L’AI Act europeo non è più soltanto una normativa “in arrivo”. Nel 2026 è entrato nella sua fase operativa più importante.
Il regolamento europeo sull’intelligenza artificiale, formalmente il Regolamento (UE) 2024/1689, stabilisce regole comuni per lo sviluppo e l’utilizzo dei sistemi di IA nell’Unione Europea. L’obiettivo è ridurre i rischi per sicurezza e diritti fondamentali senza bloccare l’innovazione.
La particolarità dell’AI Act è che non tratta tutti i sistemi di intelligenza artificiale allo stesso modo: gli obblighi diventano più severi quanto maggiore è il rischio associato all’utilizzo dell’IA.
Quando è entrato in vigore l’AI Act
L’AI Act è entrato in vigore il 1° agosto 2024, ma le sue disposizioni sono state applicate progressivamente.
Dal 2 febbraio 2025 sono diventati applicabili i primi divieti relativi ad alcune pratiche di IA considerate incompatibili con i diritti fondamentali, insieme agli obblighi sull’alfabetizzazione in materia di intelligenza artificiale.
Dal 2 agosto 2025 sono entrate in applicazione le norme sulla governance e gli obblighi relativi ai modelli di IA per finalità generali, i cosiddetti GPAI.
Dal 2 agosto 2026 si applica la maggior parte delle ulteriori disposizioni del regolamento, comprese importanti regole di trasparenza, e sono diventati operativi diversi poteri di controllo ed enforcement delle autorità europee e nazionali.
Il principio fondamentale: più rischio, più obblighi
Il cuore dell’AI Act è l’approccio basato sul rischio.
Non tutti i sistemi di intelligenza artificiale presentano infatti gli stessi pericoli. Un filtro antispam non viene trattato come un sistema utilizzato per selezionare candidati a un posto di lavoro o per prendere decisioni in un settore critico.
Il regolamento distingue quindi diversi livelli di rischio.
Pratiche di IA vietate
Alcune applicazioni vengono considerate incompatibili con i principi europei e sono vietate.
Tra gli esempi previsti dal regolamento rientrano alcuni sistemi destinati a manipolare le persone, sfruttare vulnerabilità individuali o effettuare determinate forme di social scoring.
Sono inoltre previste limitazioni particolarmente severe per alcuni utilizzi dell’identificazione biometrica e per sistemi di polizia predittiva basati esclusivamente sulla profilazione.
Dal 2 febbraio 2025 una parte importante di questi divieti è già applicabile.
Sistemi di IA ad alto rischio
La categoria più delicata è quella dei sistemi ad alto rischio.
Può comprendere, a seconda dell’utilizzo concreto, sistemi impiegati in settori come:
- infrastrutture critiche;
- istruzione;
- selezione e gestione del personale;
- servizi essenziali;
- biometria;
- migrazione e controllo delle frontiere;
- amministrazione della giustizia.
Per questi sistemi sono previsti obblighi più stringenti in materia di gestione del rischio, qualità dei dati, documentazione, tracciabilità, supervisione umana e sicurezza.
Le scadenze però sono state modificate nel 2026: le regole per molti sistemi ad alto rischio dell’Allegato III saranno applicabili dal 2 dicembre 2027, mentre per quelli incorporati in prodotti regolamentati la data è il 2 agosto 2028.
Chatbot, deepfake e contenuti generati dall’IA
Uno degli aspetti che interessa maggiormente gli utenti riguarda la trasparenza.
Dal 2 agosto 2026 diventano applicabili specifici obblighi previsti dall’articolo 50.
In diversi casi gli utenti devono essere informati quando stanno interagendo con un sistema di IA anziché con una persona.
Sono inoltre previste regole sulla riconoscibilità di alcuni contenuti generati o manipolati artificialmente, compresi i deepfake.
Questo significa che il tema del “contenuto creato dall’intelligenza artificiale” non riguarda più soltanto una questione etica o editoriale: in determinate circostanze entra direttamente nel quadro normativo europeo.
Cosa cambia per le aziende che utilizzano l’IA
Per un’impresa, il primo passaggio non è semplicemente chiedersi se utilizza intelligenza artificiale.
La domanda corretta è: che ruolo ha l’azienda e quale tipo di sistema utilizza?
Il regolamento distingue infatti tra diversi operatori, tra cui fornitori e deployer, cioè soggetti che utilizzano sistemi di IA nell’ambito della propria attività.
Gli obblighi possono variare notevolmente.
Un’azienda che utilizza un semplice strumento di produttività basato sull’IA potrebbe trovarsi in una situazione molto diversa rispetto a un’impresa che sviluppa un sistema utilizzato per selezionare lavoratori o prendere decisioni che incidono sui diritti delle persone.
Cosa cambia per i modelli di IA generativa
L’AI Act contiene anche regole specifiche per i modelli di IA per finalità generali, o GPAI.
Questa categoria comprende i modelli capaci di svolgere numerosi compiti differenti e che possono essere utilizzati come base per altri sistemi.
Gli obblighi per i fornitori di questi modelli sono diventati applicabili dal 2 agosto 2025. Dal 2 agosto 2026 la Commissione dispone inoltre di poteri di enforcement relativamente a questi obblighi.
Per i modelli più avanzati, soprattutto quelli associati a rischi sistemici, sono previste misure ulteriori relative alla valutazione e mitigazione dei rischi.
Cos’è l’AI Office europeo
Un ruolo centrale nell’applicazione della normativa è affidato all’AI Office della Commissione europea.
L’ufficio collabora con le autorità nazionali e svolge funzioni particolarmente importanti per i modelli di IA per finalità generali e per alcuni sistemi di grande rilevanza.
Dal 2 agosto 2026 sono diventati operativi diversi poteri di enforcement a livello europeo e nazionale.
L’AI Act riguarda anche ChatGPT e gli assistenti AI?
Sì, ma non nel senso che ogni chatbot venga automaticamente classificato come “ad alto rischio”.
Il trattamento dipende dalle caratteristiche del sistema, dal suo utilizzo e dal ruolo dell’operatore.
Per gli assistenti che interagiscono direttamente con le persone assumono particolare importanza gli obblighi di trasparenza.
L’AI Act si applica inoltre ai modelli di IA per finalità generali che possono costituire la base tecnologica di chatbot e assistenti avanzati.
Quali sono le prossime scadenze
Il calendario non si conclude nel 2026.
Le principali date da ricordare sono:
- 2 agosto 2026: applicazione della maggior parte delle regole e avvio di importanti poteri di enforcement;
- 2 dicembre 2026: entrata in applicazione di ulteriori disposizioni specifiche e di alcune norme transitorie;
- 2 agosto 2027: gli Stati membri dovrebbero disporre di almeno una regulatory sandbox operativa;
- 2 dicembre 2027: applicazione delle regole per numerosi sistemi ad alto rischio dell’Allegato III;
- 2 agosto 2028: applicazione delle regole per i sistemi ad alto rischio incorporati in prodotti regolamentati.
Cosa significa concretamente per cittadini e imprese
Per i cittadini, l’obiettivo principale è ottenere maggiore trasparenza e protezione nei casi in cui l’intelligenza artificiale può incidere su diritti, sicurezza o decisioni importanti.
Per le imprese, invece, diventa fondamentale capire quale ruolo ricoprono nella filiera dell’IA e quali obblighi si applicano ai sistemi utilizzati.
L’AI Act non vieta l’intelligenza artificiale. Cerca piuttosto di distinguere tra utilizzi a basso rischio, che restano sostanzialmente liberi, e applicazioni che possono produrre conseguenze più rilevanti e che richiedono quindi maggiori garanzie.
Giornalista e analista, scrive di economia italiana, innovazione e imprese. Appassionato di tecnologia e finanza, racconta il presente e il futuro delle aziende che fanno muovere il Paese.
