Con il Regolamento (UE) 2024/1689 — il cosiddetto AI Act — l’Unione europea si è dotata della prima disciplina organica dell’intelligenza artificiale. Non è una norma per soli sviluppatori: riguarda anche, e soprattutto, le imprese che l’IA si limitano a utilizzarla, per selezionare il personale, profilare i clienti, automatizzare decisioni o generare contenuti. Conviene perciò inquadrare che cosa l’AI Act preveda, a chi si applichi, quali obblighi introduca, entro quali termini e con quali sanzioni — senza allarmismi, ma con la consapevolezza che la conformità va costruita per tempo.
Che cos’è l’AI Act e a chi si applica
L’AI Act, pubblicato in Gazzetta ufficiale dell’Unione europea il 12 luglio 2024 ed entrato in vigore il 1° agosto 2024, disciplina lo sviluppo, l’immissione sul mercato e l’uso dei sistemi di intelligenza artificiale nell’Unione. Si rivolge a una pluralità di soggetti: i fornitori (chi sviluppa o immette sul mercato un sistema di IA), i deployer o utilizzatori professionali (chi lo impiega nella propria attività), nonché importatori e distributori. La portata è extraterritoriale: il Regolamento si applica anche a operatori stabiliti fuori dall’Unione, quando l’output del sistema è utilizzato nell’Unione.
L’approccio basato sul rischio
La logica dell’AI Act è graduare gli obblighi in funzione del rischio che il sistema pone ai diritti e alla sicurezza delle persone. Si distinguono quattro livelli:
- Rischio inaccettabile — le pratiche vietate dall’art. 5: tra le altre, il social scoring, le tecniche manipolative o subliminali, lo scraping massivo di volti per il riconoscimento facciale, il riconoscimento delle emozioni sul luogo di lavoro e a scuola.
- Alto rischio — i sistemi elencati negli allegati (tra cui l’IA per la selezione e gestione del personale, l’accesso al credito e ai servizi essenziali, l’istruzione, la giustizia, le infrastrutture critiche, la biometria): consentiti, ma soggetti a obblighi stringenti.
- Rischio limitato — soggetto a soli obblighi di trasparenza (art. 50): l’utente va informato che sta interagendo con un’IA (si pensi a un chatbot) e i contenuti sintetici, compresi i deepfake, vanno etichettati come tali.
- Rischio minimo — la gran parte dei sistemi, di libero utilizzo.
Quali obblighi per le imprese
Per i sistemi ad alto rischio il Regolamento prescrive, in capo al fornitore, un articolato sistema di compliance: un sistema di gestione del rischio, requisiti di governance dei dati di addestramento, documentazione tecnica e registrazione degli eventi, trasparenza verso gli utilizzatori, sorveglianza umana, adeguati livelli di accuratezza, robustezza e cibersicurezza, oltre alla valutazione di conformità e alla marcatura CE.
Sul deployer — l’impresa che utilizza il sistema — gravano obblighi propri: impiegarlo conformemente alle istruzioni, garantire la sorveglianza umana da parte di personale competente, monitorarne il funzionamento e, in taluni casi, svolgere una valutazione d’impatto sui diritti fondamentali. Anche chi «soltanto usa» l’IA, dunque, ha responsabilità precise.
Le tempistiche
L’applicazione è progressiva. Il calendario originario è stato rivisto dal regolamento (UE) 2026/1744 del Parlamento europeo e del Consiglio, dell’8 luglio 2026 — il cosiddetto «Digital Omnibus» sull’IA —, approvato dal Parlamento europeo il 16 giugno 2026 e dal Consiglio dell’UE il 29 giugno 2026, pubblicato nella Gazzetta ufficiale dell’Unione europea (serie L) del 24 luglio 2026 ed entrato in vigore il 27 luglio 2026: il regolamento ha differito le scadenze per i sistemi ad alto rischio. Il calendario aggiornato:
- 2 febbraio 2025: divieto delle pratiche a rischio inaccettabile (art. 5) e obblighi di alfabetizzazione in materia di IA (questi ultimi poi alleggeriti dal regolamento (UE) 2026/1744: l’impresa deve adottare misure di sostegno all’alfabetizzazione del personale, senza dover garantire un livello specifico);
- 2 agosto 2025: obblighi per i modelli di IA per finalità generali (GPAI), governance, designazione delle autorità nazionali e disciplina delle sanzioni;
- 2 agosto 2026: applicazione generale del Regolamento e, in particolare, obblighi di trasparenza (art. 50) — chatbot riconoscibili ed etichettatura dei contenuti sintetici, con termine fino al 2 dicembre 2026 perché i fornitori di sistemi generativi già immessi sul mercato prima del 2 agosto 2026 si adeguino all’obbligo di marcatura tecnica (art. 50, par. 2) — e avvio dell’attività di vigilanza e sanzionatoria (le norme su autorità nazionali e sanzioni sono applicabili già dal 2 agosto 2025);
- 2 dicembre 2026: nuovi divieti introdotti dal regolamento (UE) 2026/1744 nell’art. 5 — sistemi di IA che generano immagini, video o audio intimi o sessualmente espliciti di persone riconoscibili senza il loro consenso (le cosiddette app di «nudificazione») o materiale pedopornografico;
- 2 dicembre 2027: obblighi per i sistemi ad alto rischio «autonomi» (Allegato III), termine così differito dal Digital Omnibus;
- 2 agosto 2028: obblighi per i sistemi ad alto rischio integrati in prodotti regolamentati (Allegato I).
Il differimento riguarda dunque i soli sistemi ad alto rischio: dal 2 agosto 2026 si applicano comunque gli obblighi di trasparenza e prende avvio l’attività di vigilanza e sanzionatoria.
Le sanzioni
L’art. 99 articola le sanzioni su più fasce: fino a 35 milioni di euro o al 7% del fatturato mondiale annuo per le pratiche vietate (art. 5); fino a 15 milioni o al 3% per la violazione degli altri obblighi (fornitori, deployer, trasparenza); fino a 7,5 milioni o all’1% per le informazioni false o fuorvianti rese alle autorità. Per le PMI e le start-up si applica, tra l’importo fisso e la percentuale, quello inferiore; il regolamento (UE) 2026/1744 ha esteso lo stesso criterio alle piccole imprese a media capitalizzazione, limitatamente alla seconda e alla terza fascia.
AI Act e GDPR: due discipline che si sommano
L’AI Act non sostituisce il GDPR: vi si affianca. Ogni sistema di IA che tratti dati personali resta integralmente soggetto al Regolamento sulla protezione dei dati — dalla base giuridica all’informativa, fino al diritto a non essere sottoposti a decisioni automatizzate (art. 22 GDPR). Per molte imprese il primo banco di prova dell’IA non sarà l’AI Act, la cui applicazione è graduale, bensì il GDPR, già pienamente operativo.
Il quadro italiano
Al regolamento europeo si aggiunge la legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025: la prima legge nazionale sull’intelligenza artificiale. Affida la governance ad AgID e ACN, impone obblighi di trasparenza verso i lavoratori sull’uso di sistemi di IA, detta regole per le professioni intellettuali e la sanità e introduce una nuova fattispecie penale per la diffusione dannosa di deepfake. Dal 30 settembre 2026 è inoltre in vigore il decreto legislativo 9 settembre 2026, n. 160, che adegua la normativa nazionale all’AI Act in materia di uso dell’IA nelle attività di polizia e di responsabilità civile e penale: inserisce nel codice penale l’art. 437-bis (omessa adozione di misure di sicurezza nei sistemi di IA e alterazione illecita dei sistemi), estende la responsabilità amministrativa degli enti (d.lgs. 231/2001) a questo delitto e a quello di diffusione illecita di deepfake (nuovo art. 25-vicies) e, sul piano civile, stabilisce che, quando il danno deriva dalla violazione di obblighi previsti dall’AI Act, il nesso di causalità si presume, salvo prova contraria (art. 18). Sono norme che le imprese italiane devono considerare insieme all’AI Act.
Cosa dice la giurisprudenza
L’AI Act, in applicazione progressiva, non ha ancora una casistica sanzionatoria consolidata. La cornice già operativa è però il GDPR, sul quale il Garante è intervenuto proprio sui sistemi algoritmici di gestione dei lavoratori — un ambito che l’AI Act qualifica come ad alto rischio.
Con l’ordinanza ingiunzione del 10 giugno 2021 (doc. web n. 9675440) il Garante ha sanzionato per 2,6 milioni di euro la società Foodinho, del gruppo Glovo, per la gestione algoritmica di circa diciannovemila rider: il sistema di assegnazione degli ordini e il punteggio reputazionale penalizzavano i fattorini secondo criteri non trasparenti, senza adeguate garanzie sull’esattezza dei dati e sul diritto a un intervento umano. L’ordinanza era stata annullata dal Tribunale di Milano nell’aprile 2022, ma la Cassazione (sez. I civ., ord. n. 27189 del 2023) ha cassato quella sentenza e, non avendo la società riassunto il giudizio, il provvedimento è divenuto inoppugnabile, come dà atto lo stesso Garante nel provvedimento del 2024. Con quest’ultimo, del 13 novembre 2024 (doc. web n. 10074601), l’Autorità è tornata sulla medesima società, irrogando una sanzione di 5 milioni di euro e prescrivendo, tra l’altro, di garantire ai rider il diritto di ottenere l’intervento umano e di contestare le decisioni automatizzate, con operatori adeguatamente formati e messi in condizione di discostarsi dall’esito dell’algoritmo. Sono, in sostanza, gli stessi presìdi — trasparenza, accuratezza, sorveglianza umana, non discriminazione — che l’AI Act impone, in forma rafforzata, ai sistemi ad alto rischio.
Orientarsi per tempo nell’AI Act — mappare i sistemi utilizzati, classificarne il rischio, predisporre le misure dovute — è il modo per trasformare un obbligo in un vantaggio competitivo. È un percorso che si intreccia strettamente con l’adeguamento al GDPR e con la più ampia compliance d’impresa: per una verifica dei sistemi di IA in uso e degli adempimenti dovuti è possibile richiedere una consulenza.
Domande frequenti
L’AI Act si applica alla mia azienda? Sì, se sviluppa, immette sul mercato o utilizza sistemi di IA. L’intensità degli obblighi dipende dal livello di rischio del sistema; per molti usi quotidiani è minima, ma non azzerata.
Da quando è obbligatorio l’AI Act? È in vigore dal 1° agosto 2024; i divieti si applicano dal 2 febbraio 2025, gli obblighi di trasparenza dal 2 agosto 2026 e quelli sui sistemi ad alto rischio — per effetto del differimento deciso con il Digital Omnibus (regolamento (UE) 2026/1744) — dal 2 dicembre 2027 (Allegato III) e dal 2 agosto 2028 (Allegato I).
Usare ChatGPT o un’IA generativa in azienda rientra nell’AI Act? Spesso si tratta di usi a rischio minimo, con obblighi lievi (soprattutto di trasparenza); resta però sempre dovuto il rispetto del GDPR per i dati personali trattati.
Il presente approfondimento ha finalità informative e fotografa la disciplina vigente alla data di pubblicazione; non sostituisce una valutazione del caso concreto.
Questo approfondimento ha finalità informative e divulgative e non costituisce un parere legale sul caso concreto. Contenuto verificato dal Dott. Giuseppe Foti, consulente legale — ultima verifica: 30 settembre 2026.