Cos'è l'AI Act e a chi si applica
L'AI Act è un regolamento europeo direttamente applicabile in tutti gli Stati membri — non richiede recepimento nazionale, come il GDPR. Si applica a chiunque sviluppi o utilizzi sistemi AI in un contesto professionale o commerciale nel mercato europeo. Il Regolamento distingue tre figure principali:
Chi sviluppa un sistema AI e lo immette sul mercato o lo mette in servizio. Può essere un'azienda tech, una software house, un ente di ricerca.
Chi utilizza un sistema AI nella propria attività. Un ospedale che usa AI diagnostica è un deployer. Un'azienda che usa AI per la selezione del personale è un deployer. Una PA che usa chatbot per i cittadini è un deployer.
Chi immette nel mercato UE sistemi AI sviluppati fuori dall'Unione.
La maggior parte delle organizzazioni italiane ricade nella categoria deployer — il ruolo con i requisiti più operativi e meno presidiato dalla letteratura tecnica disponibile in italiano.
Se la vostra organizzazione ha adottato sistemi di raccomandazione, chatbot avanzati, strumenti di analisi predittiva o supporto decisionale clinico, siete già un deployer AI Act. Gli obblighi si applicano indipendentemente da chi ha sviluppato il sistema.
Come l'AI Act classifica i sistemi: i quattro livelli di rischio
Rischio inaccettabile — sistemi vietati
Vietati i sistemi che manipolano il comportamento umano in modo subliminale, che sfruttano le vulnerabilità di gruppi specifici, che realizzano social scoring da parte di autorità pubbliche, e i sistemi di identificazione biometrica remota in tempo reale in spazi pubblici. Divieto in vigore dal 2 febbraio 2025.
Alto rischio — obblighi stringenti
Sistemi usati in: infrastrutture critiche, istruzione e formazione, occupazione e gestione HR, accesso a servizi privati essenziali, applicazione della legge, gestione della migrazione, amministrazione della giustizia, dispositivi medici e supporto decisionale clinico, sistemi biometrici.
Rischio limitato — obblighi di trasparenza
Chatbot, deepfake, sistemi che generano contenuti sintetici. L'obbligo principale è la trasparenza: l'utente deve sapere che sta interagendo con un sistema AI.
Rischio minimo — nessun obbligo specifico
La grande maggioranza dei sistemi AI in uso — filtri antispam, sistemi di raccomandazione, videogiochi. Nessun obbligo normativo specifico, ma il Regolamento incoraggia codici di condotta volontari.
Cosa devono fare concretamente provider e deployer
Gli obblighi del deployer
- Misure organizzative e tecniche — usare il sistema secondo le istruzioni del provider e limitare l'accesso alle persone autorizzate.
- Sorveglianza umana — garantire che il sistema non sostituisca integralmente la decisione umana nei contesti ad alto rischio.
- FRIA — valutazione impatto diritti fondamentali, obbligatoria per deployer enti pubblici o che forniscono servizi di pubblica utilità.
- Registro dei sistemi AI — i deployer di sistemi ad alto rischio devono registrarsi nel database EU.
- Obblighi informativi verso i lavoratori — prima di introdurre sistemi AI che li impattano.
- Segnalazione degli incidenti — incidenti seri o malfunzionamenti al provider e, in alcuni casi, all'autorità di vigilanza.
Gli obblighi del provider
Sistema di gestione del rischio, qualità dei dati di training, documentazione tecnica, logging automatico, trasparenza e istruzioni d'uso, sorveglianza umana nel design, accuratezza e robustezza, registrazione nel database EU, marcatura CE.
Le scadenze dell'AI Act: cosa entra in vigore e quando
Divieto dei sistemi AI a rischio inaccettabile.
Applicazione delle norme sui modelli AI per uso generale (GPAI), inclusi i modelli con impatto sistemico.
Applicazione degli obblighi per i sistemi ad alto rischio dell'Allegato III — dispositivi medici, sistemi HR, infrastrutture critiche. La più impattante per la maggior parte delle organizzazioni italiane.
Applicazione degli obblighi per i sistemi ad alto rischio già regolati da normative settoriali esistenti.
La scadenza del 2 agosto 2026 è la più vicina e la più impattante. Chi non ha ancora completato l'inventario e la classificazione dei propri sistemi AI vi arriva in emergenza.
AI Act in sanità: obblighi per strutture sanitarie e IRCCS
La sanità è uno dei settori più impattati dall'AI Act. I sistemi AI usati in ambito clinico rientrano quasi sempre nella categoria ad alto rischio — e si sovrappongono con GDPR art. 9 sui dati di categoria speciale e con i Regolamenti sui dispositivi medici (MDR 2017/745 e IVDR 2017/746).
I sistemi ad alto rischio più comuni in sanità
Sistemi di supporto decisionale clinico (diagnosi, triage, prognosi), analisi di immagini diagnostiche, monitoraggio remoto dei pazienti, gestione dei farmaci, selezione e prioritizzazione dei pazienti.
Obblighi specifici per le strutture come deployer
Condurre una FRIA, garantire la sorveglianza medica sull'output del sistema, formare il personale clinico, implementare procedure di segnalazione dei malfunzionamenti, verificare la registrazione del sistema nel database EU da parte del provider.
Il nodo del consenso informato
Il paziente ha il diritto di sapere che una decisione clinica è supportata da un sistema AI — e in alcuni casi di opporsi. Serve aggiornare i moduli di consenso e le informative privacy.
Il rapporto con il comitato etico
Per le sperimentazioni cliniche che coinvolgono sistemi AI, il comitato etico ha un ruolo di supervisione che va oltre il perimetro tradizionale. La governance dell'AI nella ricerca richiede strumenti nuovi.
AI Act nella PA: obblighi per enti pubblici e amministrazioni
Le pubbliche amministrazioni che usano sistemi AI hanno obblighi aggiuntivi — in particolare l'obbligo di condurre la FRIA prima di mettere in servizio qualsiasi sistema ad alto rischio.
I casi d'uso PA più rilevanti
Sistemi di scoring per l'accesso a benefici sociali, analisi predittiva per la sicurezza pubblica, chatbot per i cittadini, gestione documentale con AI, supporto alle decisioni amministrative.
Non discriminazione algoritmica
I sistemi AI della PA non possono produrre decisioni che discriminano i cittadini in base a caratteristiche protette. Serve un'analisi dei bias nei dati di training.
Trasparenza verso i cittadini
I cittadini hanno il diritto di sapere quando una decisione amministrativa che li riguarda è stata supportata da un sistema AI. La PA deve aggiornare atti e comunicazioni.
AI Act per le aziende: dalla classificazione alla conformità operativa
HR e selezione del personale
I sistemi AI per screening dei CV, valutazione dei candidati o gestione delle performance rientrano nell'alto rischio. Richiedono trasparenza verso i candidati, sorveglianza umana, documentazione tecnica.
Customer service e chatbot
Se il chatbot prende decisioni che impattano il cliente (approvazione credito, gestione reclami) può rientrare nell'alto rischio o avere obblighi di trasparenza specifici.
Supply chain e operation
Sistemi predittivi in logistica, manutenzione o controllo qualità rientrano generalmente nel rischio minimo — ma vanno comunque classificati formalmente.
Il rischio contrattuale sottovalutato
I contratti con i fornitori AI devono chiarire chi è provider, chi è deployer, chi produce la documentazione, chi è responsabile in caso di incidente. Molti contratti SaaS esistenti non lo fanno.
AI Act, GDPR e NIS2: come si sovrappongono e come gestirli insieme
Ogni sistema AI che elabora dati personali è soggetto a entrambi. DPIA e FRIA hanno sovrapposizioni significative — una valutazione integrata è più efficiente e completa.
Le organizzazioni NIS2 che usano AI nei processi critici devono gestire i rischi AI nel sistema di gestione della sicurezza. Un incidente a un sistema AI critico può innescare gli obblighi di notifica NIS2.
I dispositivi medici con componente AI sono soggetti sia all'AI Act sia ai regolamenti sui dispositivi medici. La valutazione di conformità deve coprire entrambi con un unico processo integrato dove possibile.
La legge italiana sull'IA: cosa aggiunge la Legge 132/2025
L'AI Act è direttamente applicabile, ma lascia agli Stati membri alcuni spazi — in primis la designazione delle autorità nazionali. L'Italia li ha riempiti con la Legge n. 132/2025, in vigore dal 10 ottobre 2025: il primo quadro nazionale europeo allineato all'AI Act. Non introduce obblighi di prodotto ulteriori, ma definisce l'architettura italiana di governance, controllo e sanzione — e affianca misure pro-innovazione, tra cui un miliardo di euro per startup e PMI.
Le autorità nazionali
AgID è l'autorità di notifica; ACN è l'autorità di vigilanza del mercato — con poteri ispettivi e sanzionatori — e punto di contatto unico con l'UE. Per il settore finanziario restano competenti Banca d'Italia, CONSOB e IVASS. Il coordinamento è affidato a un Comitato presso la Presidenza del Consiglio, con Garante privacy e AGCOM.
Nessun gold plating
Una clausola di salvaguardia impedisce ai futuri decreti nazionali di aggiungere obblighi rispetto all'AI Act. Per le imprese è una garanzia: il perimetro resta il Regolamento europeo, senza aggravi amministrativi interni.
Deepfake e nuove tutele penali
La legge introduce l'art. 612-quater c.p., che punisce con la reclusione da 1 a 5 anni la diffusione senza consenso di contenuti audio/video falsificati con l'IA e idonei a ingannare. Prevista un'aggravante per i reati commessi tramite sistemi di AI.
Diritto d'autore e sanità
Le opere realizzate con l'ausilio dell'IA restano tutelate quando risultato del lavoro intellettuale umano. Per la ricerca, la legge dichiara di rilevante interesse pubblico i trattamenti — anche particolari — senza scopo di lucro da IRCCS e soggetti sanitari, autorizzando l'uso secondario dei dati privi di identificativi diretti, previa informativa al Garante.
Cosa manca ancora: i decreti attuativi. La legge delega il Governo ad adottare entro ottobre 2026 i decreti sui profili più critici: poteri delle autorità, gestione di dati e algoritmi, sandbox regolatorie, responsabilità civile e penale. È lì che si deciderà l'equilibrio concreto tra controlli e innovazione.
Le sanzioni previste dall'AI Act
del fatturato mondiale annuo (il maggiore) — violazione dei divieti sui sistemi a rischio inaccettabile.
del fatturato mondiale annuo — violazione degli obblighi per i sistemi ad alto rischio.
del fatturato mondiale annuo — informazioni false o fuorvianti alle autorità.
In Italia queste sanzioni le applica l'ACN, l'autorità di vigilanza del mercato designata dalla Legge 132/2025: non si tratta più di importi astratti. Conviene costruire un sistema di conformità solido da subito.
Da dove iniziare: il percorso di adeguamento all'AI Act
Inventario dei sistemi AI in uso
Molte organizzazioni non hanno una mappatura completa dei sistemi AI adottati — inclusi quelli integrati in software esistenti o usati da singoli reparti senza supervisione centrale.
Classificazione per livello di rischio
Per ogni sistema, determinare la categoria di rischio AI Act. Non è sempre ovvio — alcuni sistemi si trovano al confine tra categorie e richiedono un’analisi specifica.
Gap analysis degli obblighi applicabili
Per i sistemi ad alto rischio, verificare quali obblighi sono già soddisfatti e quali richiedono intervento.
Piano di adeguamento prioritizzato
Un piano realistico identifica le priorità in base a scadenze, rischio residuo e sforzo richiesto — e assegna responsabilità chiare all’interno dell’organizzazione.
Domande frequenti sull'AI Act
Se uso ChatGPT o Copilot in azienda, sono soggetto all’AI Act?+
Dipende dall’uso. Per attività a basso rischio come la redazione di testi rientri probabilmente nel rischio minimo. Se li usi per decisioni che impattano persone — selezione del personale, valutazione del credito, supporto clinico — la situazione va analizzata caso per caso.
La FRIA è obbligatoria per tutte le organizzazioni?+
No. È obbligatoria per i deployer enti pubblici o che forniscono servizi di pubblica utilità. Per i deployer privati non è formalmente obbligatoria, ma è fortemente raccomandata.
Il fornitore SaaS che uso è il provider AI Act?+
Generalmente sì. Ma il contratto deve chiarire esplicitamente le responsabilità di ciascuna parte — molti contratti SaaS attuali non lo fanno.
Cosa succede se il sistema AI che uso non è registrato nel database EU?+
La registrazione è un obbligo del provider. Tuttavia come deployer avete la responsabilità di verificare che il sistema sia conforme — inclusa la registrazione.
L’AI Act si applica anche ai sistemi AI sviluppati internamente?+
Sì. Se sviluppate internamente un sistema AI e lo usate nella vostra organizzazione, siete sia provider sia deployer — con obblighi cumulativi.
Che differenza c’è tra AI Act e GDPR per i sistemi che trattano dati personali?+
Il GDPR regola il trattamento dei dati personali. L’AI Act regola il sistema AI in sé. Sono complementari: un sistema AI che tratta dati personali deve essere conforme a entrambi. DPIA e FRIA sono valutazioni distinte ma integrabili.
