AI Act: 10 obblighi per le aziende italiane
Gli obblighi concreti del Regolamento UE 2024/1689 per chi sviluppa o usa intelligenza artificiale in Italia, spiegati per livello di rischio.
di Elias Mahdavi · Pubblicato il · 11 min
Gli obblighi AI Act per le aziende italiane variano in base al livello di rischio del sistema usato: vietato, alto, limitato o minimo. Il Regolamento (UE) 2024/1689 impone requisiti crescenti, dalla trasparenza per i chatbot alla documentazione tecnica per i sistemi ad alto rischio, con obblighi pienamente applicabili dal 2 agosto 2026.
In sintesi
- Gli obblighi AI Act dipendono dal livello di rischio del sistema: vietato, alto, limitato o minimo, con requisiti crescenti per ciascuna fascia.
- I sistemi a rischio inaccettabile, come il social scoring o la manipolazione subliminale, sono vietati in Italia e nell'UE dal 2 febbraio 2025.
- Un accordo raggiunto a maggio 2026 (il cosiddetto Digital Omnibus) ha rinviato al 2 dicembre 2027 gli obblighi per i sistemi ad alto rischio dell'Allegato III, ma la maggior parte delle altre disposizioni resta applicabile dal 2 agosto 2026.
- Le sanzioni previste dall'Art. 99 arrivano fino a 35 milioni di euro o il 7% del fatturato globale per le pratiche vietate.
- La formazione del personale sull'alfabetizzazione AI (Art. 4) è già un obbligo in vigore dal 2 febbraio 2025, spesso trascurato perché non richiede investimenti tecnici.
- DevKira supporta la conformità AI Act con log automatici degli accessi ai modelli, tracciabilità dei prompt e controllo centralizzato degli strumenti AI autorizzati in azienda.
Indice
- Che cosa prevede l'AI Act?
- Quando entra in vigore l'AI Act?
- Quali sistemi di IA sono vietati dall'AI Act?
- 10 obblighi AI Act per le aziende italiane
- Quali sono le sanzioni previste dall'AI Act?
- Come iniziare a rispettare l'AI Act in azienda
- Domande frequenti
Che cosa prevede l'AI Act?
L'AI Act, il <a href="https://eur-lex.europa.eu/eli/reg/2024/1689/oj" target="_blank" rel="noopener">Regolamento (UE) 2024/1689</a>, disciplina lo sviluppo e l'uso dell'intelligenza artificiale in Europa classificando ogni sistema in una di quattro fasce di rischio, con obblighi proporzionati crescenti man mano che il rischio aumenta.
Il regolamento non tratta l'AI come una categoria unica: un chatbot per il servizio clienti, un sistema di selezione del personale e un modello linguistico generico ricadono in fasce diverse, con requisiti molto differenti tra loro.
| Livello di rischio | Esempi | Obblighi principali |
|---|---|---|
| Inaccettabile | Social scoring, manipolazione subliminale, riconoscimento biometrico in tempo reale in spazi pubblici (salvo eccezioni) | Divieto assoluto |
| Alto | Selezione del personale, valutazione del credito, dispositivi medici basati su AI, sistemi usati nella giustizia | Gestione del rischio, qualità dei dati, documentazione tecnica, supervisione umana, registrazione degli eventi |
| Limitato | Chatbot, sistemi che generano o modificano contenuti (deepfake) | Obblighi di trasparenza: informare l'utente che interagisce con un sistema AI, etichettare i contenuti generati |
| Minimo | Filtri antispam, videogiochi con AI, la maggior parte degli strumenti di produttività | Nessun obbligo specifico, adozione volontaria di codici di condotta |
Quando entra in vigore l'AI Act?
L'AI Act è entrato in vigore il 1° agosto 2024, ma i suoi obblighi si applicano in fasi successive: i divieti sono attivi dal 2 febbraio 2025, gli obblighi per i modelli general purpose (GPAI) dal 2 agosto 2025, e la maggior parte delle altre disposizioni dal 2 agosto 2026.
Una parte rilevante del calendario è cambiata di recente. Secondo quanto riportato dalla <a href="https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai" target="_blank" rel="noopener">pagina della Commissione europea dedicata al quadro normativo sull'AI</a>, l'accordo raggiunto nel maggio 2026 nell'ambito del pacchetto "Digital Omnibus" ha rinviato gli obblighi per i sistemi ad alto rischio elencati nell'Allegato III (selezione del personale, credito, applicazioni sanitarie e simili) dal 2 agosto 2026 al 2 dicembre 2027. Gli obblighi per i sistemi ad alto rischio incorporati in prodotti già regolamentati (Allegato I, come dispositivi medici e macchinari) restano fissati al 2 agosto 2028.
| Data | Cosa diventa applicabile |
|---|---|
| 1 agosto 2024 | Entrata in vigore del Regolamento (UE) 2024/1689 |
| 2 febbraio 2025 | Divieti (Art. 5) e obblighi di alfabetizzazione AI (Art. 4) |
| 2 agosto 2025 | Obblighi per i modelli general purpose (GPAI) |
| 2 agosto 2026 | Governance, sanzioni e la maggior parte delle altre disposizioni del regolamento |
| 2 dicembre 2027 | Sistemi ad alto rischio dell'Allegato III (rinviato dal Digital Omnibus, maggio 2026) |
| 2 agosto 2028 | Sistemi ad alto rischio dell'Allegato I, incorporati in prodotti già regolamentati |
Questo significa che, alla data odierna, gran parte del regolamento è già pienamente operativa: i divieti e gli obblighi di trasparenza non hanno subito rinvii, e restano il punto di partenza obbligato per qualunque azienda italiana che usa AI.
Quali sistemi di IA sono vietati dall'AI Act?
L'Art. 5 dell'AI Act vieta in modo assoluto un numero limitato ma specifico di pratiche, indipendentemente dal settore o dalla dimensione dell'azienda che le adotta.
Sono vietati i sistemi che usano tecniche subliminali o manipolative per alterare il comportamento di una persona in modo da causarle un danno; i sistemi che sfruttano vulnerabilità legate a età, disabilità o condizione economica; il social scoring da parte di autorità pubbliche o soggetti privati; la polizia predittiva basata unicamente sulla profilazione di una persona; la categorizzazione biometrica per inferire dati sensibili come opinioni politiche o orientamento sessuale; e, salvo eccezioni strette per finalità di sicurezza pubblica, il riconoscimento biometrico in tempo reale in spazi accessibili al pubblico. Nessuna di queste pratiche è ammessa, a prescindere dal consenso dell'interessato o dalle finalità dichiarate.
10 obblighi AI Act per le aziende italiane
Questi dieci obblighi coprono l'intero arco del regolamento, dai divieti assoluti alla trasparenza per i sistemi a rischio minimo, e rappresentano il punto di partenza pratico per qualunque azienda italiana che usa o sviluppa AI.
1. Non utilizzare sistemi di IA a rischio inaccettabile
Nessuna eccezione contrattuale o operativa giustifica l'uso di un sistema che rientra tra le pratiche vietate dall'Art. 5: va escluso a monte, nella fase di selezione dei fornitori, non corretto dopo l'adozione.
2. Classificare ogni sistema AI in uso secondo il livello di rischio
Prima di qualunque altro adempimento, un'azienda deve sapere esattamente quali sistemi AI usa e in quale fascia di rischio ricadono: senza questa mappatura, tutti gli obblighi successivi restano teorici.
3. Predisporre un sistema di gestione del rischio per i sistemi ad alto rischio
L'Art. 9 richiede un processo continuo di identificazione, stima e mitigazione dei rischi lungo l'intero ciclo di vita del sistema, non una valutazione una tantum al momento dell'adozione.
4. Garantire la qualità dei dati di addestramento
Per i sistemi ad alto rischio, l'Art. 10 impone che i dati usati per addestrare, validare e testare il modello siano pertinenti, rappresentativi e il più possibile privi di errori, con particolare attenzione ai bias che potrebbero produrre discriminazioni. Quando questi dati includono informazioni personali, l'obbligo si somma, non si sostituisce, ai principi di minimizzazione e accuratezza già previsti dal <a href="https://eur-lex.europa.eu/eli/reg/2016/679/oj" target="_blank" rel="noopener">GDPR</a>.
5. Mantenere documentazione tecnica e log automatici
Gli Art. 11 e 12 richiedono documentazione tecnica dettagliata e la conservazione dei log generati automaticamente dal sistema, così da poter ricostruire in ogni momento come una decisione è stata generata.
6. Garantire trasparenza e supervisione umana
I sistemi ad alto rischio devono essere accompagnati da istruzioni d'uso chiare e devono consentire una supervisione umana effettiva, capace di intervenire o interrompere il sistema quando necessario, non solo formale sulla carta.
7. Informare gli utenti quando interagiscono con un sistema AI
Per i sistemi a rischio limitato, l'Art. 50 impone di comunicare chiaramente che si sta interagendo con un chatbot o un sistema automatizzato, salvo che sia evidente dal contesto.
8. Etichettare i contenuti generati o manipolati dall'AI
Immagini, audio e video generati o alterati artificialmente (deepfake) devono essere etichettati come tali, con un termine di grazia fino al 2 dicembre 2026 per l'adeguamento dei sistemi già in uso.
9. Rispettare gli obblighi specifici per i modelli general purpose (GPAI)
Chi fornisce modelli general purpose deve mantenere documentazione tecnica aggiornata, una policy sul rispetto del diritto d'autore e una sintesi dei contenuti usati per l'addestramento; i modelli con rischio sistemico hanno obblighi aggiuntivi di valutazione e mitigazione del rischio.
10. Formare il personale sull'alfabetizzazione AI
L'Art. 4 impone alle organizzazioni di garantire un livello adeguato di alfabetizzazione AI al personale che usa questi sistemi: è un obbligo già in vigore dal 2 febbraio 2025, spesso ignorato perché percepito come meno urgente dei requisiti tecnici.
Quali sono le sanzioni previste dall'AI Act?
Le sanzioni dell'AI Act sono tra le più elevate del panorama regolatorio digitale europeo, con importi differenziati in base alla gravità della violazione.
L'Art. 99 fissa tre livelli: fino a 35 milioni di euro o il 7% del fatturato globale annuo per l'uso di pratiche vietate; fino a 15 milioni di euro o il 3% del fatturato globale per la violazione degli altri obblighi del regolamento, inclusi quelli sui sistemi ad alto rischio e sui modelli GPAI; fino a 7,5 milioni di euro o l'1% del fatturato globale per aver fornito informazioni inesatte o incomplete alle autorità di vigilanza. In tutti i casi si applica l'importo più alto tra la cifra fissa e la percentuale, tranne che per le piccole e medie imprese, per cui si applica invece l'importo più favorevole.
Come iniziare a rispettare l'AI Act in azienda
Il primo passo pratico non è tecnico, ma di visibilità: sapere con certezza quali strumenti AI sono già in uso in azienda, chi li usa e per quali processi, prima ancora di classificarli per livello di rischio.
Questo è spesso il punto in cui la conformità AI Act si intreccia con il tema dello <a href="/it/blog/shadow-ai-cosa-e-come-governarlo">shadow AI e la sua governance</a>: un sistema adottato in autonomia da un team, senza passare da alcuna valutazione, rende impossibile dimostrare all'autorità di vigilanza di aver classificato correttamente il rischio. Verificare se la propria organizzazione rientra anche nell'ambito della <a href="/it/blog/nis2-a-chi-si-applica">NIS2 e nei suoi obblighi di sicurezza</a> è un secondo passo naturale, perché i due regolamenti spesso interessano la stessa infrastruttura e gli stessi fornitori.
Sul piano operativo, un gateway AI unico con log automatici degli accessi ai modelli, come quello di DevKira, produce già gran parte della documentazione richiesta dagli Art. 11 e 12: chi ha usato quale modello, quando e su quali dati, un elemento che diventa centrale in caso di controllo. Il ruolo dell'<a href="/it/blog/acn-nis2-ruolo-normativa">ACN nella normativa NIS2</a> offre inoltre un utile punto di riferimento su come le autorità italiane conducono le verifiche in materia di rischio digitale, un modello di vigilanza per certi versi assimilabile a quello previsto per l'AI Act.
Vale la pena ricordare che, quando un sistema ad alto rischio tratta dati personali, gli obblighi AI Act si affiancano a quelli del GDPR già vigilati in Italia dal <a href="https://www.garanteprivacy.it/" target="_blank" rel="noopener">Garante per la protezione dei dati personali</a>: le due normative vanno verificate insieme, non in sequenza separata. Sul fronte tecnico, l'<a href="https://www.enisa.europa.eu/" target="_blank" rel="noopener">ENISA</a> pubblica indicazioni di riferimento sui requisiti di accuratezza, robustezza e cybersicurezza richiesti dall'Art. 15 per i sistemi ad alto rischio.
Domande frequenti
Che cosa prevede l'AI Act?
L'AI Act (Regolamento UE 2024/1689) classifica i sistemi di intelligenza artificiale in quattro fasce di rischio, dal vietato al minimo, imponendo obblighi crescenti per ciascuna fascia: divieto assoluto per il rischio inaccettabile, gestione del rischio e documentazione per l'alto rischio, trasparenza per il rischio limitato, nessun obbligo specifico per il rischio minimo.
Quando entra in vigore l'AI Act?
Il regolamento è entrato in vigore il 1° agosto 2024. I divieti si applicano dal 2 febbraio 2025, gli obblighi per i modelli GPAI dal 2 agosto 2025, e la maggior parte delle altre disposizioni dal 2 agosto 2026. Un accordo di maggio 2026 ha rinviato gli obblighi per i sistemi ad alto rischio dell'Allegato III al 2 dicembre 2027.
Quali sistemi di IA sono vietati dall'AI Act?
Sono vietati i sistemi che usano tecniche manipolative o subliminali, che sfruttano vulnerabilità di età o disabilità, il social scoring, la polizia predittiva basata solo su profilazione, la categorizzazione biometrica per inferire dati sensibili, e il riconoscimento biometrico in tempo reale in spazi pubblici, salvo eccezioni strette per la sicurezza pubblica.
Quali sono le sanzioni previste dall'AI Act?
L'Art. 99 prevede sanzioni fino a 35 milioni di euro o il 7% del fatturato globale per le pratiche vietate, fino a 15 milioni di euro o il 3% per la violazione degli altri obblighi, e fino a 7,5 milioni di euro o l'1% per informazioni inesatte fornite alle autorità, con l'importo più favorevole applicato alle PMI.
L'AI Act si applica anche alle piccole e medie imprese italiane?
Sì: l'AI Act non prevede un'esenzione generale per le PMI, ma alcuni obblighi, come quelli sui modelli GPAI e sulle sanzioni, tengono conto della dimensione dell'impresa, e la Commissione europea ha previsto strumenti di supporto specifici per le imprese più piccole.
Che differenza c'è tra un sistema AI ad alto rischio e uno a rischio limitato?
Un sistema ad alto rischio, come quelli usati per la selezione del personale o la valutazione del credito, richiede gestione del rischio, qualità dei dati e documentazione tecnica. Un sistema a rischio limitato, come un chatbot, richiede solo trasparenza: informare l'utente che sta interagendo con un sistema automatizzato.
Prossimo passo
Gli obblighi AI Act non si esauriscono in un adempimento singolo: richiedono visibilità continua su quali sistemi AI sono in uso, con quale livello di rischio e con quale documentazione a supporto.
<a href="/it/book-a-demo">Prenota una demo di DevKira</a> per vedere come un gateway AI unico produce automaticamente parte della documentazione richiesta dall'AI Act, oppure consulta la nostra <a href="/it/blog/nis2-cosa-e-guida-completa">guida completa alla NIS2</a> per capire dove le due normative si intrecciano.
