Il 2 agosto 2026 è la data che segna un prima e un dopo per qualsiasi azienda europea che usi l’intelligenza artificiale nel proprio software: entra in applicazione il grosso dell’AI Act (Regolamento (UE) 2024/1689), inclusi gli obblighi per i sistemi ad alto rischio dell’Allegato III e gli obblighi di trasparenza. Se la tua azienda ha un chatbot di assistenza clienti, un sistema di scoring, un filtro di curriculum con IA o qualsiasi automazione basata su modelli linguistici, questo regolamento ti riguarda.
In questa guida spieghiamo cosa richiede esattamente l’AI Act, quali obblighi hai in base al tuo caso d’uso e come preparare il tuo software per essere conforme senza frenare l’innovazione. È la naturale continuazione di quanto raccontato in come costruire un agente di IA e agenti di IA per le aziende, ora dal punto di vista della conformità.
Cos’è l’AI Act e perché è importante adesso
L’AI Act (Regolamento sull’IA) è la prima regolamentazione integrale dell’intelligenza artificiale al mondo. È stato pubblicato a luglio 2024, è entrato in vigore il 1° agosto 2024 e si applica in modo scaglionato. Non regola la tecnologia in sé, ma gli usi: classifica i sistemi di IA in base al rischio che comportano per la salute, la sicurezza e i diritti fondamentali, e assegna obblighi proporzionali a quel rischio.
Riguarda qualsiasi azienda che commercializzi, implementi o usi sistemi di IA nell’Unione Europea, indipendentemente da dove sia stabilita. Una startup di Madrid che usa l’API di un modello americano rientra nell’ambito di applicazione tanto quanto il fornitore del modello.
Calendario di applicazione: dove siamo nel 2026
| Data | Cosa entra in applicazione |
|---|---|
| 2 febbraio 2025 | Divieto delle pratiche a rischio inaccettabile e obbligo di alfabetizzazione in materia di IA (art. 4) |
| 2 agosto 2025 | Obblighi per i modelli per finalità generali (GPAI), governance e sanzioni |
| 2 agosto 2026 | Applicazione generale: sistemi ad alto rischio dell’Allegato III e obblighi di trasparenza (art. 50) |
| 2 agosto 2027 | Alto rischio integrato in prodotti regolamentati (Allegato I) e modelli GPAI antecedenti ad agosto 2025 |
Una sfumatura importante: alla fine del 2025 la Commissione Europea ha proposto, all’interno del pacchetto “Digital Omnibus”, di rinviare parte degli obblighi per l’alto rischio. Finché quella proposta non sarà formalmente approvata, il calendario in vigore è quello della tabella. Il nostro consiglio è di non pianificare la conformità contando su un rinvio: gli obblighi di trasparenza e i divieti sono già in vigore, e adattare un sistema a posteriori è sempre più costoso che progettarlo bene fin dall’inizio.
I quattro livelli di rischio
1. Rischio inaccettabile (vietato da febbraio 2025). Manipolazione subliminale, social scoring in stile credito sociale, riconoscimento delle emozioni sul lavoro e nell’istruzione, scraping indiscriminato di immagini facciali per banche dati di riconoscimento. Se il tuo software fa qualcosa di tutto questo, non c’è alcun obbligo da rispettare: va eliminato.
2. Alto rischio. Sistemi dell’Allegato III: selezione del personale, valutazione creditizia, accesso a servizi essenziali, istruzione, infrastrutture critiche, biometria. Obblighi completi: sistema di gestione dei rischi, governance dei dati, documentazione tecnica, registrazioni (log), sorveglianza umana, robustezza e cibersicurezza, valutazione della conformità e registrazione nella banca dati europea.
3. Rischio limitato (trasparenza). Chatbot, generazione di contenuti sintetici, deepfake. L’obbligo principale è informare: l’utente deve sapere che sta interagendo con un’IA e i contenuti generati artificialmente devono essere contrassegnati come tali.
4. Rischio minimo. Filtri antispam, sistemi di raccomandazione di prodotti, manutenzione predittiva. Nessun obbligo specifico, anche se si raccomandano codici di condotta volontari.
Cosa significa questo se usi l’IA nel tuo software (casi reali)
La maggior parte delle aziende con cui lavoriamo non addestra modelli: integra modelli esistenti via API. L’AI Act distingue tra fornitore (chi sviluppa o commercializza il sistema) e deployer (chi lo usa sotto la propria autorità). I tuoi obblighi dipendono dal ruolo e dal caso d’uso:
Chatbot di assistenza clienti
Rischio limitato. Devi informare in modo chiaro che l’utente sta parlando con un’IA (a meno che non sia evidente dal contesto), avere un ragionevole meccanismo di escalation verso un umano e formare il team che lo gestisce. Se hai costruito il chatbot su un LLM di terzi, come spieghiamo in come creare un agente di IA per l’assistenza clienti, il fornitore del modello ha i propri obblighi GPAI, ma la trasparenza verso il tuo cliente è responsabilità tua.
Filtro di curriculum o valutazione dei candidati
Alto rischio (Allegato III, punto 4). Qui gli obblighi sono seri: sorveglianza umana effettiva (l’IA non può scartare candidati senza revisione), registri di funzionamento, dati di addestramento rappresentativi e privi di bias, e informazione ai candidati. Se acquisti questa funzionalità da un fornitore SaaS, hai comunque obblighi come deployer: usare il sistema secondo le istruzioni, garantire la sorveglianza umana e conservare i log.
Scoring creditizio o assicurativo
Alto rischio. Stessi obblighi del caso precedente. Inoltre, il cliente interessato da una decisione ha diritto a una spiegazione della logica del sistema.
Generazione di contenuti (marketing, report, immagini)
Rischio limitato. I contenuti sintetici devono essere identificabili come tali (marcatura leggibile dalle macchine quando tecnicamente fattibile). Per l’uso interno senza pubblicazione, gli obblighi sono minimi.
Automazione di processi interni con LLM
Rischio minimo in generale, a meno che il processo non riguardi decisioni sulle persone (buste paga no, promozioni sì). L’obbligo trasversale già in vigore da febbraio 2025 è l’alfabetizzazione in materia di IA: il tuo team deve comprendere le capacità e i limiti dei sistemi che usa.
Checklist di conformità per il 2026
- Inventario: elenca tutti i sistemi di IA in uso, inclusi i SaaS di terzi con funzionalità di IA (CRM con scoring, ATS con ranking dei candidati…). È il passo che quasi nessuno ha fatto e quello che riserva più sorprese.
- Classificazione: assegna a ogni sistema il suo livello di rischio. La maggior parte ricadrà in minimo o limitato; identifica i pochi ad alto rischio.
- Ruoli: determina se sei fornitore o deployer di ogni sistema. Attenzione al fine-tuning e al white label: commercializzare con il tuo marchio un sistema ad alto rischio ti trasforma in fornitore.
- Trasparenza: verifica che i tuoi chatbot si identifichino come IA e che i contenuti generati siano contrassegnati quando previsto.
- Sorveglianza umana: nei sistemi che riguardano le persone, documenta chi rivede cosa e con quale reale capacità di intervenire.
- Documentazione e log: attiva la registrazione degli eventi nei tuoi sistemi di IA e documenta le decisioni di progettazione. Per l’alto rischio è obbligatorio; per il resto, è la tua migliore difesa.
- Formazione: rispetta l’articolo 4 con formazione pratica al team (cosa può e non può fare l’IA che usano, come individuare errori e allucinazioni).
- Contratti con i fornitori: chiedi ai tuoi fornitori di IA la documentazione di conformità. I fornitori GPAI seri (OpenAI, Anthropic, Google) pubblicano documentazione specifica per l’AI Act.
Sanzioni: cosa rischi
- Fino a 35 M€ o il 7% del fatturato globale per pratiche vietate.
- Fino a 15 M€ o il 3% per la violazione degli obblighi dei sistemi ad alto rischio o di trasparenza.
- Fino a 7,5 M€ o l’1% per aver fornito informazioni scorrette alle autorità.
In Spagna l’autorità di vigilanza è l’AESIA (Agenzia Spagnola di Supervisione dell’Intelligenza Artificiale), ed esiste un sandbox normativo per testare i sistemi ad alto rischio in un ambiente controllato prima di lanciarli sul mercato.
Conformità by design: il vantaggio di costruire bene fin dall’inizio
L’errore più comune che vediamo è trattare l’AI Act come una pratica legale che si risolve con un documento. In pratica, la conformità si decide nell’architettura del software:
- Tracciabilità: registrare prompt, risposte e decisioni del modello fin dal primo giorno costa poco; aggiungerlo a posteriori su un sistema in produzione è un progetto a sé stante.
- Human-in-the-loop: progettare i flussi in modo che l’IA proponga e una persona decida (nei casi che lo richiedono) è una decisione di prodotto, non una toppa.
- Valutazione continua: i test di qualità e di bias sugli output del modello (eval) sono l’evidenza tecnica che il tuo sistema fa quello che dici che fa.
- Disaccoppiamento dal modello: se la tua architettura permette di cambiare fornitore di modello, puoi reagire se un fornitore non rispetta i suoi obblighi GPAI.
In Soamee costruiamo agenti e sistemi di IA per le aziende con questi principi incorporati fin dalla progettazione. Se stai integrando l’IA nel tuo prodotto o automatizzando processi e vuoi farlo rispettando l’AI Act senza frenare lo sviluppo, parliamone.
Conclusione
L’AI Act non vieta di usare l’IA nella tua azienda: regola come usarla in modo responsabile. Per la grande maggioranza dei casi d’uso (chatbot, generazione di contenuti, automazione interna) gli obblighi sono sostenibili: trasparenza, formazione e buon senso documentato. I sistemi ad alto rischio richiedono di più, ma sono una minoranza identificabile con un inventario ben fatto.
Agosto 2026 non è il momento di iniziare a pensarci: è la data in cui dovresti già essere conforme. La buona notizia è che le pratiche richieste dal regolamento (tracciabilità, sorveglianza, valutazione) sono le stesse che fanno funzionare bene un sistema di IA in produzione.