AI Act: gli obblighi sono già iniziati

Reg. UE 2024/1689 · Digital Omnibus 2026

Cosa è cambiato, e cosa no

Nelle settimane precedenti ad agosto 2026 è intervenuto il Digital Omnibus, che ha riscritto parte del calendario di applicazione. La lettura che circola è però imprecisa in una direzione pericolosa: molti hanno capito che sia stato rinviato tutto. Non è così, e chi si è fermato ai titoli rischia di trovarsi scoperto.

Già in vigore, senza proroghe

• Gli obblighi di trasparenza dell'art. 50: chi interagisce con un sistema di IA deve esserne informato, i contenuti generati o manipolati vanno dichiarati, e lo stesso vale per i sistemi di riconoscimento delle emozioni
• Il regime sanzionatorio, con importi che arrivano fino a 35 milioni di euro o al 7% del fatturato mondiale annuo per le violazioni più gravi
• La piena operatività delle autorità nazionali di vigilanza

Rinviato

Le disposizioni sui sistemi ad alto rischio: al 2 dicembre 2027 per i sistemi autonomi dell'Allegato III, al 2 agosto 2028 per quelli integrati nei prodotti dell'Allegato I. Il motivo è concreto: gli standard armonizzati e gli strumenti di valutazione della conformità non erano pronti.

In vigore da prima

• Dal 2 febbraio 2025 le pratiche vietate dell'art. 5 e l'obbligo di alfabetizzazione, cioè di garantire un livello adeguato di competenza a chi utilizza sistemi di IA per conto dell'organizzazione
• Dal 2 agosto 2025 gli obblighi sui modelli per finalità generali

Il primo passo non è tecnologico

È sapere quali sistemi di intelligenza artificiale sono già entrati in azienda. Nella maggior parte dei casi sono arrivati dal basso — un reparto che ha attivato un assistente, un fornitore che ha aggiunto una funzione al gestionale, un collaboratore che usa uno strumento personale sul lavoro — senza che nessuno li abbia deliberati né censiti.

Non si può governare ciò che non si conosce, e non si può dichiarare la trasparenza di un sistema di cui si ignora l'esistenza.

Cosa facciamo

• Inventario dei sistemi di IA in uso, inclusi quelli introdotti dai singoli reparti e quelli incorporati in software di terze parti
• Classificazione del ruolo: fornitore o utilizzatore, con conseguenze molto diverse sul piano degli obblighi
• Classificazione del rischio per ciascun sistema, con verifica delle pratiche vietate
• Informative di trasparenza dove previste dall'art. 50
• Piano di alfabetizzazione del personale, obbligatorio e già esigibile, con attestazione
• Raccordo con il GDPR quando il sistema tratta dati personali
• Presidio dell'evoluzione normativa, con revisione alle scadenze del 2027 e del 2028

Il punto che sfugge: AI Act e GDPR non coincidono

Si sovrappongono ma rispondono a logiche diverse. Il GDPR protegge gli interessati rispetto al trattamento dei loro dati; l'AI Act protegge sicurezza e diritti fondamentali rispetto al sistema in quanto tale, anche quando i dati personali non sono coinvolti.

Un sistema di IA che tratta dati personali risponde a entrambi. Trattarli separatamente significa produrre due impianti documentali che non si parlano, e pagare due volte lo stesso lavoro di ricognizione.

Contenuto aggiornato ad agosto 2026. Il quadro è in evoluzione: verificate sempre la versione vigente delle norme citate.