Cos’è l’AI Act e perché riguarda anche la tua azienda
L’AI Act (Regolamento UE 2024/1689) è il primo quadro giuridico organico al mondo sull’intelligenza artificiale. È entrato in vigore il 1° agosto 2024 e si applica gradualmente fino al 2027, con l’obiettivo di garantire un uso sicuro, trasparente e rispettoso dei diritti fondamentali dei sistemi AI, senza frenare l’innovazione.
Un punto spesso sottovalutato: il Regolamento non riguarda solo chi sviluppa modelli di intelligenza artificiale. Si applica anche a chi li utilizza nella propria attività — chatbot sul sito, strumenti di generazione contenuti, sistemi di raccomandazione, software di selezione del personale, scoring dei clienti e molto altro. Se la tua azienda integra AI in un prodotto, in un e-commerce o in un processo interno, l’AI Act ti riguarda.
Il Regolamento si applica a chiunque immetta sistemi AI sul mercato UE o i cui output siano utilizzati da persone nell’Unione Europea, indipendentemente da dove ha sede l’azienda. Coinvolge quattro ruoli distinti: fornitori, utilizzatori (deployer), importatori e distributori di sistemi AI.
I quattro livelli di rischio dell’AI Act
L’AI Act non regola l’AI come tecnologia in sé, ma in base al rischio che un determinato utilizzo comporta per le persone. Capire in quale categoria ricadono i tuoi sistemi è il primo passo per sapere cosa devi concretamente fare.
Rischio inaccettabile
Pratiche vietate in assoluto: manipolazione subliminale del comportamento, social scoring generalizzato, identificazione biometrica in tempo reale in spazi pubblici (salvo eccezioni tassative). Questi divieti sono in vigore dal 2 febbraio 2025.
Alto rischio
Sistemi usati in ambiti sensibili: selezione del personale, accesso al credito, salute, infrastrutture critiche. Richiedono valutazione di conformità, documentazione tecnica approfondita e supervisione umana obbligatoria. La piena applicabilità è prevista dal 2 agosto 2026, con alcune proroghe al 2027-2028 introdotte dal Digital Omnibus AI.
Rischio limitato
Chatbot, deepfake, contenuti generati da AI: l’utente deve sapere che sta interagendo con un sistema automatizzato o che un contenuto è prodotto da AI. Gli obblighi dell’Art. 50 entrano pienamente in vigore il 2 agosto 2026.
Rischio minimo
La maggior parte degli strumenti AI oggi in uso — filtri antispam, videogiochi, sistemi di suggerimento — rientra in questa categoria. Nessun obbligo cogente, ma sono incoraggiati codici di condotta volontari.
Le scadenze che contano davvero
L’AI Act non si applica tutto insieme: entra in vigore per fasi successive. Conoscere le date giuste ti permette di pianificare senza correre all’ultimo momento.
1 agosto 2024 — Entrata in vigore. Il Regolamento è operativo in tutti gli Stati membri UE. Parte il conto alla rovescia per tutte le scadenze successive.
2 febbraio 2025 — Divieti e AI literacy. Diventano operativi i divieti sulle pratiche a rischio inaccettabile e l’obbligo di alfabetizzazione AI (Art. 4) per il personale che utilizza questi sistemi.
2 agosto 2025 — Modelli AI general purpose e governance. Entrano in applicazione gli obblighi di trasparenza per i fornitori di modelli GPAI e le regole di governance, comprese le sanzioni.
2 agosto 2026 — Piena applicabilità. La maggior parte delle norme rimanenti: obblighi di trasparenza sui contenuti generati da AI (Art. 50), sandbox normative nazionali obbligatorie in ogni Stato membro.
2 dicembre 2027 — Alto rischio “standalone” (Allegato III). Per effetto del Digital Omnibus AI (accordo politico maggio 2026, adottato formalmente a giugno 2026), l’obbligo di conformità per i sistemi ad alto rischio elencati nell’Allegato III slitta a questa data.
2 agosto 2028 — Alto rischio nei prodotti regolamentati. Le regole per i sistemi AI integrati come componenti di sicurezza in prodotti già regolamentati (dispositivi medici, macchinari) slittano anch’esse per effetto del Digital Omnibus AI.
Le nuove date riguardano solo gli obblighi per i sistemi ad alto rischio. Gli obblighi di trasparenza dell’Art. 50 restano fissati al 2 agosto 2026, salvo una proroga di 4 mesi (fino al 2 dicembre 2026) concessa solo per la marcatura tecnica dei contenuti generati (watermarking) su sistemi già in commercio.
Sei uno sviluppatore o un’agenzia che integra AI di terzi?
Chi costruisce chatbot, tool di automazione o integrazioni AI per conto di clienti — richiamando API di modelli come quelli di OpenAI o Anthropic — si trova spesso davanti a una domanda concreta: sono provider o deployer? E cosa devo davvero implementare?
Chi è fornitore e chi è deployer
Il fornitore del modello AI general purpose ha i propri obblighi di trasparenza e documentazione come provider del modello. Se integri quel modello in un chatbot o in un tool aziendale senza modificarlo sostanzialmente, sei tipicamente un deployer del sistema risultante. Se invece immetti sul mercato un prodotto o servizio con il tuo brand basato su quel modello, diventi provider del sistema AI a valle, con l’obbligo di garantire che l’utente finale sappia di interagire con un’IA.
Il caso tipico: chatbot e-commerce o customer care
Un chatbot per l’assistenza clienti su prodotti standard, o un tool di automazione email e task interni, di norma non rientra tra i casi ad alto rischio dell’Allegato III (biometria, infrastrutture critiche, lavoro, giustizia, ecc.). Niente marcatura CE, niente valutazione di conformità: si ricade nella categoria rischio limitato, con obblighi di trasparenza ex Art. 50.
Cosa implementare in pratica
Disclosure obbligatoria: un messaggio chiaro tipo “Stai parlando con un assistente virtuale” a inizio conversazione o come elemento UI persistente, a meno che non sia già evidente dal contesto (Art. 50 par. 1, pienamente applicabile dal 2 agosto 2026).
AI literacy (Art. 4): in vigore da febbraio 2025. Per un piccolo team basta una documentazione interna su cosa fa il sistema e sui suoi limiti.
Pratiche vietate (Art. 5): verifica che il chatbot non usi tecniche manipolative o dark pattern aggressivi che sfruttino vulnerabilità degli utenti.
Marcatura degli output generati: questo obbligo è a carico del fornitore del modello GPAI, non dello sviluppatore che integra l’API senza modificarla sostanzialmente.
Decisioni automatizzate: se il sistema nega automaticamente un rimborso o l’accesso a un servizio, valuta anche il GDPR Art. 22, che si applica indipendentemente dall’AI Act.
Documentazione minima: traccia quale modello e API usi, versione e finalità — una due diligence di buon senso, più che un obbligo diretto, salvo che tu rivenda il servizio come tuo prodotto.
Domande frequenti sull’AI Act
La mia azienda usa solo un chatbot e un tool per generare contenuti: l’AI Act mi riguarda comunque?
Sì. Anche un chatbot o un generatore di contenuti testuali o immagini rientra tipicamente nella categoria rischio limitato, con obblighi di trasparenza verso gli utenti (es. dichiarare che si tratta di un sistema AI o che un contenuto è generato artificialmente). Vale la pena verificare la classificazione corretta caso per caso.
Da quando devo essere conforme?
Dipende dal tipo di obbligo: i divieti sulle pratiche a rischio inaccettabile e l’AI literacy sono attivi dal 2 febbraio 2025; gli obblighi sui modelli AI general purpose dal 2 agosto 2025; la maggior parte delle regole restanti, inclusa la trasparenza sui contenuti generati da AI, si applica dal 2 agosto 2026.
Quali sono le sanzioni in caso di mancata conformità?
Le sanzioni previste dal Regolamento arrivano fino a 35 milioni di euro o al 7% del fatturato globale annuo, a seconda di quale importo sia più elevato, in base alla gravità e alla tipologia di violazione.
L’AI Act si applica solo alle aziende con sede in UE?
No. Si applica a chiunque immetta un sistema AI sul mercato europeo o i cui output siano utilizzati da persone nell’Unione Europea, indipendentemente dalla sede legale del fornitore o dell’utilizzatore.
Da dove si comincia in pratica?
Dal censimento: prima di tutto va mappato quali sistemi AI l’azienda utilizza o integra, per capire in quale livello di rischio ricadono. È il punto di partenza di ogni percorso di adeguamento serio.
Hai dubbi su come l’AI Act si applica alla tua azienda?
KForge affianca aziende, e-commerce e agenzie nell’adeguamento all’AI Act: mappiamo i sistemi di intelligenza artificiale in uso, classifichiamo il livello di rischio e costruiamo insieme un piano di compliance concreto, senza inutili tecnicismi.
Richiedi una prima analisi gratuita
I contenuti di questo articolo hanno finalità informativa e si basano sul Regolamento (UE) 2024/1689 (AI Act) e sulle indicazioni ufficiali della Commissione Europea. KForge è tra le prime realtà in Italia a offrire un percorso di consulenza e formazione dedicato all’AI Act, con un team di Formatori Certificati ed esperienza specifica sull’uso dell’intelligenza artificiale nel business.