Cos'è l'AI Act?
L'AI Act (Regolamento UE 2024/1689) è il primo framework normativo al mondo dedicato all'intelligenza artificiale. È entrato in vigore il 1° agosto 2024 e adotta un approccio basato sul rischio per garantire sicurezza, trasparenza e rispetto dei diritti fondamentali.
Il calendario di applicazione progressiva
Quali sistemi IA sono "ad alto rischio"? (Allegato III)
Se usi IA in uno dei seguenti ambiti, gli obblighi sono in vigore dal 2 dicembre 2027 (Allegato III) o, se integrati in prodotti regolati da norme di armonizzazione, dal 2 agosto 2028 (Allegato I):
- Identificazione biometrica e categorizzazione di persone;
- Gestione di infrastrutture critiche (energia, trasporti, acqua, gas);
- Istruzione e formazione (selezione studenti, valutazione, monitoraggio del rendimento);
- Occupazione e gestione dei lavoratori (reclutamento, valutazione delle prestazioni, decisioni HR);
- Accesso a servizi essenziali pubblici e privati (credito, assicurazioni, emergenze);
- Contrasto, migrazione, asilo, gestione frontiere;
- Amministrazione della giustizia e processi democratici.
Obblighi principali per i sistemi ad alto rischio (Art. 9-15)
1. Sistema di gestione del rischio (Art. 9)
Identificare e mitigare i rischi per salute, sicurezza, diritti fondamentali e dignità delle persone. Documentare tutte le misure adottate. Effettuare una valutazione d'impatto continua.
2. Qualità dei dati e documentazione (Art. 10-11)
I dati di addestramento devono essere accurati, rappresentativi e ben documentati. Va documentato l'intero ciclo: design, addestramento, prestazioni. Va garantita l'assenza di bias discriminatori.
3. Trasparenza e informazioni (Art. 13)
Informazioni chiare agli utenti sulla natura del sistema IA, sui potenziali impatti e sulla logica delle decisioni assunte.
4. Supervisione umana (Art. 14)
Persone qualificate devono supervisionare l'operato del sistema, con capacità di intervento e training adeguato.
5. Monitoraggio e registrazione (Art. 15)
Monitoraggio continuativo delle prestazioni, registrazione delle anomalie, report periodici.
Obblighi di trasparenza in vigore dal 2 agosto 2026 (Art. 50)
Per contenuti generati da IA (ChatGPT, Midjourney, ecc.)
- Marcatura automatica: audio, immagini, video e testi generati o modificati da IA devono essere marcati in modo leggibile da software (machine-readable), per consentire il rilevamento automatico dell'origine artificiale.
- Etichettatura visibile: i deepfake devono recare un'etichetta visibile chiara. I contenuti su questioni di interesse pubblico generati da IA senza revisione umana devono indicare l'origine artificiale.
- Comunicazione con chatbot: gli utenti devono essere informati quando interagiscono con un sistema conversazionale IA, per evitare ogni confusione con interazioni umane.
Cosa fare ora? Roadmap di conformità in 5 fasi
Identificare tutti i sistemi IA usati in azienda, inclusi quelli incorporati in software di terze parti (CRM, HR, ERP, automazioni). Non dimenticare i generatori di testo, generatori di immagini, chatbot e sistemi di scoring.
Confrontare lo stato attuale con i requisiti dell'AI Act. Identificare lacune su documentazione, governance, supervisione umana. Valutare il livello di rischio di ciascun sistema (Allegato III).
Designare una figura o un team responsabile della conformità AI. Combinazione ideale: competenze legali + tecniche, con budget e risorse adeguate.
Programmi di alfabetizzazione IA (obbligo Art. 4, già in vigore dal febbraio 2025). Training specifico per i supervisori dei sistemi ad alto rischio.
Completare sistemi di gestione del rischio, qualità dei dati, supervisione umana, monitoraggio e registrazione.
Sanzioni: quanto costa non essere conformi
- Violazioni generiche: fino a 10 milioni di euro o 2% del fatturato globale annuo;
- Violazioni gravi: fino a 20 milioni di euro o 4% del fatturato globale;
- Violazioni molto gravi (pratiche vietate, Art. 5): fino a 35 milioni di euro o 7% del fatturato globale.
Oltre alle multe: rischi reputazionali significativi e perdita di fiducia da parte di clienti, partner e investitori.
Conclusioni
Dal 2 agosto 2026 sono applicabili gli obblighi di trasparenza (Art. 50), il regime sanzionatorio (Art. 99) e la vigilanza nazionale. Per i sistemi ad alto rischio il regime diventa operativo dal 2 dicembre 2027 (Allegato III) e dal 2 agosto 2028 (Allegato I). Non è uno slogan: sono scadenze con conseguenze sanzionatorie reali.
Le organizzazioni già conformi hanno ridotto il rischio normativo. Chi non lo è ancora deve intervenire immediatamente: attendere espone a un rischio normativo e operativo elevato. La conformità è un investimento, non un costo.