Il Regolamento europeo sull’intelligenza artificiale — Regolamento UE 2024/1689, noto come AI Act — è entrato in vigore il 1° agosto 2024 con un calendario di applicazione progressiva distribuito su tre anni. Le prime scadenze operative sono scattate il 2 febbraio 2025, con il divieto dei sistemi AI classificati come a rischio inaccettabile. Il 2 febbraio 2026 è diventato operativo l’obbligo di competenza in materia di IA per il personale coinvolto, previsto dall’articolo 4. Ad agosto 2026 scattano gli obblighi più impegnativi: quelli per i sistemi ad alto rischio e per i modelli general purpose. Per le imprese europee — e italiane in particolare — il tempo della preparazione teorica è finito. Le scadenze sono qui.
Febbraio 2025: i divieti sui sistemi a rischio inaccettabile
Dal 2 febbraio 2025 sono vietati i sistemi di IA che l’articolo 5 del Regolamento classifica come a rischio inaccettabile. L’elenco è specifico e riguarda categorie di sistemi che l’Unione Europea ha giudicato incompatibili con i diritti e i valori europei. Include i sistemi di social scoring usati dalle autorità pubbliche — quelli che assegnano un punteggio ai cittadini in base al comportamento e condizionano l’accesso a servizi sulla base di quel punteggio. Include i sistemi che sfruttano vulnerabilità di gruppi specifici — minori, anziani, persone con disabilità — per distorcerne il comportamento in modo da causare danno. Include i sistemi di identificazione biometrica in tempo reale in spazi accessibili al pubblico, con eccezioni limitate per le forze dell’ordine in casi di reati gravi, persone scomparse e minacce terroristiche.
Rientrano nel divieto anche i sistemi che inferiscono emozioni nei luoghi di lavoro e nelle istituzioni educative (con eccezioni per motivi medici o di sicurezza), i sistemi di categorizzazione biometrica basati su caratteristiche sensibili come razza, orientamento sessuale o convinzioni politiche, e i sistemi di scraping non mirato di immagini facciali da internet o da telecamere a circuito chiuso per creare database di riconoscimento facciale. Le imprese europee che operavano in queste aree hanno dovuto interrompere le attività o adeguarsi entro quella data. Il divieto è già pienamente operativo e le sanzioni per la violazione possono raggiungere il 7% del fatturato annuo mondiale dell’impresa.
Febbraio 2026: l’obbligo di competenza AI per il personale
Il 2 febbraio 2026 è diventato operativo l’articolo 4 del Regolamento, che impone un obbligo di alfabetizzazione in materia di intelligenza artificiale. Si tratta probabilmente della scadenza più sottovalutata e al tempo stesso più capillare dell’intero AI Act. L’obbligo riguarda non solo chi sviluppa sistemi di IA ma anche chi li utilizza in ambito professionale: fornitori, operatori, e — nella lettura estensiva adottata dalle prime linee guida della Commissione — qualunque organizzazione che impieghi sistemi AI nei propri processi.
In pratica, un’azienda che adotta un chatbot per il servizio clienti, un sistema di raccomandazione per il marketing, uno strumento AI per l’analisi dei dati, un software di screening dei curricula o un assistente virtuale per la produttività interna deve garantire che il personale coinvolto nella gestione e nell’uso di tali sistemi abbia un livello sufficiente di competenza. Il Regolamento specifica che la competenza deve essere “proporzionata al contesto in cui il sistema è usato” e deve tenere conto della conoscenza tecnica, dell’esperienza, dell’istruzione e della formazione delle persone coinvolte, nonché del contesto operativo e delle persone su cui il sistema produce effetti.
Il Regolamento non prescrive un formato specifico per la formazione — non impone corsi certificati, esami di stato o attestazioni obbligatorie. Ma richiede che la competenza sia adeguata e documentabile. Per le imprese, questo si traduce nella necessità di implementare programmi formativi interni o esterni, tenere registrazione delle attività di formazione svolte, e poter dimostrare, in caso di controllo da parte dell’autorità nazionale competente, che il personale è stato adeguatamente preparato. L’assenza di un formato rigido offre flessibilità, ma anche incertezza: ogni impresa deve definire autonomamente cosa significa “competenza adeguata” nel proprio contesto, e questo richiede una valutazione caso per caso.
Agosto 2026: i sistemi ad alto rischio e i modelli general purpose
Il 2 agosto 2026 segna il passaggio alle scadenze più impegnative dell’intero Regolamento. Diventano pienamente operativi gli obblighi per i sistemi AI classificati come ad alto rischio secondo l’Allegato III. Questi obblighi sono dettagliati negli articoli da 9 a 15 e comprendono: implementazione di un sistema di gestione del rischio documentato e aggiornato, requisiti di qualità e governance dei dati di addestramento, predisposizione di documentazione tecnica completa, sistema di registrazione automatica degli eventi (logging), obblighi di trasparenza e informazione verso gli utenti, misure di sorveglianza umana (human oversight), e requisiti di accuratezza, robustezza e sicurezza informatica.
I sistemi ad alto rischio sono quelli impiegati in otto aree critiche elencate nell’Allegato III: identificazione biometrica e categorizzazione delle persone, gestione e funzionamento di infrastrutture critiche (trasporti, energia, acqua, telecomunicazioni), istruzione e formazione professionale (accesso, ammissione, valutazione), occupazione e gestione dei lavoratori (screening curricula, promozioni, licenziamenti), accesso a servizi essenziali privati e pubblici (credito, assicurazioni, servizi sociali), forze dell’ordine (valutazione del rischio di commissione di reati, analisi di prove), gestione della migrazione e dell’asilo, e amministrazione della giustizia e processi democratici.
Un’impresa italiana che utilizza un sistema AI per selezionare candidati in un processo di assunzione, per valutare il merito creditizio di un richiedente un prestito, per assegnare studenti a percorsi formativi, o per gestire l’accesso a servizi pubblici deve conformarsi a tutti gli obblighi degli articoli 9-15 entro agosto 2026. Non si tratta di adempimenti formali: richiedono interventi tecnici, organizzativi e documentali concreti che nella maggior parte dei casi non possono essere improvvisati in pochi mesi.
Alla stessa data scattano gli obblighi per i fornitori di modelli AI general purpose (GPAI), previsti dagli articoli 51-56. Ogni fornitore di un modello general purpose — OpenAI per GPT-5, Anthropic per Claude, Google per Gemini, Meta per Llama, Mistral per i propri modelli — deve mettere a disposizione documentazione tecnica dettagliata, informazioni sul rispetto del copyright dei dati usati per l’addestramento, e una sintesi del contenuto di training. Per i modelli con rischio sistemico — quelli addestrati con potenza di calcolo superiore a una soglia fissata dal Regolamento — gli obblighi sono più stringenti e includono la valutazione del modello con metodologie standardizzate, la mitigazione dei rischi sistemici, la segnalazione di incidenti gravi alle autorità e l’implementazione di misure di sicurezza informatica adeguate.
Lo stato di preparazione delle imprese italiane
Le imprese italiane affrontano queste scadenze con livelli di preparazione estremamente eterogenei. Le grandi aziende nei settori regolamentati — banche, assicurazioni, telecomunicazioni, energia — hanno avviato processi di compliance già nel 2024, spesso con il supporto di studi legali specializzati e società di consulenza. Hanno mappato i sistemi AI in uso, classificato il livello di rischio, avviato l’adeguamento della documentazione tecnica e della governance interna. Per queste organizzazioni, agosto 2026 è una scadenza gestibile.
Le PMI, che rappresentano la stragrande maggioranza del tessuto produttivo italiano, sono in gran parte impreparate. Molte non hanno ancora mappato i sistemi AI che utilizzano — spesso integrati in software di terze parti e non percepiti come “intelligenza artificiale” dal management. Non hanno valutato il livello di rischio ai sensi dell’Allegato III. Non hanno predisposto documentazione tecnica né programmi di formazione per il personale. In alcuni casi, non sono nemmeno consapevoli che l’AI Act si applica a loro.
Il problema non è solo normativo. La mancata compliance espone le imprese a sanzioni che possono raggiungere il 3% del fatturato annuo mondiale per le violazioni relative ai sistemi ad alto rischio e il 7% per l’uso di pratiche vietate. Per una PMI italiana con fatturato di 10 milioni di euro, il 3% corrisponde a 300.000 euro — una cifra che può mettere in seria difficoltà l’azienda.
L’autorità nazionale competente e il sistema di enforcement
L’AI Act prevede che ogni Stato membro designi una o più autorità nazionali competenti per la vigilanza e l’applicazione del Regolamento. In Italia, il DDL 1146/2024 ha avviato il processo di definizione della governance nazionale, ma il quadro non è ancora completamente definito al marzo 2026. L’AgID (Agenzia per l’Italia Digitale), il Garante per la protezione dei dati personali e l’AGCM hanno competenze che si sovrappongono parzialmente nell’ambito dei sistemi AI. La definizione chiara dell’autorità o delle autorità competenti è un passaggio necessario perché il sistema di enforcement diventi operativo — le imprese devono sapere a chi rispondere e chi le controllerà.
Il Regolamento prevede anche la creazione dell’European AI Office a livello comunitario, con funzioni di coordinamento tra le autorità nazionali, supervisione sui modelli general purpose con rischio sistemico e supporto tecnico agli Stati membri. L’AI Office è già operativo e sta pubblicando linee guida interpretative che le imprese possono usare come riferimento per l’adeguamento.
Per le imprese italiane, l’incertezza sul quadro istituzionale nazionale non è una ragione per rimandare l’adeguamento. Gli obblighi del Regolamento sono chiari indipendentemente da chi li farà rispettare: la documentazione tecnica, la gestione del rischio, la formazione del personale, la trasparenza verso gli utenti sono requisiti che non cambieranno in base alla designazione dell’autorità competente. Chi inizia ora sarà pronto quando il sistema di enforcement diventerà pienamente operativo — chi rimanda rischia di trovarsi esposto.
Le risorse disponibili e il percorso di adeguamento
La Commissione Europea ha pubblicato linee guida e materiali di supporto per facilitare l’adeguamento, e diverse autorità nazionali stanno predisponendo strumenti pratici. AIPIA ha prodotto guide specifiche per le PMI italiane sulla classificazione del rischio e sugli obblighi dell’AI Act. Il mercato dei servizi di consulenza per la compliance AI è in rapida espansione, con un numero crescente di professionisti — legali, tecnici, organizzativi — che offrono audit, valutazioni del rischio, programmi formativi e supporto alla documentazione.
Per le imprese italiane che ancora non hanno iniziato il percorso di adeguamento, il consiglio operativo è pragmatico e sequenziale. Il primo passo è la mappatura: identificare tutti i sistemi AI in uso, inclusi quelli integrati in software di terze parti — un CRM con funzioni di scoring automatico, un sistema di email marketing con segmentazione predittiva, un software HR con screening automatico dei curricula sono tutti sistemi che possono rientrare nell’ambito del Regolamento. Il secondo passo è la classificazione: valutare se ciascun sistema rientra tra quelli a rischio inaccettabile, ad alto rischio, a rischio limitato (con obblighi di trasparenza) o a rischio minimo. Il terzo è la verifica dei fornitori: controllare se i fornitori di modelli general purpose hanno pubblicato la documentazione richiesta dal Regolamento e se offrono strumenti per supportare la compliance dei propri clienti. Il quarto è la formazione del personale, già obbligatoria dal febbraio 2026. Il quinto è la predisposizione della documentazione tecnica e dei sistemi di gestione del rischio per i sistemi ad alto rischio, con l’obiettivo di essere conformi entro agosto 2026.
L’AI Act non è un ostacolo burocratico: è il quadro regolamentare entro cui l’IA opererà in Europa per gli anni a venire. Le imprese che si adeguano per tempo non evitano solo le sanzioni — costruiscono un vantaggio competitivo basato sulla fiducia dei clienti, sulla solidità dei processi interni e sulla capacità di dimostrare a partner e investitori che l’adozione dell’IA avviene in modo responsabile e conforme.
