Dal 2 agosto 2026 l’AI Act è entrato nella sua fase di applicazione generale. Il Regolamento europeo sull’intelligenza artificiale introduce un quadro comune per lo sviluppo e l’utilizzo dei sistemi di IA nell’Unione europea, fondato principalmente sul livello di rischio associato ai diversi sistemi.

L’applicazione della normativa è avvenuta progressivamente: i primi divieti e le disposizioni sull’alfabetizzazione in materia di IA si applicano dal 2 febbraio 2025, mentre le regole sulla governance e gli obblighi relativi ai modelli di IA per finalità generali sono divenuti applicabili dal 2 agosto 2025. Dal 2 agosto 2026 si applica la parte generale del Regolamento, fatte salve alcune disposizioni per le quali sono previste scadenze successive.

L’AI Act riguarda anche le aziende che utilizzano l’intelligenza artificiale?

L’AI Act non interessa soltanto le imprese che sviluppano sistemi di intelligenza artificiale.

La normativa distingue diversi operatori, tra cui fornitori e deployer. In termini semplici, anche un’organizzazione che utilizza un sistema di IA nell’ambito della propria attività può rientrare nel campo di applicazione del Regolamento, con obblighi che variano in funzione del ruolo assunto, del sistema utilizzato e del relativo livello di rischio.

Per questo motivo, per un’impresa il primo problema non è semplicemente chiedersi “utilizziamo l’intelligenza artificiale?”, ma comprendere quali strumenti vengono utilizzati, per quali finalità e con quali dati.

L’utilizzo di strumenti di IA generativa da parte dei dipendenti – ad esempio per elaborare documenti, analizzare contratti, predisporre comunicazioni, selezionare informazioni o supportare attività aziendali – rende quindi opportuna una verifica organizzativa e giuridica del loro impiego.

Pratiche di intelligenza artificiale vietate

Dal 2 febbraio 2025 trovano applicazione i divieti previsti dall’art. 5 dell’AI Act.

Il Regolamento vieta determinate pratiche considerate incompatibili con la tutela della persona e dei diritti fondamentali. Tra queste rientrano, a determinate condizioni, sistemi che utilizzano tecniche manipolative o ingannevoli, sfruttano specifiche vulnerabilità delle persone, realizzano determinate forme di social scoring o utilizzano alcune tecniche biometriche particolarmente invasive.

Non ogni utilizzo dell’intelligenza artificiale presenta quindi lo stesso livello di rischio: proprio per questo l’AI Act adotta un approccio basato sul rischio e prevede discipline differenti a seconda delle caratteristiche e delle finalità del sistema utilizzato.

La violazione dei divieti dell’art. 5 può comportare sanzioni amministrative particolarmente rilevanti, fino a 35 milioni di euro o, per le imprese, fino al 7% del fatturato mondiale annuo, secondo i criteri e i limiti stabiliti dal Regolamento; per le PMI opera inoltre una specifica regola di proporzionalità prevista dall’art. 99.

AI literacy: conoscere l’IA diventa parte dell’organizzazione aziendale

Uno dei primi aspetti dell’AI Act divenuti applicabili riguarda l’alfabetizzazione in materia di intelligenza artificiale (AI literacy).

L’art. 4 richiede che sia assicurato un livello adeguato di conoscenza e consapevolezza dell’IA da parte delle persone coinvolte nel funzionamento e nell’utilizzo dei sistemi, tenendo conto delle loro competenze, dell’esperienza, della formazione e del contesto nel quale l’IA viene utilizzata. La disciplina è stata semplificata nel 2026 dall’AI Omnibus, ma la formazione e la consapevolezza nell’utilizzo dell’IA rimangono elementi centrali del nuovo quadro europeo.

Per un’impresa questo significa che l’utilizzo dell’IA non dovrebbe essere lasciato esclusivamente all’iniziativa individuale del singolo dipendente.

Conoscere quali strumenti vengono utilizzati, da chi, per quali attività e quali informazioni vengono inserite nei sistemi rappresenta il punto di partenza per costruire un utilizzo consapevole dell’intelligenza artificiale.

Dal 2 agosto 2026 nuovi obblighi di trasparenza

Dal 2 agosto 2026 sono inoltre applicabili gli obblighi di trasparenza previsti dall’art. 50 dell’AI Act per determinate tipologie di sistemi e contenuti.

La disciplina riguarda, tra l’altro, situazioni nelle quali una persona interagisce direttamente con un sistema di IA e determinati contenuti generati o manipolati artificialmente. Specifici obblighi sono previsti anche in materia di deepfake e di identificabilità dei contenuti sintetici.

Anche in questo caso non esiste un unico obbligo applicabile indistintamente a qualsiasi utilizzo dell’intelligenza artificiale: occorre verificare il sistema utilizzato, il soggetto che lo utilizza e la finalità concreta dell’impiego.

Sistemi di IA ad alto rischio: le nuove scadenze

Uno degli interventi più importanti del 2026 riguarda i sistemi di IA classificati come ad alto rischio.

L’AI Omnibus ha modificato il calendario originariamente previsto dall’AI Act.

Le disposizioni relative ai sistemi utilizzati in determinati ambiti ad alto rischio dell’Allegato III – tra cui, in presenza delle condizioni previste dal Regolamento, biometria, infrastrutture critiche, istruzione, occupazione e gestione dei lavoratori, migrazione e controllo delle frontiere – diventeranno applicabili dal 2 dicembre 2027.

Per i sistemi di IA integrati in determinati prodotti regolamentati indicati nell’Allegato I, il termine è invece fissato al 2 agosto 2028.

Il rinvio delle scadenze non significa, tuttavia, che le imprese debbano attendere il 2027 o il 2028 prima di occuparsi dell’utilizzo dell’intelligenza artificiale.

La tua azienda utilizza ChatGPT o altri strumenti di IA: da dove iniziare?

Per molte imprese il problema concreto non consiste oggi nell’aver acquistato un complesso “sistema di intelligenza artificiale”. L’IA è spesso entrata nell’organizzazione in maniera molto più semplice: dipendenti e collaboratori hanno iniziato a utilizzare strumenti generativi nelle attività quotidiane.

Un primo percorso di verifica può quindi partire dalla mappatura degli strumenti di IA effettivamente utilizzati, delle finalità per le quali vengono impiegati e delle categorie di dati e documenti che vengono inseriti nei sistemi.

Da questa analisi è possibile verificare il ruolo assunto dall’organizzazione ai sensi dell’AI Act, valutare l’eventuale classificazione dei sistemi in funzione del rischio e individuare le misure organizzative necessarie.

Particolare attenzione deve essere riservata anche alla relazione tra AI Act e normativa sulla protezione dei dati personali: l’utilizzo di un sistema di IA non elimina infatti gli obblighi derivanti dal GDPR quando vengono trattati dati personali.

In concreto, un percorso aziendale può comprendere la mappatura degli strumenti utilizzati, la verifica dei dati trattati, la definizione di regole interne per l’utilizzo dell’IA, attività di formazione del personale e procedure di controllo e supervisione adeguate alle caratteristiche dell’organizzazione.

Dalla compliance alla cultura aziendale dell’intelligenza artificiale

L’AI Act non dovrebbe essere considerato soltanto come un insieme di adempimenti da rispettare.

L’intelligenza artificiale è già entrata nei processi quotidiani di molte organizzazioni e il suo utilizzo è destinato a diventare sempre più rilevante. Per questo motivo, governare oggi l’impiego dell’IA significa ridurre i rischi e costruire processi aziendali più consapevoli e documentabili.

Sapere quali strumenti vengono utilizzati, stabilire regole chiare, formare le persone e mantenere un’adeguata supervisione consente all’impresa di affrontare l’evoluzione normativa senza rincorrere gli adempimenti soltanto quando diventano obbligatori.

Lo Studio Legale Bisceglia assiste imprese e professionisti nella valutazione dell’utilizzo dei sistemi di intelligenza artificiale e nella costruzione di percorsi di adeguamento all’AI Act e alla normativa sulla protezione dei dati personali.