EU AI Act.
Il regolamento sull'IA per le imprese: ruoli, casi d'uso, obblighi applicabili e percorso verso l'attestazione adatta.
- Regolamento (UE) 2024/1689 · Modifiche al 27.07.2026
- Di Derya Altinay
- Aggiornato al: 22/10/2026
- Tempo di lettura: 9 min.
Risposta breve.
L'EU AI Act disciplina l'intelligenza artificiale in base a caso d'uso, rischio e ruolo. Distingue, tra l'altro, fornitori e deployer, vieta determinate pratiche e richiede protezioni ed evidenze specifiche per l'IA ad alto rischio. Trasparenza, alfabetizzazione in IA e obblighi dei fornitori di modelli richiedono verifiche separate; l'art. 113 stabilisce l'applicazione scaglionata.
Il regolamento sull'IA e il suo stato attuale.
L'EU AI Act è un regolamento UE direttamente applicabile e non uno standard volontario di sicurezza. Il regolamento (UE) 2024/1689 disciplina gli obblighi relativi ai sistemi di IA e ai modelli di IA per finalità generali. La consueta panoramica delle classi di rischio dell'AI Act aiuta a iniziare; una decisione concreta richiede anche il ruolo dell'impresa e l'utilizzo previsto.
Il regolamento (UE) 2026/1744 ha modificato il regolamento sull'IA e si applica dal 27 luglio 2026. L'art. 1, punto 40 modifica il calendario dell'art. 113 del regolamento sull'IA: per i sistemi ad alto rischio ai sensi dell'art. 6, par. 2 e dell'allegato III, il capo III, sezioni da 1 a 3, si applica in linea di principio dal 2 dicembre 2027; per il percorso relativo ai prodotti dell'art. 6, par. 1 e dell'allegato I dal 2 agosto 2028. L'art. 6, par. 5 è escluso.
La data generale di applicazione resta il 2 agosto 2026. Divieti e alfabetizzazione in IA, così come le regole sui modelli per finalità generali, hanno date anticipate proprie; alcuni divieti appena aggiunti si applicano solo dal 2 dicembre 2026. L'estensione di determinate scadenze per l'alto rischio non rinvia quindi l'intero regolamento. Per sistemi e modelli già forniti occorre inoltre verificare le regole transitorie dell'art. 111.
A chi si applica l'EU AI Act.
Ai sensi dell'art. 2, l'EU AI Act riguarda in particolare i fornitori che immettono sistemi di IA sul mercato UE o li mettono in servizio e i deployer con sede o stabilimento nell'UE. Sono interessati anche determinati operatori extra-UE quando gli output vengono utilizzati nell'UE. Importatori, distributori e fabbricanti di prodotti hanno ruoli propri. L'uso esclusivamente privato e non professionale va trattato diversamente dall'impiego aziendale.
Un'impresa dovrebbe chiarire il proprio ruolo per ogni caso d'uso. L'acquisto di un servizio altrui non definisce ancora in modo definitivo il ruolo per ogni applicazione che vi si basa. Anche modello e sistema finito sono riferimenti diversi. Finalità, fornitura e utilizzo effettivo fanno quindi parte della verifica; una classificazione aziendale basata solo sul nome del modello è troppo imprecisa.
Gli obblighi dell'AI Act dipendono da ruolo e utilizzo.
Gli obblighi dell'AI Act non costituiscono un pacchetto uniforme di misure per ogni impiego dell'IA. Gli ambiti seguenti offrono orientamento; occorre determinare articoli e date applicabili per ciascun sistema e ruolo.
Verificare divieti e classificazione ad alto rischio.
L'art. 5 descrive le pratiche vietate, l'art. 6 la classificazione ad alto rischio. Il percorso relativo ai prodotti collega il riferimento all'allegato I alla verifica di terzi richiesta; il secondo percorso riguarda i casi d'uso elencati nell'allegato III. Non ogni applicazione in un settore citato è automaticamente ad alto rischio. Le eccezioni richiedono una verifica motivata della funzione concreta.
Sviluppare l'alfabetizzazione in IA.
L'art. 4 nella versione modificata richiede misure che sostengano lo sviluppo dell'alfabetizzazione in IA. Occorre considerare conoscenze pregresse, esperienza, compiti e contesto di utilizzo. Fornitori e deployer non devono garantire uno specifico livello individuale di competenza. Un certificato di corso generale non sostituisce quindi né la scelta di misure adeguate né il confronto con i sistemi utilizzati.
Progettare IA ad alto rischio sicura e tracciabile.
I requisiti per l'alto rischio degli art. da 9 a 15 riguardano, tra l'altro, gestione dei rischi, dati, documentazione, registrazioni, informazioni, sorveglianza umana, accuratezza, robustezza e cybersicurezza. Gli obblighi dei fornitori e la gestione della qualità dell'art. 17 organizzano questo lavoro. Quali disposizioni si applichino e quando dipende dal regime concreto e dal calendario di applicazione.
Assumere la responsabilità nell'utilizzo.
Gli obblighi dei deployer dell'art. 26 differiscono dai compiti dei fornitori. Quando si applicano le regole sull'alto rischio, includono in particolare uso secondo le istruzioni, adeguata sorveglianza umana e monitoraggio dell'utilizzo. La sorveglianza richiede persone competenti con possibilità effettiva di agire; la sola nomina di una funzione responsabile non dimostra ancora un intervento efficace nel flusso di lavoro.
Attuare la trasparenza in modo mirato.
L'art. 50 contiene specifici obblighi di informazione e marcatura per determinati sistemi e output. Comprendono, per esempio, il riconoscimento dell'interazione con l'IA e la gestione di determinati contenuti generati artificialmente. Chi deve informare o contrassegnare dipende dalla disposizione e dal ruolo. Non se ne può dedurre una regola generale per ogni documento elaborato internamente con l'IA.
Considerare separatamente gli obblighi sui modelli.
Il capo V contiene obblighi propri per i fornitori di modelli di IA per finalità generali, in inglese General-Purpose AI o GPAI. Requisiti aggiuntivi riguardano i modelli con rischio sistemico. Utilizzare un tale modello non rende automaticamente un'impresa fornitore del modello; allo stesso tempo, la documentazione del modello non chiarisce tutti gli obblighi relativi al sistema costruito su di esso.
L'attuazione inizia dal caso d'uso.
Rilevare finalità e utilizzo.
Come avvio pratico, descrivete il compito del sistema di IA, chi lo utilizza e quali persone o decisioni sono interessate dai suoi output.
Chiarire ruolo e ambito di applicazione.
Registrate il ruolo della vostra organizzazione e la verifica del collegamento con l'UE e delle possibili eccezioni su cui si fonda la decisione.
Verificare la classificazione nel merito.
Verificate divieti, percorsi di alto rischio e questioni di trasparenza con i responsabili di funzione, tecnici e legali e documentate la motivazione.
Determinare obblighi e scadenze.
Associate alle disposizioni pertinenti responsabili concreti e le rispettive date di applicazione, comprese le regole transitorie separate.
Collegare evidenze e operatività.
Pianificate documenti, verifiche e sorveglianza necessari affinché rappresentino l'utilizzo effettivo del sistema e il percorso di attestazione applicabile.
Rivalutare i cambiamenti.
Come raccomandazione pratica, riesaminate le decisioni in caso di modifiche a finalità, funzioni, ambiente di utilizzo o responsabilità e registrate il nuovo stato.
L'attestazione segue la rispettiva procedura.
Il regolamento sull'IA non prevede l'acquisto di un certificato uniforme per tutte le imprese. Per l'IA ad alto rischio, l'art. 43 determina la procedura applicabile di valutazione della conformità. Secondo il sistema, sono previsti controllo interno o coinvolgimento di un organismo notificato; le norme sui prodotti possono contribuire a determinare il percorso. Documentazione, eventuale dichiarazione UE di conformità, marcatura CE e registrazione vanno considerate nel rispettivo contesto legale.
Un certificato di un organismo notificato si distingue da un certificato volontario di sistema di gestione. L'art. 44, par. 2 limita la validità disciplinata a un massimo di cinque anni per i sistemi dell'allegato I e quattro anni per quelli dell'allegato III; fa fede il periodo indicato con le condizioni della procedura. Questi limiti non sono una durata generale per tutte le attestazioni dell'AI Act. Gli obblighi operativi restano inoltre da rispettare.
Approfondimenti sul blog.
Gli altri framework sostengono compiti diversi.
Per i prodotti di IA possono essere rilevanti anche gli obblighi sui prodotti del Cyber Resilience Act, da verificare autonomamente.
ISO 42001 struttura un sistema di gestione dell'IA, mentre NIST AI RMF offre un quadro volontario per i rischi dell'IA. Entrambi possono sostenere l'organizzazione del lavoro, ma non dimostrano una conformità automatica all'EU AI Act. Il GDPR continua ad applicarsi autonomamente ai trattamenti di dati personali; una classificazione ai sensi dell'AI Act non sostituisce una verifica della protezione dei dati.
- Cyber Resilience ActVerificare separatamente cybersicurezza del prodotto e ruoli dei fabbricanti.
- ISO 42001Inquadrare il sistema di gestione dell'IA.
- NIST AI RMFComprendere il quadro volontario di gestione dei rischi dell'IA.
- GDPRVerificare separatamente gli obblighi per il trattamento dei dati personali.
In Secani.
Secani contiene un catalogo aziendale redazionale sull'EU AI Act con dati di ruolo e profilo, indicazioni di attuazione ed esempi di evidenze. Fornitori, deployer e altri ruoli sono rilevati separatamente. Lo strumento sostiene una gestione strutturata; non sostituisce né la classificazione specialistica né una procedura di valutazione obbligatoria per legge. Il catalogo non è un'attestazione di conformità di un'autorità.
Prossimo passo.
Scegliete un caso d'uso dell'IA concreto, operativo o pianificato, e riunite i responsabili di funzione e tecnici con chi effettua la verifica legale. Il primo risultato dovrebbe essere una decisione motivata su ruolo, utilizzo e obblighi pertinenti. Ne deriva un piano di evidenze gestibile; un elenco non verificato di tutti gli articoli del regolamento è meno utile a questo scopo.
Fonti.
- Commissione europea: Cyber Resilience Act
- Regolamento sull'IA: versione consolidata al 27 luglio 2026
- Regolamento (UE) 2026/1744: Digital Omnibus on AI, in particolare art. 1, punti 5 e 40
- Commissione europea: AI Act e calendario di applicazione
- AI Act Service Desk ufficiale: art. 2, ambito di applicazione
- AI Act Service Desk ufficiale: art. 4, alfabetizzazione in IA
- AI Act Service Desk ufficiale: art. 6, classificazione ad alto rischio
- AI Act Service Desk ufficiale: art. 17, gestione della qualità
- AI Act Service Desk ufficiale: art. 26, obblighi dei deployer
- AI Act Service Desk ufficiale: art. 43, valutazione della conformità
- AI Act Service Desk ufficiale: art. 44, certificati
- AI Act Service Desk ufficiale: art. 50, obblighi di trasparenza
- AI Act Service Desk ufficiale: art. 113, applicazione
Domande frequenti.
No. L'art. 6 collega la classificazione a determinate configurazioni di prodotto o casi d'uso elencati, con i relativi presupposti ed eccezioni. Il solo utilizzo di un modello potente non determina la classificazione.
No. Il ruolo dipende dalla fornitura, dalla propria applicazione e dalle possibili modifiche. Il contratto con un fornitore di modelli o servizi non chiarisce automaticamente la responsabilità per il sistema finito.
No. Un sistema di gestione dell'IA può organizzare responsabilità e procedure, mentre gli obblighi legali del singolo utilizzo richiedono una verifica separata. Un certificato di sistema di gestione non è un'attestazione generale di tutti i requisiti dell'EU AI Act.
No. Le attestazioni necessarie derivano da ruolo, sistema e norme applicabili. L'art. 43 distingue più procedure di valutazione della conformità; non tutte prevedono il coinvolgimento di un organismo esterno.
Gestire concretamente la responsabilità dell'IA.
Collegate in Secani requisiti, responsabilità ed evidenze per i casi d'uso che avete verificato.
Questa pagina inquadra il regolamento sull'IA in termini generali. Fanno fede gli atti vigenti e la verifica del caso d'uso concreto.