Che cos’è l’AI Act (Regolamento europeo sull’intelligenza artificiale)?

L’AI Act è il regolamento dell’Unione europea che stabilisce le regole per lo sviluppo, la commercializzazione e l’utilizzo dei sistemi di intelligenza artificiale. Il suo nome ufficiale è Regolamento (UE) 2024/1689: è entrato in vigore il 1° agosto 2024 e si applica direttamente in tutti gli Stati membri, secondo un calendario graduale.

L’obiettivo è favorire lo sviluppo e l’utilizzo dell’IA, tutelando allo stesso tempo la salute, la sicurezza e i diritti fondamentali delle persone. Per questo il Regolamento segue un principio semplice: più elevati sono i rischi di un sistema di IA, maggiori sono gli obblighi da rispettare.

L’AI Act riguarda sia i fornitori, che sviluppano e mettono a disposizione sistemi di IA, sia i deployer, che li utilizzano in ambito professionale.

Le regole possono applicarsi anche a soggetti stabiliti fuori dall’Unione europea, per esempio quando commercializzano sistemi nel mercato europeo o i risultati dei loro sistemi vengono utilizzati nell’UE.

Che cosa si intende per sistema di IA?

Ne troviamo una definizione nell’articolo 3, punto 1, dell’AI Act.

In sintesi, un sistema di IA è un sistema automatizzato che, con diversi gradi di autonomia, elabora gli input ricevuti per generare risultati come previsioni, contenuti, raccomandazioni o decisioni, capaci di influenzare ambienti fisici o virtuali.

L’AI Act distingue inoltre i sistemi di IA dai modelli di IA per finalità generali (general-purpose AI, o GPAI). Questi ultimi possono svolgere compiti molto diversi ed essere integrati in numerose applicazioni.

La distinzione conta perché il Regolamento prevede obblighi differenti per chi fornisce un modello e per chi sviluppa o utilizza un sistema basato su quel modello.

Che cosa prevede l’AI Act?

Il Regolamento adotta un approccio basato sul rischio. Per comprenderlo, si possono distinguere quattro livelli:

• Rischio inaccettabile: alcune pratiche sono vietate, come determinate forme di punteggio sociale (social scoring) e, salvo specifiche eccezioni, il riconoscimento delle emozioni nei luoghi di lavoro e negli istituti di istruzione.
• Alto rischio: comprende determinati sistemi impiegati, per esempio, nella selezione del personale, nell’istruzione, nella valutazione del merito creditizio o come componenti di sicurezza di prodotti regolamentati. Sono previsti requisiti specifici, tra cui gestione dei rischi, documentazione, qualità dei dati e sorveglianza umana.
• Rischio limitato: è l’espressione comunemente utilizzata per descrivere situazioni soggette soprattutto a obblighi di trasparenza, come alcune interazioni con chatbot o la diffusione di determinati contenuti generati o manipolati dall’IA.
• Rischio minimo: comprende applicazioni come molti filtri antispam e videogiochi basati sull’IA, per le quali il Regolamento non prevede generalmente obblighi specifici legati al loro livello di rischio.

Questa classificazione in quattro livelli è una semplificazione divulgativa: il testo normativo definisce le pratiche vietate e i sistemi ad alto rischio, mentre stabilisce separatamente gli obblighi di trasparenza per determinate applicazioni.

Accanto a queste regole, l’AI Act disciplina altri aspetti importanti:

• Modelli di IA per finalità generali: obblighi relativi, tra l’altro, alla documentazione, alla trasparenza e al rispetto del diritto d’autore, con ulteriori requisiti per i modelli che presentano rischi sistemici.
• Alfabetizzazione in materia di IA: fornitori e deployer devono adottare misure a sostegno dello sviluppo delle competenze di chi utilizza i sistemi per loro conto, tenendo conto del contesto e dei rischi.
• Controlli e sanzioni: le violazioni possono comportare sanzioni amministrative significative.
• Autorità di vigilanza: il Regolamento affida compiti di coordinamento e controllo alle istituzioni europee e alle autorità competenti dei singoli Stati.

Quali sanzioni sono previste?

Per le violazioni più gravi, come quelle relative alle pratiche vietate, le sanzioni possono arrivare fino a 35 milioni di euro o al 7% del fatturato mondiale annuo.

Per molte altre violazioni, tra cui quelle relative agli obblighi di trasparenza, il limite arriva a 15 milioni di euro o al 3% del fatturato mondiale annuo.

Si tratta di importi massimi, non di sanzioni automatiche. La loro determinazione dipende dalla violazione e dai criteri previsti dalla normativa. Per PMI e start-up innovative sono inoltre previste regole specifiche.

In Italia a disciplinare il sistema nazionale delle sanzioni è arrivato il D.Lgs. 179/2026, che introduce anche ulteriori previsioni per particolari violazioni.

Chi controlla il rispetto delle regole in Italia?

La Legge 132/2025 ha individuato due autorità nazionali di riferimento:

• AgID (Agenzia per l’Italia Digitale): svolge, tra gli altri, il ruolo di autorità di notifica per gli organismi che valutano la conformità dei sistemi.
• ACN (Agenzia per la Cybersicurezza Nazionale): è l’autorità di vigilanza del mercato e il punto di contatto unico nazionale.

Per i rispettivi settori intervengono anche Banca d’Italia, CONSOB e IVASS. Il Garante per la protezione dei dati personali conserva le competenze attribuite dalla normativa europea.

I ruoli e i poteri delle autorità sono precisati dal D.Lgs. 179/2026, in vigore dal 23 ottobre 2026.

Da quando si applica l’AI Act?

L’AI Act è entrato in vigore il 1° agosto 2024, ma i suoi obblighi diventano applicabili in momenti diversi.

Il calendario è stato modificato dal Digital Omnibus sull’IA (Regolamento UE 2026/1744), entrato in vigore il 27 luglio 2026. In particolare, sono state rinviate alcune scadenze relative ai sistemi ad alto rischio.

Le tappe principali sono:

• 2 febbraio 2025: diventano applicabili i divieti relativi alle pratiche di IA vietate e le disposizioni sull’alfabetizzazione in materia di IA.
• 2 agosto 2025: iniziano ad applicarsi gli obblighi per i fornitori di modelli di IA per finalità generali e le disposizioni sulla governance.
• 2 agosto 2026: entra in applicazione gran parte delle altre disposizioni, compresi gli obblighi di trasparenza dell’articolo 50. Si avviano anche i relativi controlli.
• 2 dicembre 2026: diventano applicabili nuovi divieti relativi a determinati contenuti sessuali generati o manipolati con l’IA. Scade inoltre il periodo transitorio previsto per alcuni obblighi di marcatura dei contenuti sintetici.
• 2 dicembre 2027: diventano applicabili le principali disposizioni sui sistemi ad alto rischio individuati nell’Allegato III, tra cui quelli impiegati in determinati ambiti lavorativi, educativi e finanziari.
• 2 agosto 2028: diventano applicabili le disposizioni sui sistemi ad alto rischio legati ai prodotti regolamentati individuati nell’Allegato I.

Per verificare tutte le date, comprese le disposizioni transitorie, la Commissione europea mette a disposizione il calendario ufficiale di applicazione dell’AI Act.

Quali norme italiane affiancano l’AI Act?

In Italia, il quadro europeo è affiancato dalla Legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025.

La legge introduce principi e disposizioni nazionali per l’utilizzo dell’intelligenza artificiale in ambiti come lavoro, sanità, professioni e pubblica amministrazione, nel rispetto dell’AI Act.

In attuazione delle deleghe previste dalla legge sono stati adottati due decreti legislativi:

• D.Lgs. 160/2026, in vigore dal 30 settembre 2026, che interviene, tra l’altro, sull’impiego dell’IA nelle attività di polizia e su aspetti della responsabilità civile e penale.
• D.Lgs. 179/2026, pubblicato l’8 ottobre 2026 ed efficace dal 23 ottobre 2026, che disciplina soprattutto le autorità competenti, i controlli, le sanzioni e alcuni aspetti dell’utilizzo dell’IA in ambito lavorativo e formativo.

Quest’ultimo decreto contiene disposizioni particolarmente rilevanti per le imprese.

Intelligenza artificiale e decisioni sul personale

L’articolo 41 stabilisce che le decisioni finali riguardanti la costituzione, la modifica o la cessazione di un rapporto di lavoro, i provvedimenti disciplinari e le valutazioni delle prestazioni devono essere affidate a una persona che eserciti un potere decisionale effettivo e autonomo.

La norma esclude da questa specifica previsione le attività di ricerca e selezione delle candidature, anche quando comportano l’esclusione dalle fasi successive. Restano applicabili le altre disposizioni pertinenti, comprese quelle sulla protezione dei dati personali.

Sono inoltre previste garanzie di trasparenza e il diritto di ottenere, nei casi disciplinati, una spiegazione comprensibile delle decisioni e dell’eventuale ruolo svolto dall’IA.

Intelligenza artificiale e sicurezza sul lavoro

L’articolo 42 stabilisce che l’impiego di sistemi di IA che incidono sull’organizzazione del lavoro, sui ritmi produttivi, sulle modalità di esecuzione delle attività o sulle decisioni rilevanti per la sicurezza deve essere considerato nella valutazione dei rischi aziendali, secondo il D.Lgs. 81/2008.

I datori di lavoro devono inoltre assicurare un’adeguata informazione e formazione sui rischi specifici legati all’utilizzo di questi sistemi e sulle misure di prevenzione adottate.

Formazione e sperimentazione

Il decreto interviene anche sulla formazione relativa all’IA, prevedendo iniziative destinate a diversi ambiti professionali, compreso quello sanitario.

Istituisce inoltre lo Spazio di sperimentazione italiano per l’IA, un ambiente controllato gestito congiuntamente da AgID e ACN per favorire lo sviluppo e la sperimentazione di sistemi di intelligenza artificiale, con particolare attenzione alle PMI e alle start-up. Le modalità operative saranno definite dai successivi provvedimenti previsti dal decreto.

Altre risorse per approfondire

• Regolamento (UE) 2024/1689 – AI Act, testo ufficiale in italiano
• Commissione europea – Quadro normativo sull’intelligenza artificiale
• AI Act Service Desk – Piattaforma ufficiale della Commissione europea
• Regolamento (UE) 2026/1744 – Digital Omnibus sull’IA
• Legge 23 settembre 2025, n. 132 – Normattiva
• D.Lgs. 7 ottobre 2026, n. 179 – Gazzetta Ufficiale