Molte aziende continuano a guardare al 2027 come alla vera scadenza per adeguarsi al regolamento europeo sull’intelligenza artificiale. È una lettura fuorviante. L’AI Act non prevede infatti un’unica data dalla quale tutte le organizzazioni dovranno improvvisamente essere conformi, ma un calendario progressivo, nel quale obblighi, divieti e meccanismi di controllo diventano applicabili in momenti differenti.
Il regolamento è entrato in vigore il 1° agosto 2024 e la sua applicazione generale è scattata il 2 agosto 2026, mentre alcune disposizioni erano già operative nei mesi precedenti. Dal 2 febbraio 2025 si applicano, tra le altre cose, le disposizioni sull’alfabetizzazione in materia di IA e la maggior parte delle pratiche vietate; dal 2 agosto 2025 sono diventate applicabili le regole sulla governance e gli obblighi relativi ai modelli di IA per finalità generali. Dal 2 agosto 2026 è inoltre entrata in applicazione la parte generale del regolamento, comprese le disposizioni sulla trasparenza dell’articolo 50. Alcune nuove pratiche vietate introdotte nel 2026 diventeranno invece applicabili dal 2 dicembre 2026.
Le regole più articolate riguardanti determinati sistemi ad alto rischio seguono invece un calendario più lungo. Dopo le modifiche intervenute nel 2026, gli obblighi relativi ai sistemi classificati ad alto rischio ai sensi dell’Allegato III si applicheranno dal 2 dicembre 2027, mentre per determinate applicazioni di IA integrate nei prodotti regolamentati dell’Allegato I la data è il 2 agosto 2028.
Il punto, quindi, non è chiedersi semplicemente «quando entra in vigore l’AI Act?», ma piuttosto «quali disposizioni sono già applicabili al modo in cui la mia organizzazione utilizza l’intelligenza artificiale?».
Per un’azienda che utilizza strumenti di IA generativa, chatbot, sistemi di analisi automatizzata o applicazioni basate su modelli di terze parti, attendere il completamento del calendario significa rischiare di trascurare obblighi che possono essere già attuali.
Il primo livello di conformità riguarda disposizioni che non dipendono necessariamente dall’utilizzo di sistemi classificati come ad alto rischio.
Tra queste rientra innanzitutto l’articolo 4, dedicato all’alfabetizzazione in materia di intelligenza artificiale (AI literacy). Dal 2 febbraio 2025, provider e deployer devono adottare misure per sostenere lo sviluppo dell’alfabetizzazione in materia di IA del personale e delle altre persone che utilizzano o gestiscono sistemi di IA per loro conto.
Il regolamento non impone un unico corso standard né richiede che ogni dipendente raggiunga una certificazione o un livello prestabilito. Chiede invece che le misure tengano conto delle conoscenze tecniche, dell’esperienza, dell’istruzione e della formazione delle persone coinvolte, del contesto di utilizzo dei sistemi e delle persone o dei gruppi di persone sui quali questi vengono utilizzati. Dopo le modifiche del 2026, il regolamento specifica inoltre che provider e deployer non sono tenuti a garantire uno specifico livello individuale di alfabetizzazione, ma devono comunque adottare misure per sostenerne lo sviluppo.
Per un’azienda questo significa che la formazione non dovrebbe ridursi a spiegare come scrivere un prompt. Un dipendente che utilizza strumenti generativi dovrebbe conoscere almeno i principali rischi di allucinazione, divulgazione involontaria di informazioni riservate, utilizzo improprio dei dati personali, bias e affidamento eccessivo sull’output automatico.
La profondità della formazione deve quindi essere proporzionata al ruolo. Chi utilizza occasionalmente un assistente generativo per preparare una bozza non necessita dello stesso livello di competenza di chi integra modelli di IA nei processi aziendali, supervisiona sistemi automatizzati o utilizza i loro risultati per prendere decisioni sulle persone.
Un altro passaggio centrale è rappresentato dall’articolo 50, applicabile dal 2 agosto 2026, che introduce specifici obblighi di trasparenza per determinate categorie di sistemi e contenuti.
Anche in questo caso è importante evitare una semplificazione frequente: non esiste una regola secondo cui qualsiasi contenuto realizzato con l’IA deve sempre essere etichettato come tale.
Gli obblighi cambiano in base al tipo di sistema e al ruolo dell’organizzazione.
Per i sistemi progettati per interagire direttamente con persone fisiche, come determinati chatbot, il provider deve fare in modo che il sistema sia progettato e sviluppato affinché l’utente sia informato di stare interagendo con un sistema di IA, salvo che ciò risulti già evidente dalle circostanze e dal contesto.
Per i sistemi che generano audio, immagini, video o testo sintetico, i provider devono inoltre adottare soluzioni che rendano tali output rilevabili come artificialmente generati o manipolati, secondo le condizioni previste dal regolamento. Per i sistemi interessati da questo obbligo e già immessi sul mercato prima del 2 agosto 2026, l’adeguamento allo specifico requisito dell’articolo 50, paragrafo 2, è previsto entro il 2 dicembre 2026.
Gli obblighi ricadono direttamente anche sui deployer in alcuni casi. Chi utilizza un sistema per generare o manipolare immagini, audio o video che costituiscono un deepfake, ad esempio, deve rendere noto che il contenuto è stato generato o manipolato artificialmente, fatte salve le eccezioni previste dalla norma.
Un obbligo specifico riguarda inoltre i testi generati o manipolati dall’IA e pubblicati allo scopo di informare il pubblico su questioni di interesse pubblico. Anche in questo caso deve essere dichiarata la natura artificiale del contenuto, salvo, tra le altre ipotesi, che il contenuto sia stato sottoposto a un processo di revisione umana o controllo editoriale e che una persona fisica o giuridica assuma la responsabilità editoriale della pubblicazione.
Per un’azienda la conseguenza pratica è che non basta adottare genericamente un’etichetta «contenuto creato con IA». È necessario capire chi genera il contenuto, con quale sistema, per quale finalità viene pubblicato e quale controllo umano viene esercitato prima della diffusione.
Sapere cosa è già in vigore significa anche evitare l’errore opposto: comportarsi come se l’intero regolamento fosse applicabile indistintamente a qualsiasi sistema.
Una parte importante degli obblighi relativi ai sistemi ad alto rischio segue infatti un calendario più lungo. Per molti casi d’uso individuati nell’Allegato III, come determinate applicazioni nell’occupazione, nell’accesso a servizi essenziali, nell’istruzione o in altri ambiti sensibili, la piena applicazione delle relative regole è prevista dal 2 dicembre 2027. Per determinati sistemi incorporati in prodotti soggetti alla normativa europea di armonizzazione, il termine arriva invece al 2 agosto 2028.
Questo differimento non significa però che un’azienda possa ignorare oggi quei sistemi.
Se un’organizzazione utilizza già strumenti destinati a rientrare nelle categorie ad alto rischio, il periodo precedente alla piena applicazione dovrebbe essere utilizzato per capire quali sistemi saranno coinvolti, quale ruolo ricopre l’azienda, quali dati vengono trattati, chi esercita la supervisione umana e quali documenti dovranno essere richiesti ai fornitori.
Aspettare la data finale per iniziare questa analisi significa trasformare un periodo transitorio in un problema organizzativo.
Anche il sistema sanzionatorio richiede una lettura più precisa. L’AI Act non prevede infatti un’unica multa applicabile a qualsiasi violazione, ma massimali differenti in funzione della gravità dell’infrazione.
La violazione delle pratiche vietate dall’articolo 5 può comportare sanzioni amministrative fino a 35 milioni di euro oppure, nel caso delle imprese, fino al 7% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore.
Per la violazione di numerosi altri obblighi previsti dal regolamento — compresi determinati obblighi di provider, deployer e quelli di trasparenza dell’articolo 50 — il massimale è invece di 15 milioni di euro o fino al 3% del fatturato mondiale totale annuo, se superiore.
La fornitura di informazioni inesatte, incomplete o fuorvianti agli organismi notificati o alle autorità nazionali competenti in risposta a una loro richiesta può infine comportare sanzioni fino a 7,5 milioni di euro o all’1% del fatturato mondiale annuo, se superiore. Per le PMI, comprese le start-up, il regolamento prevede un meccanismo più favorevole: tra importo fisso e percentuale si applica il limite inferiore.
I massimali, tuttavia, non significano che ogni violazione generi automaticamente una sanzione di quell’entità. La determinazione della multa deve tenere conto delle circostanze concrete, tra cui natura, gravità e durata della violazione, grado di responsabilità dell’organizzazione, eventuali precedenti, misure adottate per limitare il danno e livello di cooperazione con le autorità.
L’approccio corretto non è quindi leggere il «7% del fatturato» come una multa standard, ma comprendere che l’AI Act prevede un sistema di enforcement basato su sanzioni effettive, proporzionate e dissuasive.
In Italia il quadro europeo si affianca alla Legge 23 settembre 2025, n. 132, entrata in vigore il 10 ottobre 2025, che ha definito diversi aspetti della governance nazionale dell’intelligenza artificiale.
La legge individua AgID e ACN come Autorità nazionali per l’intelligenza artificiale. In particolare, AgID svolge il ruolo di autorità di notifica, mentre l’Agenzia per la cybersicurezza nazionale è designata come autorità di vigilanza del mercato e punto di contatto unico con le istituzioni europee, ferme restando le competenze attribuite ad altre autorità in specifici settori, come quello finanziario.
Per le aziende questo passaggio è importante perché la conformità non è più soltanto un progetto preparatorio in vista di future scadenze. Il regolamento dispone ormai di un’architettura di governance e vigilanza attraverso la quale le autorità possono verificare il rispetto delle disposizioni applicabili e adottare le misure previste dalla normativa.
Il primo errore da evitare consiste nel partire direttamente da una generica checklist dell’AI Act. Come per la classificazione dei rischi, anche qui il percorso dovrebbe partire dalla realtà operativa dell’organizzazione.
Il primo passo consiste nel censire i sistemi di IA effettivamente utilizzati. Non soltanto i grandi progetti sviluppati dall’IT, ma anche gli strumenti acquistati come servizi SaaS, le funzionalità di IA integrate nei software aziendali e gli strumenti generativi utilizzati autonomamente dai diversi reparti.
Per ciascun sistema occorre poi chiarire chi lo utilizza, per quale finalità, quali dati vi vengono inseriti, quali persone possono essere interessate dai suoi output e quale ruolo ricopre l’organizzazione.
Su questa base diventa possibile verificare gli obblighi già applicabili.
Come base organizzativa, un’azienda dovrebbe almeno essere in grado di dimostrare di avere affrontato quattro aree: mappatura degli strumenti di IA, alfabetizzazione del personale, regole interne di utilizzo e verifica degli eventuali obblighi di trasparenza applicabili.
Questo significa, ad esempio, predisporre misure di alfabetizzazione coerenti con i diversi ruoli aziendali, stabilire quali informazioni possano essere inserite negli strumenti generativi, definire quando sia necessaria una revisione umana e individuare i casi nei quali clienti, utenti o destinatari di un contenuto debbano essere informati dell’intervento dell’intelligenza artificiale.
Per i sistemi destinati a rientrare tra quelli ad alto rischio, occorre aggiungere un secondo livello di analisi: verificare fin da ora la classificazione, la documentazione disponibile presso il provider, le responsabilità interne e gli adeguamenti necessari in vista delle successive scadenze.
La domanda utile non è quindi «quanto tempo manca all’AI Act?». L’AI Act è già applicabile in una parte sostanziale delle sue disposizioni.
La domanda corretta è «quali obblighi sono già applicabili ai sistemi che utilizziamo oggi e quali dobbiamo prepararci a rispettare nelle prossime fasi?».
È questa distinzione a trasformare il calendario normativo da una serie di date difficili da interpretare in un vero piano di conformità aziendale.
Articoli correlati
L’integrazione dell’intelligenza artificiale nei processi produttivi genera spesso il timore di una progressiva sostituzione dell’essere umano. Tuttavia, i dati delineano uno scenario diverso: circa un
Sempre più spesso, durante le riunioni strategiche o di aggiornamento aziendale, emergono sigle come LLM, RAG o prompt. Non si tratta più di un linguaggio
Aprire ChatGPT per farsi aiutare a scrivere una mail complessa, riassumere un lungo report o correggere una porzione di codice è diventata un’abitudine quotidiana per
Il rischio di estinzione da intelligenza artificiale è tornato al centro del discorso pubblico. Questa volta con una firma precisa: il 9 settembre un ricercatore
Il Regolamento europeo sull’Intelligenza Artificiale, noto come AI Act, rappresenta il primo quadro normativo organico dell’Unione europea pensato per disciplinare lo sviluppo e l’impiego delle
Sapere quando interrompere un’iniziativa di intelligenza artificiale è uno dei test più severi per la governance aziendale. Nella narrazione dominante sull’innovazione tecnologica, l’abbandono di un’iniziativa
