AI Act
AI Act: obblighi tradotti in controlli e prove
Essere in regola è una cosa; poterlo dimostrare a un cliente, a un auditor o a un'autorità è un'altra. Il mio metodo trasforma ogni obbligo in un controllo concreto e nella prova che lo dimostra: un registro, un log, una formazione fatta.
Prima dell’incarico concordiamo sistemi da esaminare, documenti da consegnare e prezzo fisso. Sviluppo e accompagnamento si concordano a parte.
Alcuni obblighi valgono già oggi
Il Digital Omnibus (Regolamento UE 2026/1744, in vigore dal 27 luglio 2026) ha spostato in avanti gli obblighi sui sistemi ad alto rischio. Divieti e trasparenza valgono già, e resta il dovere di sostenere l'alfabetizzazione AI di chi usa l'AI.
-
1 ago 2024
Entrata in vigore
-
2 feb 2025
Divieti e alfabetizzazione AI
-
2 ago 2025
Modelli per uso generale
-
2 ago 2026
Trasparenza e applicazione generale
-
2 dic 2026
Nuovi divieti e marcatura dei contenuti
-
2 dic 2027
Alto rischio, Allegato III
-
2 ago 2028
Alto rischio Allegato I; requisiti AI per le macchine
Il dettaglio di ogni scadenza
-
Febbraio 2025
Pratiche vietate e alfabetizzazione AI del personale (art. 4)
-
Agosto 2025
Modelli di AI per uso generale (GPAI)
-
Agosto 2026
Trasparenza (art. 50): chatbot, contenuti generati, deepfake
-
Dicembre 2026
Nuovi divieti (immagini intime non consensuali, abusi su minori); marcatura dei contenuti generati obbligatoria anche per i sistemi già sul mercato
-
Dicembre 2027
Sistemi ad alto rischio dell'Allegato III: personale, istruzione, infrastrutture critiche, credito
-
Agosto 2028
AI nei prodotti regolati dell'Allegato I, come i dispositivi medici; per le macchine, atti delegati del Regolamento macchine
In Italia
La legge 132/2025 sull'intelligenza artificiale è in vigore dal 10 ottobre 2025. Il decreto legislativo 179/2026, che entra in vigore il 23 ottobre 2026, adegua le norme nazionali all'AI Act: l'Agenzia per la cybersicurezza nazionale (ACN) sarà autorità di sorveglianza del mercato e AgID autorità di notifica.
Quanto costa sbagliare
-
Pratiche vietate fino a 35 mln € o 7%
-
Altri obblighi (fornitori, deployer, trasparenza) fino a 15 mln € o 3%
-
Informazioni inesatte alle autorità fino a 7,5 mln € o 1%
Aggiornato al 21 ottobre 2026. Contenuto informativo, non parere legale. Testo dell'AI Act su EUR-Lex · Regolamento di modifica (UE) 2026/1744 · D.lgs. 179/2026 in Gazzetta Ufficiale
Classe di rischio
Gli obblighi dipendono dal rischio
La maggior parte degli usi in azienda sta in basso. Ma basta un sistema nel posto sbagliato, per esempio nella selezione del personale, per salire di livello.
Vietato
Punteggio sociale, manipolazione, alcuni usi biometrici
Alto rischio
Personale, credito, istruzione, componenti di sicurezza dei prodotti
Trasparenza
Chatbot, contenuti generati, deepfake
Rischio minimo
La maggior parte degli usi in azienda: buone pratiche e alfabetizzazione AI
Ruolo
Prima domanda: deployer o fornitore?
Chi usa un sistema AI nella propria attività può essere deployer. Chi lo sviluppa o fa sviluppare e lo mette in servizio con il proprio nome può essere fornitore anche per uso interno. Ruolo e obblighi vanno verificati sul caso concreto: è il primo punto che chiarisco.
-
Sì?Avete sviluppato il sistema AI, o lo fate sviluppare e lo usate con il vostro nome?
Fornitore
Documentazione tecnica, gestione dei rischi e conformità, se ad alto rischio.
-
Sì?Lo portate nell'UE da un fornitore che sta fuori dall'UE?
Importatore
Verificate che il fornitore abbia fatto la sua parte prima di immetterlo sul mercato.
-
Sì?Lo rivendete o lo rendete disponibile ad altri?
Distributore
Controllate marcatura e documenti prima di renderlo disponibile.
-
Sì?Lo usate nella vostra attività?
Deployer
Uso secondo le istruzioni, sorveglianza umana, alfabetizzazione AI, trasparenza.
Regolamento macchine
Per chi costruisce macchine
Con il Digital Omnibus i requisiti dell'AI Act per l'AI nelle macchine passano nel Regolamento macchine (UE) 2023/1230, che si applica dal 20 gennaio 2027. La Commissione deve integrarli con atti delegati applicabili entro il 2 agosto 2028; nel frattempo si possono usare le norme armonizzate e le specifiche dell'AI Act per la presunzione di conformità. Se l'AI è una componente di sicurezza della macchina, la strada passa dalla marcatura CE.
Il metodo
01
Censimento
Quali sistemi AI usate davvero, chi li usa, con quali dati.
02
Ruolo e rischio
Una valutazione tecnica preliminare del vostro ruolo, deployer o fornitore, e della classe di rischio di ogni sistema. Nei casi dubbi la classificazione viene validata con il vostro legale.
03
Obblighi e prove
Per ogni obbligo: il controllo da mettere in piedi e la prova che lo dimostra.
04
Revisione
Ogni sei mesi e a ogni novità: nuovi sistemi, linee guida, standard, prove da rinnovare.
Come si presenta una riga del registro
-
01
Obbligo
Art. 4: alfabetizzazione AI del personale
-
02
Controllo
Percorso per ruolo e linee guida d'uso
-
03
Prova
Attestati di frequenza e registro presenze
-
04
Stato
Fatto, con data di revisione
Autovalutazione
13 domande per capire dove siete
Rispondete qui: l'esito compare in fondo. Le risposte restano nel vostro browser, non le ricevo.
Risposte: 0 su 13
Rispondete a tutte le 13 domande per vedere l’esito orientativo. Le risposte «non so» indicano informazioni da approfondire. Il questionario non determina la classe di rischio né certifica la conformità.
Esito indicativo, non un parere legale.
Richiedi una proposta di assessment AI ActTecnico
Cosa faccio io
- Censimento dei sistemi e proposta di classificazione, da validare con il legale
- Controlli tecnici: registri, sorveglianza umana, procedure
- Pianificazione dell’alfabetizzazione AI per ruolo; contenuti e disponibilità da concordare
- Registro degli obblighi con le prove
Legale
Cosa resta al legale
- Le qualificazioni giuridiche dubbie: ruolo, alto rischio, esenzioni
- Supporto giuridico a DPIA e FRIA, quando richieste; la responsabilità resta rispettivamente al titolare del trattamento e al deployer
- I contratti con fornitori e clienti
- Rapporti con le autorità e contestazioni
Non do pareri legali: preparo per il vostro legale un fascicolo già pronto, con le prove.
Domande frequenti
L'AI Act obbliga a fare un corso con attestato?
No. L'articolo 4, dopo il Digital Omnibus, chiede a fornitori e deployer di adottare misure per sostenere l'alfabetizzazione AI del personale, senza un livello garantito e senza un attestato obbligatorio. Un percorso documentato con attestato di frequenza serve a dimostrare quelle misure.
Se costruiamo un assistente AI per uso interno siamo fornitori?
Spesso sì. Chi sviluppa un sistema AI e lo mette in servizio con il proprio nome, anche solo per uso interno, è fornitore (art. 3). Per i sistemi ad alto rischio diventa fornitore anche chi ci mette il proprio nome, li modifica in modo sostanziale o ne cambia la finalità facendoli diventare ad alto rischio (art. 25). Il ruolo va verificato caso per caso.
Una PMI manifatturiera deve fare la valutazione d'impatto sui diritti fondamentali?
Di solito no. La FRIA (art. 27) riguarda enti pubblici, privati che erogano servizi pubblici e alcuni usi ad alto rischio come il merito creditizio e le assicurazioni vita e salute. La DPIA del GDPR, invece, può servire già oggi quando l'AI tratta dati personali.
Quando si applicano gli obblighi sui sistemi ad alto rischio?
Dopo il Digital Omnibus: dal 2 dicembre 2027 per i casi dell'Allegato III (per esempio selezione del personale, istruzione, infrastrutture critiche) e dal 2 agosto 2028 per l'AI dentro prodotti regolati dell'Allegato I, come i dispositivi medici. Per le macchine i requisiti passano nel Regolamento macchine, con atti delegati applicabili entro il 2 agosto 2028.
L'AI Act vale anche per aziende fuori dall'Unione europea?
Sì, quando i loro sistemi AI sono immessi sul mercato UE o quando i risultati prodotti sono usati nell'UE (art. 2). Mi occupo dell'AI Act e della normativa italiana; non do consulenza sul diritto statunitense.
Vendiamo nell'Unione europea da fuori: che ruolo abbiamo?
Dipende da cosa fate. Chi immette sul mercato UE il sistema AI di un fornitore extra-UE è importatore, chi lo rende disponibile è distributore, e il fornitore extra-UE di un sistema ad alto rischio deve nominare un rappresentante autorizzato nell'Unione (art. 22). Se l'AI è dentro un prodotto regolato, il fabbricante del prodotto può esserne considerato il fornitore (art. 25).
Quali obblighi vi riguardano già oggi?
Dimmi quali strumenti AI usate e se ne state costruendo di vostri: ti rispondo con le scadenze che potrebbero riguardarvi e cosa verificare per primo.
Scrivimi in due righe