Un algoritmo di selezione del personale che scarta candidati in base a criteri opachi, un chatbot che non dichiara di essere una macchina, un sistema di videosorveglianza che profila i cittadini in tempo reale: sono scenari concreti che l’AI Act disciplina in modo puntuale.
Il Regolamento (UE) 2024/1689 rappresenta la prima cornice giuridica organica al mondo dedicata all’intelligenza artificiale e stabilisce con precisione cosa si può fare, cosa è vietato e quanto si rischia in caso di violazione.
Cos’è l’AI Act: definizione, obiettivi e ambiti di applicazione
L’AI Act è il regolamento europeo che disciplina la progettazione, la commercializzazione e l’utilizzo dei sistemi di intelligenza artificiale nel territorio dell’Unione. Entrato in vigore il 1° agosto 2024, applica un principio guida semplice: più un sistema comporta rischi per i diritti fondamentali delle persone, più stringenti diventano gli obblighi a carico di chi lo produce o lo utilizza.
L’ambito di applicazione è volutamente ampio. Il regolamento coinvolge fornitori, importatori, distributori e deployer (cioè chi utilizza operativamente un sistema di AI), indipendentemente dal fatto che siano stabiliti dentro o fuori dall’Unione Europea, purché il sistema produca effetti sul mercato europeo. Questo significa che anche un’azienda extra-UE che vende un software di intelligenza artificiale a un’azienda italiana rientra nel perimetro normativo.
Gli obiettivi dichiarati sono tre: garantire la sicurezza dei sistemi AI immessi sul mercato, tutelare i diritti fondamentali dei cittadini europei e, al tempo stesso, favorire un’innovazione responsabile che non soffochi la competitività industriale europea. Un equilibrio non semplice, considerando che gli obblighi di conformità comportano costi organizzativi non trascurabili, soprattutto per le realtà più piccole.
Classificazione dei sistemi di intelligenza artificiale e principali divieti
Il cuore operativo dell’AI Act è la classificazione dei sistemi in base al livello di rischio. Questa struttura a piramide determina automaticamente quali obblighi si applicano e, di conseguenza, quali sanzioni sono previste in caso di violazione.
- Rischio inaccettabile: sistemi vietati in modo assoluto, disciplinati dall’articolo 5 del Regolamento.
- Rischio alto: sistemi ammessi ma sottoposti a obblighi stringenti di documentazione, valutazione di conformità e supervisione umana.
- Rischio limitato: sistemi che richiedono principalmente obblighi di trasparenza verso l’utente finale.
- Rischio minimo: la maggioranza delle applicazioni AI attualmente in uso, senza obblighi specifici oltre alle buone pratiche generali.
I divieti previsti dall’articolo 5 sono in vigore dal 2 febbraio 2025 e riguardano pratiche considerate incompatibili con i valori europei:
- Manipolazione subliminale o ingannevole del comportamento delle persone, con l’obiettivo di alterarne le decisioni causando un danno.
- Sfruttamento delle vulnerabilità legate a età, disabilità o condizione economica e sociale.
- Sistemi di valutazione sociale (social scoring) che classificano le persone in base a comportamenti o caratteristiche personali.
- Riconoscimento biometrico in tempo reale in spazi pubblici a fini di attività di contrasto, salvo eccezioni tassative previste dalla norma.
- Raccolta indiscriminata di immagini facciali da internet o da sistemi di videosorveglianza per creare database di riconoscimento facciale.
Chi progetta strategie di marketing basate su tecniche persuasive automatizzate deve verificare con attenzione se rientra in queste categorie: la linea tra personalizzazione lecita e manipolazione vietata non è sempre immediata.
Obblighi per sviluppatori e operatori: requisiti chiave e conformità
Per i sistemi ad alto rischio, come quelli impiegati nel recruiting, nella valutazione creditizia o nella gestione delle risorse umane, il Regolamento impone un percorso di conformità articolato. I fornitori, ai sensi dell’articolo 16, devono predisporre documentazione tecnica dettagliata, implementare sistemi di gestione del rischio e garantire la tracciabilità delle decisioni automatizzate.
Gli operatori che distribuiscono o importano questi sistemi (articoli 26 e 27) hanno l’obbligo di verificare che il fornitore abbia rispettato tutti i requisiti prima della commercializzazione. I deployer, ovvero chi utilizza concretamente il sistema nella propria attività, sono soggetti agli obblighi dell’articolo 29 e devono garantire una supervisione umana effettiva, non meramente formale.
Un capitolo separato riguarda i fornitori di modelli di intelligenza artificiale a finalità generale, per i quali l’articolo 52 impone precisi obblighi di trasparenza: l’utente deve sempre sapere che sta interagendo con un sistema automatizzato e non con un essere umano.
Checklist minima di conformità per un’azienda che utilizza AI:
- Mappare tutti i sistemi di intelligenza artificiale in uso e classificarli per livello di rischio.
- Verificare l’esistenza di documentazione tecnica fornita dal produttore del sistema.
- Predisporre procedure di supervisione umana per i sistemi ad alto rischio.
- Informare in modo chiaro gli utenti quando interagiscono con un sistema automatizzato.
- Registrare i sistemi ad alto rischio nella banca dati europea, quando previsto.
Sistema delle sanzioni: tipologie, entità e limiti delle penalità
Il regime sanzionatorio dell’AI Act, disciplinato principalmente dagli articoli 99 e 101, prevede penalità pecuniarie calcolate secondo un doppio massimale: un importo fisso e una percentuale del fatturato mondiale annuo, applicando sempre il valore più elevato tra i due.
| Tipo di violazione | Sanzione massima |
|---|---|
| Sistemi vietati (art. 5) | 35.000.000 € o 7% del fatturato mondiale |
| Obblighi di fornitori, importatori, distributori, deployer, trasparenza (artt. 16, 25, 26, 27, 29, 52) | 15.000.000 € o 3% del fatturato mondiale |
| Fornitori di AI a finalità generale | 15.000.000 € o 3% del fatturato mondiale |
| Informazioni scorrette o fuorvianti verso organismi notificati | 7.500.000 € o 1% del fatturato mondiale |
Oltre alle sanzioni pecuniarie, il Regolamento consente agli Stati membri di introdurre misure non pecuniarie, tra cui la sospensione o il ritiro del sistema dal mercato europeo, sul modello di quanto già avviene con il GDPR per la revoca delle certificazioni.
L’articolo 71 stabilisce i criteri di calcolo dell’importo effettivo: natura, gravità e durata della violazione, numero di persone coinvolte, eventuale intenzionalità e le misure correttive già adottate dall’azienda. Alcune analisi giuridiche hanno evidenziato che l’assenza di strumenti immediati di blocco operativo, prima che la sanzione venga irrogata, rende il sistema meno tempestivo rispetto all’urgenza di alcune violazioni, specialmente quelle relative ai divieti assoluti.
Box scadenze principali: i divieti sulle pratiche a rischio inaccettabile e il regime sanzionatorio generale sono operativi dal febbraio e agosto 2025; gli obblighi più stringenti per i sistemi ad alto rischio seguono un calendario progressivo fino al 2027, con possibili rinvii tecnici discussi nell’ambito del Digital Omnibus, il pacchetto di semplificazione normativa che la Commissione Europea sta valutando per alleggerire gli oneri su PMI e startup.
Impatto dell’AI Act su innovazione, tutela dei diritti e mercato globale
L’effetto più immediato dell’AI Act riguarda la ripartizione asimmetrica dei costi di conformità. Le grandi aziende tecnologiche dispongono di reparti legali e team di data governance in grado di assorbire gli obblighi documentali senza compromettere l’operatività. Le PMI e le startup, invece, si trovano spesso a dover scegliere tra investire risorse limitate nella compliance o rinunciare a determinate applicazioni ad alto rischio.
Il Regolamento prevede alcune misure di supporto, come sandbox regolatorie e percorsi semplificati per le piccole imprese, ma la loro efficacia concreta dipende molto dall’attuazione nazionale, ancora disomogenea tra i diversi Stati membri.
Sul piano internazionale, l’AI Act non ha replicato integralmente l’effetto trainante che il GDPR ebbe a livello globale in tema di protezione dei dati. Diversi ordinamenti extra-UE continuano a preferire approcci di autoregolamentazione settoriale, guardando con cautela alla rigidità procedurale europea. Questo scenario alimenta un dibattito aperto: l’Unione Europea resta un punto di riferimento normativo, ma il cosiddetto Bruxelles effect appare oggi più contenuto rispetto alle aspettative iniziali.
Rispetto al GDPR, con cui l’AI Act condivide la logica del doppio massimale sanzionatorio (importo fisso e percentuale di fatturato), la differenza principale sta nell’oggetto della tutela: il GDPR protegge i dati personali, l’AI Act protegge dall’uso distorto di sistemi automatizzati, includendo anche situazioni in cui i dati personali non sono direttamente coinvolti.
Prospettive future e sfide nella governance della regolamentazione AI
La fase attuale, all’inizio del 2026, è caratterizzata da un consolidamento parziale. I divieti sulle pratiche inaccettabili sono ormai operativi da oltre un anno e le aziende hanno progressivamente adeguato i propri processi interni. Restano invece aperte le questioni relative alla piena applicazione degli obblighi per i sistemi ad alto rischio, oggetto di discussione nell’ambito delle proposte di semplificazione normativa avanzate dalla Commissione Europea.
Le criticità segnalate da giuristi ed esperti di diritto digitale riguardano soprattutto l’efficacia dissuasiva reale delle sanzioni: un regime punitivo basato esclusivamente su multe successive alla violazione rischia di intervenire quando il danno si è già consumato, senza strumenti di blocco immediato equivalenti a quelli previsti in altri settori regolamentati.
Per le aziende che operano nell’Unione Europea, la strategia più solida resta quella di anticipare gli adempimenti piuttosto che rincorrerli. Monitorare gli aggiornamenti dell’Ufficio Europeo per l’Intelligenza Artificiale, integrare le procedure di compliance AI con quelle già esistenti per GDPR e NIS2, e formare il personale sulla classificazione del rischio rappresentano oggi le azioni più concrete per limitare l’esposizione sanzionatoria e, al tempo stesso, costruire un vantaggio competitivo basato sulla fiducia degli utenti.
Domande frequenti
Cosa prevede l’AI Act sull’intelligenza artificiale in Europa?
L’AI Act è un regolamento europeo entrato in vigore il 1° agosto 2024 che disciplina la progettazione, commercializzazione e utilizzo dei sistemi di intelligenza artificiale nell’Unione Europea. Il regolamento stabilisce obblighi proporzionati al livello di rischio che un sistema AI comporta per i diritti fondamentali delle persone, con l’obiettivo di garantire sicurezza, tutela dei diritti e promuovere un’innovazione responsabile. Coinvolge fornitori, importatori, distributori e utilizzatori, anche extra-UE, se il sistema produce effetti sul mercato europeo.
Quali sono le principali sanzioni previste dall’AI Act?
Le sanzioni dell’AI Act sono pecuniarie e calcolate con un doppio massimale: un importo fisso e una percentuale del fatturato mondiale annuo, applicando sempre il valore più elevato. Per sistemi vietati, la multa può arrivare fino a 35 milioni di euro o al 7% del fatturato. Per violazioni degli obblighi di conformità e trasparenza, la sanzione massima è di 15 milioni di euro o il 3% del fatturato. Sono previste anche multe minori per informazioni scorrette verso organismi notificati. Oltre alle multe, gli Stati membri possono applicare misure non pecuniarie come la sospensione o il ritiro dal mercato.
Come si classificano i sistemi di intelligenza artificiale secondo l’AI Act?
L’AI Act classifica i sistemi di intelligenza artificiale in quattro livelli di rischio: rischio inaccettabile (sistemi vietati assolutamente come manipolazioni subliminali o riconoscimento biometrico in tempo reale in spazi pubblici), rischio alto (sistemi ammessi ma soggetti a obblighi stringenti di documentazione e supervisione umana), rischio limitato (che richiedono obblighi di trasparenza verso l’utente) e rischio minimo (la maggior parte delle applicazioni attuali, senza obblighi specifici oltre alle buone pratiche). Questa classificazione determina gli obblighi e le sanzioni applicabili.
Chi è soggetto alle sanzioni dell’AI Act?
Sono soggetti alle sanzioni dell’AI Act tutti gli attori coinvolti nella catena del valore dei sistemi di intelligenza artificiale: fornitori, importatori, distributori e deployer (coloro che utilizzano operativamente i sistemi). Ciò vale indipendentemente dalla loro sede, anche se si trovano fuori dall’Unione Europea, purché il sistema produca effetti sul mercato europeo. Questo significa che anche aziende extra-UE che vendono software AI a clienti europei rientrano nell’ambito di applicazione e possono essere sanzionate in caso di violazioni.
In quali casi si applicano le multe più elevate secondo l’AI Act?
Le multe più elevate, fino a 35 milioni di euro o al 7% del fatturato mondiale, si applicano in caso di violazioni relative ai sistemi a rischio inaccettabile, cioè quelli vietati in modo assoluto dal regolamento. Questi includono pratiche come la manipolazione subliminale o ingannevole, lo sfruttamento di vulnerabilità personali, il social scoring, il riconoscimento biometrico in tempo reale in spazi pubblici senza eccezioni previste, e la raccolta indiscriminata di immagini facciali. Tali violazioni sono considerate particolarmente gravi per i diritti fondamentali.
Questo testo è stato generato con l’ausilio di un sistema di intelligenza artificiale.