EU AI Act 2026: cosa devono attuare ora le aziende

L'AI Act non regola la tecnologia in sé, ma l'uso in base al rischio. Distingue quattro livelli.

• Rischio inaccettabile. Alcune pratiche sono vietate, ad esempio il social scoring da parte delle autorità pubbliche. Questi divieti sono in vigore già da febbraio 2025.
• Alto rischio. Sistemi in ambiti sensibili come la selezione del personale, la concessione di crediti o le infrastrutture critiche. Qui si concentra la maggior parte degli obblighi.
• Rischio limitato. Sistemi soggetti a un obbligo di trasparenza, ad esempio i chatbot, che devono farsi riconoscere come IA.
• Rischio minimo. La maggior parte delle applicazioni quotidiane, senza obblighi particolari.

Il vero lavoro consiste nel classificare onestamente le proprie applicazioni in questi livelli.

L'applicabilità è scaglionata. I divieti valgono dal 2 febbraio 2025, gli obblighi per i modelli IA per finalità generali dal 2 agosto 2025. La data decisiva per molte aziende è il 2 agosto 2026, a partire dalla quale entrano in vigore la maggior parte degli obblighi per i sistemi ad alto rischio. Per determinati prodotti con IA integrata vale un termine più lungo, fino al 2 agosto 2027.

Le scadenze e i testi ufficiali si possono consultare presso la panoramica dell'European AI Act. Chi è interessato nel 2026 non dovrebbe iniziare l'attuazione solo poco prima della scadenza, perché la documentazione e le prove tecniche richiedono tempo di preparazione.

Se un'applicazione rientra nella categoria ad alto rischio, l'AI Act richiede tra l'altro una gestione del rischio, una base di dati tracciabile, documentazione tecnica, supervisione umana e un'accuratezza adeguata, oltre alla registrazione degli eventi. Il denominatore comune di questi requisiti è la tracciabilità: una decisione deve essere spiegabile e verificabile.

Per l'architettura ne deriva un punto pratico. I sistemi la cui elaborazione avviene internamente e il cui flusso di dati è completamente ispezionabile si possono documentare più facilmente rispetto a chiamate distribuite verso servizi esterni. La tracciabilità è quindi anche un tema architetturale, non solo giuridico.

L'AI Act non sostituisce il GDPR, si affianca ad esso. Dove un'applicazione IA elabora dati personali, valgono entrambi. Nella pratica questo è spesso un vantaggio, perché molte aziende conoscono già le strutture del GDPR e l'AI Act si basa su principi comparabili, come la limitazione della finalità, la documentazione e la minimizzazione dei dati.

Proprio per i dati sensibili, questo rafforza gli argomenti a favore di una gestione controllata. Quale bilanciamento tra funzionamento in locale e cloud sia opportuno lo trattiamo in On-premise vs. Cloud-LLM: quando l'IA in locale è la scelta giusta.

I primi passi sono indipendenti dal settore.

1. Inventariare. Censire tutte le applicazioni IA utilizzate e pianificate, anche quelle acquistate all'interno di software di terzi.
2. Classificare. Assegnare ogni applicazione a un livello di rischio e documentarne la motivazione.
3. Colmare le lacune. Costruire documentazione, supervisione e registrazione per le applicazioni ad alto rischio.
4. Chiarire le responsabilità. Nominare una persona che mantenga la visione d'insieme e tenga sotto controllo le scadenze.

Come questo primo passo si inserisca in un piano più ampio lo descrive Introdurre l'IA nelle PMI: una tabella di marcia pratica. Perché il controllo sui modelli utilizzati conti in questo contesto è spiegato in La lezione di sovranità di Fable 5.