI Act?
Sì, se opera nell’UE o se i suoi prodotti o servizi sono utilizzati nell’UE. Il regolamento riguarda sia i fornitori di sistemi di IA (chi li sviluppa) sia le aziende che li utilizzano come deployer in contesti professionali. Quasi tutte le aziende dispongono di almeno un sistema nella categoria a rischio limitato (chatbot, generatori di contenuti).
Quali sono le sanzioni in caso di violazione?
Le sanzioni, stabilite dall’articolo 99 del regolamento, arrivano fino a 35 milioni di euro o, se superiore, fino al 7% del fatturato mondiale annuo totale dell’esercizio precedente (pratiche di IA vietate); fino a 15 milioni di euro o al 3% (obblighi dei fornitori, dei deployer e degli altri operatori, compresi gli obblighi di trasparenza); fino a 7,5 milioni di euro o all’1% (informazioni inesatte, incomplete o fuorvianti fornite alle autorità o agli organismi notificati). Per le PMI, comprese le start-up, si applica il minore dei due importi. Le sanzioni sono proporzionate alle dimensioni dell’impresa e alla gravità della violazione.
Il regolamento riguarda anche le aziende che utilizzano soltanto IA di terzi?
Sì. Un’azienda che impiega sistemi di IA ad alto rischio nelle proprie attività (ad esempio un software per le risorse umane che assegna un punteggio ai candidati) ha obblighi in qualità di deployer, anche se non ha sviluppato il sistema. Deve verificare che il fornitore sia conforme, configurare correttamente il sistema e garantire la sorveglianza umana.