L’Intelligenza Artificiale ridisegna supply chain, marketing e servizi. L’EU AI Act, in vigore dal 2024 ma applicabile dal 2 agosto 2026 (alcuni obblighi già dal 2025), coniuga innovazione e tutela dei diritti fissando obblighi commisurati al rischio. Le multe possono raggiungere 35 M € o il 7 % del fatturato mondiale.
1 Ambito e ruoli
La norma copre chiunque immetta, distribuisca o usi IA se l’output raggiunge il SEE, a prescindere dalla sede. I ruoli regolati sono sei: provider, deployer, importatore, distributore, produttore di prodotto, rappresentante autorizzato. Identificare il proprio è il primo passo.
2 Definizioni cardine
«Sistema di IA»: software basato su macchine che opera con autonomia variabile generando output (previsioni, consigli, decisioni) idonei a influenzare ambienti fisici o virtuali. I «modelli per scopi generali» (GPAI) eseguono compiti multipli; se l’addestramento supera 10²⁵ FLOPs possono essere dichiarati a «rischio sistemico».
3 Alfabetizzazione IA
Provider e deployer devono garantire a dipendenti e partner competenze tecniche, etiche e giuridiche adeguate. Serve un programma di formazione continua con evidenze documentate.
4 Pratiche vietate (dal 2 febbraio 2025)
Sono banditi: tecniche subliminali o manipolative che causano danni; sfruttamento di vulnerabilità legate ad età o disabilità; scraping facciale non mirato; inferenza emotiva in scuole o uffici; categorizzazione biometrica su dati sensibili.
5 Sistemi ad alto rischio
È alto rischio un sistema che:
a) è componente di sicurezza di prodotti soggetti a valutazione di terza parte;
b) svolge funzioni critiche elencate nell’Allegato III (biometria, infrastrutture, HR, credito, forze dell’ordine, giustizia, processi democratici).
Esenzioni limitate per compiti puramente ausiliari. I sistemi dichiarati devono essere registrati in un database UE.
6 Requisiti principali
I provider devono: gestire il rischio in modo iterativo; governare i dati riducendo bias; redigere documentazione tecnica completa; registrare eventi per ≥6 mesi; fornire istruzioni d’uso; garantire supervisione umana, robustezza e cybersecurity; superare la valutazione di conformità e apporre la marcatura CE.
I deployer devono usare il sistema secondo istruzioni, conservare i log, sorvegliare prestazioni e, se necessario, effettuare una valutazione d’impatto sui diritti fondamentali.
7 GPAI e trasparenza
Chi rilascia GPAI deve fornire documentazione tecnica, informazioni per gli integratori, rispettare il diritto d’autore e pubblicare il sommario dei dati di training. Se il modello è a rischio sistemico servono anche red-teaming, mitigazione rischi, reporting di incidenti gravi e forte cybersecurity.
8 Sandbox e incentivi
Entro agosto 2026 ogni Stato membro attiverà sandbox regolatori dove testare IA in sicurezza, con corsie preferenziali per PMI e start-up. Fuori dai sandbox si possono collaudare certi sistemi ad alto rischio su utenti reali previo consenso informato e approvazione dell’autorità competente.
9 Governance e scadenze
Vigileranno AI Office (Commissione), AI Board e autorità nazionali. Date chiave: divieti febbraio 2025; GPAI agosto 2025; obblighi generali agosto 2026; deroghe per alcune PA fino al 2030.
Conclusioni operative
Auditare i sistemi di IA, mappare i ruoli, avviare una solida gestione del rischio e potenziare l’AI Literacy sono azioni urgenti. Integrare i principi dell’AI Act fin dall’ideazione rende i prodotti più affidabili e trasforma l’adempimento in vantaggio competitivo duraturo.