L'Unione Europea ha per prima stabilito obblighi, diritti e responsabilità di consumatori e produttori in merito ai dati personali tramite GDPR. Il concetto stesso di dato personale e privacy è stato codificato da allora sulla base di quanto scritto nella normativa europea e tutti i paesi del mondo che hanno voluto raggiungere un livello paragonabile di protezione hanno adottato GDPR come stella polare, quando non ne hanno attinto a piene mani.
GDPR non è vissuto senza critiche, poiché le imposizioni legali hanno comportato dei costi per le aziende, ma il miglioramento della qualità di vita "in linea" (per dirla nella mia lingua), la sensibilizzazione sul tema della persona digitale, l'igiene informatica sono, a mio parere, migliorati e lasciano un'eredità significativa, a un costo accettabile, al cittadino digitale di domani.
Ora però l'Unione Europea tenta un'altra fatica con AI Act, che porta su di sé il peso delle critiche mosse a GDPR e delle aspettative frustrate per il potenziale enorme che l'intelligenza artificiale promette.
Prima ancora di sapere se anche questa legge sarà più di aiuto che d'intralcio, è inevitabile chiedersi quali saranno le conseguenze immediate per le imprese?
Il Quadro Normativo: Cos'è AI Act
Il Regolamento Europeo sull'Intelligenza Artificiale, ufficialmente Regolamento (UE) 2024/1689, rappresenta un punto di svolta nella regolamentazione tecnologica globale, e capire come impatterà sulle imprese italiane è ormai essenziale per rimanere competitivi nel mercato.
AI Act è il primo framework legale completo al mondo che affronta in modo sistematico la governance dell'intelligenza artificiale. Ma non è solo un testo comunitario fine a se stesso: in Italia è stato recepito e integrato con la Legge 23 settembre 2025, n. 132, che ha definitivamente incorporato i principi europei nel nostro ordinamento giuridico.
La norma italiana è entrata in vigore il 23 gennaio 2026, il che significa che le imprese italiane non hanno più il lusso di rimandare la conformità. Tuttavia, è importante sottolineare che l'AI Act europeo è già in vigore dal 13 giugno 2024, e i termini di applicazione delle varie categorie stanno già scadendo. Il tempo della transizione è finito, ed è il momento di agire. AI Act adotta un approccio basato sul rischio che classifica le intelligenze artificiali in diverse categorie in base al livello di rischio che comportano per la sicurezza e i diritti fondamentali delle persone.
Come Viene Classificato il Vostro Utilizzo di AI
Non tutti i sistemi di AI sono uguali dal punto di vista normativo, e questo è fondamentale per capire quali obblighi ricadono sulla vostra azienda.
In pratica, il regime si articola su quattro livelli. Al vertice troviamo i sistemi ad alto rischio, definiti inaccettabili, che vengono semplicemente vietati. Parliamo di sistemi come il notorio social scoring (usato in alcuni paesi asiatici per valutare il comportamento dei cittadini in tempo reale), sistemi che sfruttano vulnerabilità psicologiche per manipolare il comportamento, oppure di identificazione biometrica in tempo reale in spazi pubblici, inclusi quelli di sicurezza, senza adeguate salvaguardie. Se siete un'azienda italiana che stava pensando di implementare qualcosa di simile, dovete mettervi l'idea da parte: in Europa è semplicemente illegale.
Sotto ci sono i sistemi ad alto rischio; in questa categoria rientrano le AI per il reclutamento dei dipendenti, la valutazione del credito, la gestione della sicurezza nelle infrastrutture critiche, oppure i sistemi di riconoscimento biometrico. I provider di sistemi ad alto rischio devono stabilire un intero "sistema di gestione dei rischi" durante tutto il ciclo di vita del sistema, condurre attività di data governance per assicurare che i dati di addestramento, validazione e testing siano rappresentativi e privi di errori, e mantenere una documentazione tecnica dettagliata.
Poi ci sono i sistemi a trasparenza limitata, principalmente chatbot e generazione di immagini e video, che devono informare l'utente che interagisce con un sistema AI. Infine, i sistemi a rischio minimo, ossia la stragrande maggioranza delle applicazioni, come i filtri spam, che restano poco regolamentati.
Un aspetto probabilmente rilevante per le imprese italiane di oggi riguarda i regolamenti sull'Intelligenza Artificiale Generativa, ovvero quei modelli (GPT, Gemini, Claude) in grado di generare testo, immagini, codice e altri contenuti complessi. AI Act dedica una sezione specifica ai "modelli di AI per finalità generali" (General Purpose AI Models, GPAI).
L'Intelligenza Artificiale Generativa: Uno Status Particolare per gli LLM
Secondo la normativa, tutti i provider di modelli GPAI devono documentare accuratamente il loro processo di training, effettuare valutazioni dei modelli stessi, e pubblicare un riassunto dettagliato dei dati utilizzati per l'addestramento.
Esiste tuttavia una categoria ancora più ristretta: i modelli GPAI con rischio sistemico, ovvero quei modelli addestrati con una quantità di computazione straordinaria; secondo stime del 2025, solo 15 modelli nel mondo superano questa soglia (GPT-4o, Mistral Large 2, Aramco Metabrain AI, Doubao Pro e Gemini 1.0 Ultra). Questi modelli hanno obblighi ancora più rigorosi:
- devono condurre test avversariali
- valutare e mitigare i rischi sistemici
- tracciare e segnalare incidenti gravi alle autorità
- garantire livelli adeguati di cybersecurity
Per la maggior parte delle imprese italiane che utilizzano modelli GPAI (ad esempio, usando ChatGPT per la customer service), la buona notizia è però che gli obblighi ricadono principalmente sul provider del modello (OpenAI, Google, ecc.), non su di voi, utilizzatori finali.
Il Regime Italiano: Principi e Salvaguardie Specifiche
La legge italiana 132/2025 non si limita a recepire passivamente l'AI Act europeo, ma aggiunge alcuni elementi distintivi legati alla realtà italiana.
Anzitutto, la norma enfatizza fortemente il principio di sviluppo antropocentrico dell'AI: "Promuove un utilizzo corretto, trasparente e responsabile, in una dimensione antropocentrica, dell'intelligenza artificiale, volto a coglierne le opportunità".
In secondo luogo, la norma italiana dedica attenzione specifica ai settori strategici per il tessuto economico nazionale. L'Articolo 5, ad esempio, prevede che lo Stato promuova lo sviluppo dell'AI "quale strumento utile all'avvio di nuove attività economiche e di supporto al tessuto nazionale produttivo, costituito principalmente di microimprese e di piccole e medie imprese, al fine di accrescere la competitività del sistema economico nazionale". Questo riconoscimento esplicito delle PMI è fondamentale, poiché, come sappiamo, l'Italia è spesso associata alle piccole eccellenze, ossia il tessuto imprenditoriale composto da tante aziende di piccole e medie dimensioni.
La norma italiana, inoltre, introduce salvaguardie specifiche per quanto riguarda la sovranità dei dati. Le amministrazioni pubbliche, secondo l'Art. 5, "indirizzano le piattaforme di e-procurement in modo che, nella scelta dei fornitori di sistemi e di modelli di intelligenza artificiale, possano essere privilegiate quelle soluzioni che garantiscono la localizzazione e l'elaborazione dei dati strategici presso data center posti nel territorio nazionale, le cui procedure di disaster recovery e business continuity siano implementate in data center posti nel territorio nazionale". Sebbene ciò si rivolga principalmente alla pubblica amministrazione, segnala una chiara direzione verso la sovranità tecnologica.
Il tema della disabilità e dell'accessibilità occupa uno spazio importante nella legge italiana. L'Art. 3, comma 7, sancisce che "la presente legge garantisce alle persone con disabilità il pieno accesso ai sistemi di intelligenza artificiale e alle relative funzionalità o estensioni, su base di uguaglianza e senza alcuna forma di discriminazione e di pregiudizio". Questo significa che, se la vostra azienda sviluppa o distribuisce intelligenza artificiale, dovete assicurare che siano accessibili anche alle persone con disabilità.
Infine, la norma italiana conferisce un ruolo cruciale alla cybersecurity. L'Art. 3, stabilisce che "al fine di garantire il rispetto dei diritti e dei principi di cui al presente articolo deve essere assicurata, quale precondizione essenziale, la cybersicurezza lungo tutto il ciclo di vita dei sistemi e dei modelli di intelligenza artificiale per finalità generali, secondo un approccio proporzionale e basato sul rischio". Il messaggio risulta chiaro: la sicurezza informatica non va bene come una considerazione a posteriori, deve essere la precondizione di conformità normativa.
Sanzioni e Conformità: Le Conseguenze del Non Rispetto
Arriviamo alle domande scottanti: quali multe si rischiano per l'AI Act?
Le sanzioni previste dall'AI Act sono estremamente severe. Per le violazioni relative a sistemi ad alto rischio inaccettabili, le ammende possono arrivare fino a 30 milioni di euro oppure al 6% del fatturato annuale mondiale, a seconda di quale sia più alto. Per le violazioni riguardanti sistemi ad alto rischio, si scende a 20 milioni di euro o al 4% del fatturato; per gli obblighi di trasparenza, a 10 milioni di euro o al 2% del fatturato.
Tuttavia, c'è un'importante salvaguardia per le PMI. La legge sull'IA è incentrata sulla limitazione dei costi di conformità per i piccoli operatori, ad esempio, richiedendo che le tariffe nazionali per la valutazione della conformità tengano conto delle esigenze dei fornitori PMI e siano proporzionali alle dimensioni, al dimensionamento del mercato e ad altri fattori rilevanti.
Inoltre, per le PMI le penalità massime applicate sono inferiori a quelle applicate alle grandi aziende, il che costituisce un elemento di protezione significativo.
Le Sandbox Normative: Un'Opportunità per le Imprese Italiane
Una delle disposizioni dell'AI Act più interessanti per le imprese italiane è la creazione di regulatory sandboxes a livello nazionale. Si tratta di ambienti controllati in cui le aziende possono testare sistemi di AI innovativi senza il peso pieno della conformità normativa durante la fase sperimentale.
Ogni Stato membro, compresa l'Italia, ha l'obbligo di istituire almeno una sandbox, ossia un ambiente di test sicuro in cui osservare il comportamento in vivo dell'AI.
Per le PMI, il vantaggio è ancora più significativo: le sandbox sono gratuite per loro e le procedure di partecipazione sono pensate per essere semplici e comprensibili.
La documentazione raccolta durante la partecipazione a una sandbox può inoltre essere utilizzata per dimostrare la conformità all'AI Act.
Qual è il valore pratico? Considerate che il processo di conformità normativa per un sistema ad alto rischio richiede mesi di lavoro, spese legali, test e validazione. Una sandbox consente di accelerare tutto questo processo in un ambiente a basso rischio legale. Non è un'opportunità da sottovalutare.
Obblighi Pratici per le Aziende Italiane
Vorresti sapere ora cosa deve fare la tua azienda? Proviamo a fare un riepilogo.
Se utilizzate sistemi di AI, gli obblighi variano significativamente in base al livello di rischio; pertanto, il primo passo è applicare i criteri sopra descritti per determinare in quale categoria ricadete: inaccettabile, alto, limitato o minimo.
Se il vostro sistema è a rischio minimo o la trasparenza è limitata, gli obblighi sono relativamente leggeri. Fondamentalmente, dovete informare gli utenti che interagiscono con un sistema AI (nel caso di chatbot o deepfake). Nient'altro di particolarmente complicato.
Se il vostro sistema è ad alto rischio, invece, il lavoro è significativo. Dovete:
- Implementare un sistema di gestione dei rischi che copra l'intero ciclo di vita del sistema
- Curare la qualità dei dati di training, assicurando che siano rappresentativi e privi di errori significativi
- Redigere una documentazione tecnica dettagliata che dimostri la conformità
- Implementare meccanismi di human oversight (supervisione umana)
- Garantire livelli adeguati di accuratezza, robustezza e cybersecurity
- Istituire un sistema di gestione della qualità
Se fornite un modello GPAI, dovete fornire documentazione tecnica ai vostri clienti finché non ci saranno standard europei armonizzati. Se il vostro modello presenta rischio sistemico (cosa che riguarda probabilmente solo i giganti tecnologici, non le PMI), gli obblighi aumentano drasticamente.
Un aspetto spesso trascurato riguarda i diritti dei minori. La norma italiana prevede che "L'accesso alle tecnologie di intelligenza artificiale da parte dei minori di anni quattordici nonché il conseguente trattamento dei dati personali richiedono il consenso di chi esercita la responsabilità genitoriale". Se il vostro sistema può essere utilizzato da bambini, dovete assicurare il consenso genitoriale.
Timeline e Scadenze Pratiche
AI act è ormai realtà, quindi conviene avere chiaro anche i tempi di implementazione. L'Unione Europea ha fissato scadenze graduali che decorrono dalla sua entrata in vigore avvenuta il 13 giugno 2024. Le scadenze sono le seguenti:
- Dicembre 2024: Sistemi proibiti (scadenza già passata🚨)
- Giugno 2025: Modelli GPAI (scadenza già passata🚨)
- Giugno 2026: Sistemi ad alto rischio (Annex III🟡)
- Giugno 2027: Sistemi ad alto rischio (Annex I - quelli che rientrano in normative UE di sicurezza preesistenti🟢)
Questa graduazione consente un adattamento progressivo, anche se per i sistemi ad alto rischio, il tempo a disposizione sta rapidamente scadendo.
Conclusione: Il Momento di Agire è Adesso
AI Act rappresenta un cambio di paradigma nella regolamentazione tecnologica. Non è uno standard soft o una raccomandazione vaga, ma una legge con denti e sanzioni molto severe. Per le imprese italiane, il messaggio è chiaro: non potete più rimandare.
La buona notizia è che le PMI hanno accesso a risorse specifiche. Le sandbox normative offrono un ambiente di testing protetto. Gli obblighi sono proporzionati al rischio del vostro sistema. Le sanzioni per le PMI sono inferiori rispetto a quelle delle grandi aziende, con limiti superiori fissati al valore minimo tra l'importo fisso e la percentuale del fatturato. Inoltre, la Comunità Europea sta sviluppando linee guida e supporto per rendere la conformità più fattibile.
Se state sviluppando sistemi di AI, il momento di iniziare i preparativi è adesso. Se state solo utilizzando sistemi di AI di terzi, dovete assicurarvi di farlo in modo conforme e trasparente. Se state operando in settori sensibili come la sanità, l'istruzione o l'impiego, l'urgenza è ancora maggiore.
Per quanto riguarda il quesito su cui abbiamo aperto questo articolo, vedremo nel giro di qualche anno se l'Intelligenza Artificiale continuerà davvero a evolvere e a creare opportunità straordinarie in un contesto regolamentato.
