Con il Regolamento (UE) 2024/1689 — il cosiddetto AI Act — l’Unione europea si è dotata della prima disciplina organica dell’intelligenza artificiale. Non è una norma per soli sviluppatori: riguarda anche, e soprattutto, le imprese che l’IA si limitano a utilizzarla, per selezionare il personale, profilare i clienti, automatizzare decisioni o generare contenuti. Conviene perciò inquadrare che cosa l’AI Act preveda, a chi si applichi, quali obblighi introduca, entro quali termini e con quali sanzioni — senza allarmismi, ma con la consapevolezza che la conformità va costruita per tempo.
Che cos’è l’AI Act e a chi si applica
L’AI Act, pubblicato in Gazzetta ufficiale dell’Unione europea il 12 luglio 2024 ed entrato in vigore il 1° agosto 2024, disciplina lo sviluppo, l’immissione sul mercato e l’uso dei sistemi di intelligenza artificiale nell’Unione. Si rivolge a una pluralità di soggetti: i fornitori (chi sviluppa o immette sul mercato un sistema di IA), i deployer o utilizzatori professionali (chi lo impiega nella propria attività), nonché importatori e distributori. La portata è extraterritoriale: il Regolamento si applica anche a operatori stabiliti fuori dall’Unione, quando l’output del sistema è utilizzato nell’Unione.
L’approccio basato sul rischio
La logica dell’AI Act è graduare gli obblighi in funzione del rischio che il sistema pone ai diritti e alla sicurezza delle persone. Si distinguono quattro livelli:
- Rischio inaccettabile — le pratiche vietate dall’art. 5: tra le altre, il social scoring, le tecniche manipolative o subliminali, lo scraping massivo di volti per il riconoscimento facciale, il riconoscimento delle emozioni sul luogo di lavoro e a scuola.
- Alto rischio — i sistemi elencati negli allegati (tra cui l’IA per la selezione e gestione del personale, l’accesso al credito e ai servizi essenziali, l’istruzione, la giustizia, le infrastrutture critiche, la biometria): consentiti, ma soggetti a obblighi stringenti.
- Rischio limitato — soggetto a soli obblighi di trasparenza (art. 50): l’utente va informato che sta interagendo con un’IA (si pensi a un chatbot) e i contenuti sintetici, compresi i deepfake, vanno etichettati come tali.
- Rischio minimo — la gran parte dei sistemi, di libero utilizzo.
Quali obblighi per le imprese
Per i sistemi ad alto rischio il Regolamento prescrive, in capo al fornitore, un articolato sistema di compliance: un sistema di gestione del rischio, requisiti di governance dei dati di addestramento, documentazione tecnica e registrazione degli eventi, trasparenza verso gli utilizzatori, sorveglianza umana, adeguati livelli di accuratezza, robustezza e cibersicurezza, oltre alla valutazione di conformità e alla marcatura CE.
Sul deployer — l’impresa che utilizza il sistema — gravano obblighi propri: impiegarlo conformemente alle istruzioni, garantire la sorveglianza umana da parte di personale competente, monitorarne il funzionamento e, in taluni casi, svolgere una valutazione d’impatto sui diritti fondamentali. Anche chi «soltanto usa» l’IA, dunque, ha responsabilità precise.
Le tempistiche
L’applicazione è progressiva. Il calendario originario è stato rivisto dal pacchetto «Digital Omnibus», approvato dal Parlamento europeo il 16 giugno 2026 e, in via definitiva, dal Consiglio dell’UE il 29 giugno 2026: il regolamento modificativo, in corso di pubblicazione nella Gazzetta ufficiale dell’Unione europea, ha differito le scadenze per i sistemi ad alto rischio. Il calendario aggiornato:
- 2 febbraio 2025: divieto delle pratiche a rischio inaccettabile (art. 5) e obblighi di alfabetizzazione in materia di IA;
- 2 agosto 2025: obblighi per i modelli di IA per finalità generali (GPAI) e avvio della governance;
- 2 agosto 2026: obblighi di trasparenza (art. 50) — chatbot riconoscibili ed etichettatura dei contenuti sintetici, con finestra transitoria fino al 2 dicembre 2026 per la marcatura tecnica dei sistemi già sul mercato — oltre alla designazione delle autorità nazionali e all’avvio del regime sanzionatorio;
- 2 dicembre 2027: obblighi per i sistemi ad alto rischio «autonomi» (Allegato III), termine così differito dal Digital Omnibus;
- 2 agosto 2028: obblighi per i sistemi ad alto rischio integrati in prodotti regolamentati (Allegato I).
Il differimento riguarda dunque i soli sistemi ad alto rischio: nell’agosto 2026 scattano comunque trasparenza, autorità nazionali e sanzioni. Gli estremi del regolamento modificativo andranno citati non appena pubblicati in Gazzetta ufficiale.
Le sanzioni
L’art. 99 articola le sanzioni su più fasce: fino a 35 milioni di euro o al 7% del fatturato mondiale annuo per le pratiche vietate (art. 5); fino a 15 milioni o al 3% per la violazione degli altri obblighi (fornitori, deployer, trasparenza); fino a 7,5 milioni o all’1% per le informazioni false o fuorvianti rese alle autorità. Per le PMI e le start-up si applica, tra l’importo fisso e la percentuale, quello inferiore.
AI Act e GDPR: due discipline che si sommano
L’AI Act non sostituisce il GDPR: vi si affianca. Ogni sistema di IA che tratti dati personali resta integralmente soggetto al Regolamento sulla protezione dei dati — dalla base giuridica all’informativa, fino al diritto a non essere sottoposti a decisioni automatizzate (art. 22 GDPR). Per molte imprese il primo banco di prova dell’IA non sarà l’AI Act, la cui applicazione è graduale, bensì il GDPR, già pienamente operativo.
Il quadro italiano
Al regolamento europeo si aggiunge la legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025: la prima legge nazionale sull’intelligenza artificiale. Affida la governance ad AgID e ACN, impone obblighi di trasparenza verso i lavoratori sull’uso di sistemi di IA, detta regole per le professioni intellettuali e la sanità e introduce una nuova fattispecie penale per la diffusione dannosa di deepfake. Le imprese italiane devono considerarla insieme all’AI Act.
Cosa dice la giurisprudenza
L’AI Act, in applicazione progressiva, non ha ancora una propria casistica sanzionatoria. La cornice già operativa è però il GDPR, sul quale il Garante è intervenuto proprio sui sistemi algoritmici di gestione dei lavoratori — un ambito che l’AI Act qualifica come ad alto rischio.
Con l’ordinanza ingiunzione del 10 giugno 2021 (doc. web n. 9675440) il Garante ha sanzionato per 2,6 milioni di euro la società Foodinho, del gruppo Glovo, per la gestione algoritmica di circa diciannovemila rider: il sistema di assegnazione degli ordini e il punteggio reputazionale penalizzavano i fattorini secondo criteri non trasparenti, senza adeguate garanzie sull’esattezza dei dati e sul diritto a un intervento umano. Con un successivo provvedimento del 13 novembre 2024 (doc. web n. 10074601) l’Autorità è tornata sulla medesima società, irrogando una sanzione di 5 milioni di euro e prescrivendo, tra l’altro, che le decisioni adottate dall’algoritmo siano verificate da operatori adeguatamente formati. Sono, in sostanza, gli stessi presìdi — trasparenza, accuratezza, sorveglianza umana, non discriminazione — che l’AI Act impone, in forma rafforzata, ai sistemi ad alto rischio.
Orientarsi per tempo nell’AI Act — mappare i sistemi utilizzati, classificarne il rischio, predisporre le misure dovute — è il modo per trasformare un obbligo in un vantaggio competitivo. È un percorso che si intreccia strettamente con l’adeguamento al GDPR e con la più ampia compliance d’impresa.
Domande frequenti
L’AI Act si applica alla mia azienda? Sì, se sviluppa, immette sul mercato o utilizza sistemi di IA. L’intensità degli obblighi dipende dal livello di rischio del sistema; per molti usi quotidiani è minima, ma non azzerata.
Da quando è obbligatorio l’AI Act? È in vigore dal 1° agosto 2024; i divieti si applicano dal 2 febbraio 2025, gli obblighi di trasparenza dal 2 agosto 2026 e quelli sui sistemi ad alto rischio — per effetto del differimento deciso con il Digital Omnibus — dal 2 dicembre 2027 (Allegato III) e dal 2 agosto 2028 (Allegato I).
Usare ChatGPT o un’IA generativa in azienda rientra nell’AI Act? Spesso si tratta di usi a rischio minimo, con obblighi lievi (soprattutto di trasparenza); resta però sempre dovuto il rispetto del GDPR per i dati personali trattati.
Il presente approfondimento ha finalità informative e fotografa la disciplina vigente alla data di pubblicazione; non sostituisce una valutazione del caso concreto.
Questo approfondimento ha finalità informative e divulgative e non costituisce un parere legale sul caso concreto. Contenuto verificato dal Dott. Giuseppe Foti, consulente legale — ultima verifica: 15 luglio 2026.