EU AI Act: tutto quello che devi sapere

Se la tua azienda sviluppa, acquista o utilizza l'IA in Europa, l' EU AI Act è ora una lettura obbligatoria.

Non si applica solo alle aziende europee, ma a qualsiasi organizzazione i cui sistemi di IA abbiano un impatto sul mercato dell'UE.

In questa guida scoprirai cos'è l'EU AI Act, come è strutturata la normativa, l'impatto concreto sulla tua attività e come integrare i suoi requisiti nei tuoi flussi di lavoro.

Cos'è l'EU AI Act

L'EU AI Act è la prima legge completa al mondo sull'intelligenza artificiale. Stabilisce norme armonizzate per lo sviluppo, l'implementazione e la supervisione dell'IA in tutta l'Unione Europea.

La legge è entrata ufficialmente in vigore il 1 agosto 2024 dopo la pubblicazione nella Gazzetta ufficiale dell'UE il 12 luglio 2024. Da quel momento, i suoi obblighi vengono introdotti gradualmente anziché tutti in una volta.

Troverai l'Atto citato come Regolamento (UE) 2024/1689. Trattandosi di un regolamento (e non di una direttiva), le norme si applicano direttamente in ogni Stato membro senza necessità di recepimento nazionale.

Se sviluppi o integri modelli di IA per scopi generali (GPAI), la legge aggiunge ulteriori doveri di trasparenza e governance. Un Ufficio per l'IA dell'UE all'interno della Commissione europea coordina queste norme, in particolare per i modelli di IA per finalità generali (GPAI), e collabora con le autorità nazionali per l'applicazione.

I requisiti dell'Atto vengono introdotti gradualmente. È già in vigore: i divieti sulle pratiche proibite sono stati applicati per primi, seguiti dagli obblighi per i modelli GPAI, mentre la maggior parte degli obblighi per i sistemi ad alto rischio entrerà in vigore in seguito. Il calendario ufficiale evidenzia la pubblicazione nella GU (12 luglio 2024) e l'entrata in vigore (1° agosto 2024), con una successiva applicabilità scaglionata. La Commissione ha inoltre ribadito che le scadenze rimangono invariate nonostante le richieste di rinvio da parte del settore.

Legislazione e struttura normativa dell'AI Act dell'UE

Per capire in che modo l'AI Act dell'UE definisce i tuoi obblighi, analizziamo la sua architettura legislativa, gli obblighi principali in base al livello di rischio e le modalità di applicazione previste.

Pratiche di IA vietate (la "linea rossa")

Alcuni utilizzi dell'IA sono categoricamente vietati. L'Atto proibisce i sistemi di IA che:

• Utilizzano tecniche subliminali o manipolatorie che alterano il comportamento senza una consapevolezza cosciente.
• Sfruttano gruppi vulnerabili (a causa di età, disabilità, status sociale) in modo tale da causare danni.
• Eseguono valutazioni sociali o classificazioni comportamentali generalizzate che portano a trattamenti discriminatori o ingiusti.
• Utilizzano la categorizzazione biometrica per dedurre tratti sensibili come razza, religione, orientamento (salvo in casi strettamente regolamentati per le forze dell'ordine).

Se il tuo sistema rientra in una di queste categorie, non è consentito nell'UE.

L'approccio basato sul rischio (cosa si applica a te)

L'Atto suddivide gli obblighi in base al rischio, in modo da non sovraccaricare di conformità strumenti semplici e non sottovalutare la governance di quelli critici. Ecco come interpretare i livelli e cosa dovresti fare.

Rischio minimo o trascurabile.
Pensa ai filtri antispam o all'automazione innocua. Non hai pesanti obblighi legali ai sensi dell'Atto. Continua pure, ma segui le buone pratiche di progettazione.

Rischio limitato.
Se gli utenti interagiscono direttamente con la tua IA, come nel caso di un chatbot o di un sistema di raccomandazione, devi rendere trasparente il fatto che stanno interagendo con un'IA. Assicurati che tale informativa sia chiara e tempestiva nella tua UX.

Alto rischio.
Questa categoria riguarda l'IA utilizzata in ambiti critici come le assunzioni, l'istruzione, la sanità, le infrastrutture essenziali e l'accesso ai servizi fondamentali. In questi casi è necessaria una governance rigorosa: gestione del rischio, solidi controlli sulla qualità dei dati, supervisione umana, documentazione tecnica, accuratezza e robustezza, log di controllo e valutazione di conformità pre-immissione sul mercato. Se sei un fornitore, preparati a un lavoro preliminare significativo prima del lancio e a un monitoraggio costante in seguito.

IA per scopi generali (GPAI).
Se sviluppi o fornisci un modello ampio che altri adatteranno a valle, avrai ulteriori obblighi di trasparenza e documentazione. Potrebbe essere necessario pubblicare una sintesi delle fonti di dati protette da copyright utilizzate per l'addestramento e mantenere schede tecniche del modello e report di trasparenza. Per i modelli che presentano un "rischio sistemico", prevedi test più approfonditi e verifiche di robustezza contro attacchi avversari.

Puoi anche aderire volontariamente a codici di condotta quando operi al di fuori dell'ambito dell'IA ad alto rischio o GPAI; è un modo intelligente per dimostrare responsabilità verso clienti e autorità di regolamentazione.

Obblighi per i sistemi di IA ad alto rischio

Se la tua IA rientra nella categoria alto rischio, entrano in gioco diverse responsabilità, specialmente se agisci in qualità di fornitore. Dovrai:

• Istituire e mantenere sistemi di gestione del rischio per rilevare, valutare e mitigare i rischi.
• Garantire qualità dei dati, gestione dei bias, validazione e test dei set di dati di addestramento e di input.
• Produrre e mantenere documentazione tecnica (design, architettura, logica di controllo, limitazioni).
• Implementare supervisione umana, affinché gli esseri umani possano intervenire o sovrascrivere le decisioni.
• Soddisfare requisiti di accuratezza, robustezza, sicurezza informatica e affidabilità .
• Mantenere il monitoraggio post-commercializzazione e segnalare incidenti gravi o malfunzionamenti.
• Assegnare la marcatura CE / valutazione di conformità, spesso tramite organismi notificati nell'UE.

Per quanto riguarda i distributori (coloro che utilizzano sistemi di IA), i loro obblighi sono più leggeri ma comunque significativi: seguire le linee guida di utilizzo, monitorare il funzionamento nel contesto, conservare i log per almeno sei mesi, informare lavoratori e utenti sui rischi.

Norme specifiche per l'IA per scopi generali (GPAI)

I modelli GPAI sono più che semplici strumenti: sono infrastrutture. Ecco perché il Regolamento li tratta in modo speciale:

• I fornitori devono pubblicare riassunti dei dati protetti da copyright utilizzati per l'addestramento.
• Devono mantenere documentazione tecnica, schede del modello e rapporti di trasparenza.
• Il modello deve essere progettato per impedire la generazione di contenuti illegali (ad esempio incitamento all'odio, disinformazione).
• Per i modelli GPAI considerati a "rischio sistemico", possono applicarsi ulteriori test, controlli di robustezza avversariale e obblighi di segnalazione.

Infine, i sistemi non ad alto rischio o non GPAI possono comunque aderire a codici di condotta volontari ai sensi della Legge (Titolo III).

Governance, applicazione e sanzioni

Una buona legge è valida solo quanto il suo meccanismo di applicazione. La governance dell'AI Act dell'UE è strutturata su più livelli.

Ufficio europeo per l'IA e organi consultivi

L'AI Act istituisce un Ufficio per l'IA all'interno della Commissione europea per supervisionare la conformità a livello dell'UE, in particolare per i modelli GPAI, e per coordinare l'applicazione tra le autorità nazionali. Gli organi consultivi includono il Comitato europeo per l'intelligenza artificiale, un gruppo di esperti scientifici e un forum consultivo.

Autorità nazionali e vigilanza del mercato

Ogni Stato membro dell'UE deve designare autorità nazionali competenti (organismi di vigilanza del mercato) per supervisionare la conformità, condurre ispezioni e applicare sanzioni. Queste autorità designano inoltre organismi notificati che gestiscono le valutazioni di conformità per i sistemi ad alto rischio.

Poteri e limiti di applicazione

Le autorità nazionali esercitano poteri investigativi (richieste di documenti, audit) ai sensi del regolamento 2019/1020 sulla conformità dei prodotti. Per i modelli di IA per finalità generali (GPAI), l'Ufficio europeo per l'IA ha il potere di vigilare direttamente. Sono tuttavia previste garanzie procedurali: le richieste di documenti scambiati con consulenti legali interni sono protette e le aziende hanno il diritto di essere ascoltate prima dell'adozione di decisioni.

Sanzioni per mancata conformità

Le violazioni sono classificate in base alla gravità. Le principali sanzioni includono:

• Fino a 40 milioni di euro o il 7% del fatturato globale per pratiche vietate.
• Per violazioni in materia di trasparenza, governance dei dati o obblighi informativi: fino a 20 milioni di euro o il 4% del fatturato.
• Altre violazioni: fino a 10 milioni di euro o il 2% del fatturato.

Enti pubblici, avvocati o cittadini possono presentare reclami alle autorità nazionali. Gli organismi di regolamentazione possono imporre ordini correttivi, richiedere la sospensione dei sistemi di IA o comminare sanzioni pecuniarie.

Qual è l'impatto concreto dell'AI Act dell'UE sulle imprese

L'AI Act dell'UE non è una normativa astratta. Cambia la tua roadmap, la tua governance e il modo in cui vendi in Europa. Ecco cosa devi sapere.

3.1 Chi è interessato

L'Atto ha un'ampia portata. Vincola:

• Fornitori – aziende che sviluppano o immettono sistemi di IA sul mercato dell'UE
• Utilizzatori – aziende che utilizzano l'IA all'interno dell'UE
• Importatori e distributori – imprese che introducono sistemi di IA nell'UE o li rivendono

Si applica anche in modo extraterritoriale: se il tuo sistema viene utilizzato nell'UE, rientri nell'ambito di applicazione, indipendentemente da dove sia stato sviluppato o ospitato.

3.2 Tempistiche da monitorare

La legge è entrata in vigore il 1 agosto 2024, ma gli obblighi vengono introdotti gradualmente:

• Febbraio 2025 → entrano in vigore i divieti sulle pratiche proibite e gli obblighi di alfabetizzazione sull'IA
• Agosto 2025 → diventano operative le norme sull'IA per scopi generali (GPAI)
• Agosto 2026 → si applica la maggior parte degli obblighi per la maggior parte dei sistemi
• Agosto 2027 → i sistemi di IA ad alto rischio collegati alle norme UE sulla sicurezza dei prodotti esistenti devono essere conformi

Queste scadenze sono tassative. La Commissione ha già confermato che non ci saranno proroghe generalizzate.

3.3 Nuovi obblighi da pianificare

Per i sistemi di IA ad alto rischio, dovrai:

• Gestire un sistema di gestione del rischio
• Utilizzare set di dati di qualità e verificati per l'assenza di bias
• Produrre e mantenere una documentazione tecnica dettagliata
• Integrare la supervisione umana
• Soddisfare i requisiti di accuratezza, robustezza e sicurezza informatica
• Mantenere processi di monitoraggio post-commercializzazione e di segnalazione degli incidenti
• Superare la valutazione di conformità e apporre la marcatura CE

I fornitori si fanno carico della maggior parte di questi obblighi, ma i distributori devono anche seguire le linee guida per l'utilizzo, conservare i log, monitorare i sistemi nel loro contesto reale e informare le persone interessate quando richiesto.

Per i modelli GPAI, i fornitori devono:

• Pubblicare riepiloghi dei dati di addestramento protetti da copyright
• Produrre report di trasparenza e documentazione tecnica
• Progettare misure di salvaguardia contro i contenuti illegali
• Effettuare test di tipo adversarial se i modelli sono considerati a "rischio sistemico"

Se integri modelli GPAI nei tuoi prodotti, dovrai trasferire questi obblighi a valle e verificare che i tuoi fornitori siano conformi.

3.4 Funzioni aziendali maggiormente interessate

• Ingegneria e prodotto → Le pipeline CI/CD ora includono la convalida dei set di dati, test sui bias, controlli di robustezza, aggiornamenti della documentazione e log per la supervisione.
• Aspetti legali e conformità → Fascicoli di marcatura CE, valutazioni di conformità, clausole contrattuali per i fornitori e procedure di risposta alle autorità di regolamentazione.
• Approvvigionamento e gestione dei fornitori → Nuova due diligence sui fornitori: provenienza dei dati di addestramento, report di trasparenza, percorsi di gestione degli incidenti.
• Commerciale e vendite → La conformità diventa un elemento di fiducia nelle richieste di offerta (RFP). La marcatura CE e i report di trasparenza sui GPAI possono accelerare le revisioni di sicurezza.

3.5 Costi e rischi

La conformità ha un costo. Prevedi impatti sul budget dovuti ad audit, documentazione, formazione del personale e potenziali riprogettazioni dei sistemi. Per le aziende più piccole, l'uso di modelli e codici di condotta può alleggerire il carico, ma sarà comunque necessaria una base di governance.

Le sanzioni aumentano rapidamente:

• Fino a 40 milioni di euro o il 7% del fatturato globale per pratiche vietate
• Fino a 20 milioni di euro o il 4% per violazioni in materia di trasparenza e governance
• Fino a 10 milioni di euro o il 2% per altre violazioni

Ancor prima delle sanzioni, le indagini e gli ordini correttivi possono interrompere le operazioni e danneggiare la reputazione.

Come integrare l'AI Act dell'UE nei tuoi processi

Non serve una tesi di laurea in giurisprudenza. Serve un manuale operativo ripetibile da eseguire ogni trimestre. Ecco una sequenza pratica che puoi adottare oggi stesso.

4.1 Mappa la tua impronta AI e i ruoli

Elenca ogni sistema che utilizza o fornisce IA nel tuo prodotto e nel back-office. Indica il tuo ruolo per ogni sistema: fornitore, deployer, importatore, o distributore—poiché i doveri variano in base al ruolo. I deployer, ad esempio, devono utilizzare i sistemi come indicato, assegnare una supervisione umana, informare i lavoratori e conservare i log per almeno sei mesi.

4.2 Classifica il rischio tempestivamente

Inserisci ogni sistema nei livelli di rischio previsti dal Regolamento. Verifica se è ad alto rischio ai sensi dell'Articolo 6/Allegato III (ad esempio, assunzioni, istruzione, servizi critici). In caso affermativo, pianifica controlli rigorosi; in caso negativo, prendi nota di eventuali obblighi di trasparenza per i rischi limitati. Mantieni questo inventario aggiornato e riesaminalo quando le funzionalità cambiano.

4.3 Crea un sistema di gestione della qualità (QMS) snello

Per i sistemi ad alto rischio, un QMS è obbligatorio per i fornitori. Integra procedure per la gestione del rischio, la governance dei dataset, i test, la documentazione, la supervisione umana, la gestione degli incidenti e la marcatura CE. Trattalo come una disciplina di prodotto, non come un semplice raccoglitore.

4.4 Progetta la supervisione umana nell'UX

La supervisione umana non è una semplice casella da spuntare. Definisci chi può intervenire, quando visualizza gli avvisi e come può ignorare il sistema. Documenta gli usi impropri prevedibili e le misure di protezione per ridurli. Integra questi controlli nel flusso di lavoro effettivo degli utenti.

4.5 Documenta come se dovessi essere sottoposto a audit

Crea documentazione tecnica dinamica: scopo, limitazioni, architettura, fonti dati, piani di valutazione e rischi noti. Mantieni registri con controllo di versione e cronologia delle modifiche: ti serviranno per il monitoraggio post-commercializzazione e, in caso di alto rischio, per la valutazione della conformità. Automatizza il più possibile la raccolta delle prove.

4.6 Preparati alla conformità CE (ove applicabile)

Se la tua IA è ad alto rischio, pianifica il percorso di valutazione della conformità in anticipo. Alcune categorie prevedono il controllo interno, altre richiedono l'intervento di un organismo notificato. Non rimandare la raccolta delle prove alla settimana del rilascio: integrala nel tuo processo CI/CD. Apponi il marchio CE una volta soddisfatti i requisiti.

4.7 Allineati agli standard armonizzati

Segui i lavori del CEN-CENELEC sugli standard per l'IA e adotta quelli pertinenti non appena vengono pubblicati. Gli standard armonizzati offrono una presunzione di conformità, riducendo ambiguità e difficoltà durante gli audit. Nomina un responsabile che monitori gli aggiornamenti degli standard e li traduca in checklist operative.

4.8 Configura il monitoraggio post-commercializzazione

Stabilisci come rilevare eventuali problemi dopo il lancio: telemetria, segnalazioni di errori, feedback degli utenti e controlli periodici su bias e accuratezza. Definisci quando è necessario notificare le autorità in caso di incidente grave e quanto rapidamente puoi raccogliere le informazioni necessarie. Esegui una simulazione ora; non improvvisare durante una crisi.

4.9 Governance per i modelli GPAI (se li sviluppi o li fornisci)

Se fornisci IA per scopi generali, prepara riepiloghi dei contenuti protetti da copyright utilizzati per l'addestramento e rapporti di trasparenza. Tieni traccia del Codice di condotta per l'IA per scopi generali e del modello ufficiale per i riepiloghi dei dati di addestramento: firmarli e utilizzarli può ridurre il tuo onere di conformità.

4.10 Adotta un approccio pronto per le autorità di regolamentazione

Conosci le tue autorità di regolamentazione: la tua autorità nazionale e l' Ufficio europeo per l'IA (specialmente per l'IA per scopi generali). Mantieni un'unica fonte di verità per i documenti e designa un team di risposta. Esegui esercitazioni di simulazione per essere in grado di fornire prove in modo rapido e coerente.

4.11 Igiene dei fornitori e dei contratti

Quando acquisti IA, richiedi la classificazione del rischio, l'uso previsto, la documentazione tecnica, le schede del modello, i riepiloghi delle fonti di dati (per l'IA per scopi generali) e gli SLA sugli incidenti. Rifletti le responsabilità di fornitore e distributore nei contratti, in modo che le lacune non ricadano su di te. Rivaluta i fornitori a ogni rilascio importante.

4.12 Collega il tutto alla tua roadmap e alle scadenze

Vincola il tuo piano alla tempistica dell'UE: il Regolamento è in vigore, con un'ampia applicabilità a partire dal 2 agosto 2026, e date aggiuntive per l'IA per scopi generali e altri capitoli precedenti. La Commissione ha confermato che non ci sono pause: pianifica quindi le tue lacune ora

Noota: assistente per appunti IA conforme all'UE

Noota crittografa i tuoi dati end-to-end e li archivia in Data center nell'UE. È conforme al GDPR e agli standard di sicurezza aziendali come SOC 2 e ISO 27001, così il tuo team legale può stare tranquillo.

Il prodotto è progettato appositamente per le riunioni professionali. Registra, trascrive e riassume videochiamate, interviste telefoniche e conversazioni di persona, permettendoti di catturare ogni dettaglio senza dover gestire più app.

• Sicurezza al primo posto: l'archiviazione crittografata ospitata nell'UE, con certificazioni riconosciute, ti aiuta a soddisfare i requisiti di protezione e residenza dei dati.
• Flusso di lavoro trasparente: L'acquisizione delle riunioni, le trascrizioni e i riepiloghi creano una traccia verificabile che puoi consultare durante le revisioni interne.
• Integrazioni che rispettano la privacy: Sincronizza note e risultati con strumenti come HubSpot mantenendo i dati nell'UE e sotto crittografia.
• Lingue su larga scala: Trascrivi in oltre 80 lingue e traduci in più di 30: una soluzione ideale per i team europei che operano oltre confine.

Vuoi sfruttare al meglio le tue riunioni con uno strumento di IA conforme? Prova Noota gratuitamente ora.