EU AI Act: cos'è e cosa devono fare le aziende

Cos'è e a chi si applica

Il regolamento è entrato in vigore il 1° agosto 2024 e si applica per fasi. Riguarda i fornitori (provider), cioè chi sviluppa o immette sul mercato un sistema di AI, ma anche gli utilizzatori (deployer), cioè le organizzazioni che lo usano nella loro attività, oltre a importatori e distributori. Ha effetto extraterritoriale: vale anche per chi è fuori dall'UE se immette sistemi sul mercato europeo o se i risultati del sistema sono usati nell'UE.

Le date da conoscere

• 1° agosto 2024: entrata in vigore.
• 2 febbraio 2025: si applicano i divieti sulle pratiche inaccettabili e l'obbligo di alfabetizzazione in materia di AI (articolo 4).
• 2 agosto 2025: si applicano gli obblighi per i modelli di AI per scopi generali e le regole di governance.
• 2 agosto 2026: data di applicazione generale. Si applicano, tra l'altro, gli obblighi di trasparenza dell'articolo 50 (chatbot, contenuti generati, deepfake); i sistemi generativi già sul mercato prima di questa data hanno tempo fino al 2 dicembre 2026 per marcare i contenuti prodotti.
• 2 dicembre 2026: si applicano due nuovi divieti introdotti dal Digital Omnibus (Regolamento (UE) 2026/1744, in vigore dal 27 luglio 2026): i sistemi che generano immagini intime realistiche di una persona senza il suo consenso e quelli che generano materiale pedopornografico.
• Alto rischio: il Digital Omnibus ha rinviato gli obblighi, al 2 dicembre 2027 per i sistemi dei casi d'uso dell'allegato III (come lavoro, istruzione, credito) e al 2 agosto 2028 per quelli incorporati in prodotti regolati (allegato I).

Le norme sono state modificate di recente e possono cambiare ancora: prima di decidere verifica sempre il testo consolidato su EUR-Lex.

Cosa devono fare le aziende, in pratica

• Mappare: fai un inventario dei sistemi di AI che sviluppi o usi, compresi gli strumenti generativi usati dai dipendenti.
• Classificare: per ogni sistema stabilisci il livello di rischio e il tuo ruolo (fornitore o utilizzatore).
• Escludere i divieti: verifica che nessun uso rientri nelle pratiche vietate.
• Formare: sviluppa le competenze del personale sull'AI, come richiede l'articolo 4.
• Governare: assegna responsabilità, prevedi supervisione umana, documentazione e regole per la scelta dei fornitori.

Quali sono le sanzioni

Le sanzioni massime sono di 35 milioni di euro o il 7% del fatturato mondiale annuo per le pratiche vietate, di 15 milioni o il 3% per la violazione di altri obblighi e di 7,5 milioni o l'1% per informazioni scorrette alle autorità. Per le PMI e, dopo il Digital Omnibus, anche per le piccole imprese a media capitalizzazione (small mid-cap) vale l'importo più basso tra i due.

Da dove iniziare

Il primo passo è sempre l'inventario: non si può classificare né governare ciò che non si conosce. Un registro semplice con sistema, scopo, fornitore, dati usati, persone coinvolte e responsabile interno è già un'ottima base, utile qualunque sia la scadenza finale.