La pubblicazione in Gazzetta Ufficiale del Regolamento UE 2026/1744, o cosiddetto Digital Omnibus sull’AI, entrato in vigore lo scorso 27 luglio, l’AI Act – la normativa europea sullo sviluppo e l’utilizzo delle applicazioni di Intelligenza Artificiale – ha un calendario aggiornato. Sono stati infatti posticipati i termini per assolvere agli obblighi relativi ai sistemi di AI ad alto rischio, che dalla scadenza originaria del 2 agosto 2026 slittano al 2 dicembre 2027 (per quanto riguarda la valutazione di conformità, i sistemi di gestione della qualità, la sorveglianza umana e la gestione degli incidenti) e al 2 agosto 2028 (per i sistemi embedded in prodotti già regolati, quali dispositivi medici e macchinari).
L’AI Act, ufficialmente in vigore dal 1° agosto 2024 (Regolamento UE 2024/1689), è quindi ancora in evoluzione e progressiva adozione e recepimento, concedendo alle aziende e ai fornitori di tecnologie AI i tempi necessari ad adeguarsi a quanto la normativa richiede con l’obiettivo di avere una Intelligenza Artificiale che sia trasparente, sicura e responsabile. Se viene quindi dato altro tempo per i sistemi ad alto rischio, sono invece già vigenti e applicabili gli obblighi relativi a formazione e governance, e quindi alla identificazione dei sistemi di AI in uso presso le aziende. Le regole imposte dalla normativa europea rimarcano infatti quanto sia essenziale comprendere a fondo quali sono gli strumenti di AI che un’organizzazione utilizza, e ciò comporta sapere quali dati vengono utilizzati, come vengono gestiti questi dati e con quali rischi. Oltre a sapere chi ne fa utilizzo, in quale contesto, con quali competenze e quali ruoli. Una serie di informazioni necessarie a tracciare un chiaro quadro delle responsabilità e dei rischi che possono sorgere in tema di sicurezza informatica, di tutela della privacy e della proprietà intellettuale. I rischi legati all’utilizzo dell’AI in azienda possono essere molteplici. L’inserimento di informazioni riservate nei processi di addestramento dei modelli o l’utilizzo di contenuti generati automaticamente senza una preventiva verifica possono infatti avere conseguenze sulla sicurezza informatica, sulla tutela della privacy e sulla responsabilità dell’azienda.
Tra gli obblighi già in vigore dal 2 febbraio 2025 rientra quello previsto dall’articolo 4 del Regolamento europeo sull’Intelligenza Artificiale, che richiede ai fornitori e ai deployer di sistemi di AI di garantire un livello sufficiente di alfabetizzazione in materia di Intelligenza Artificiale al proprio personale e a «qualsiasi altra persona che si occupa del funzionamento e dell’utilizzo dei sistemi di AI per loro conto». A tal fine, le organizzazioni devono promuovere percorsi formativi adeguati, che consentano di acquisire le competenze necessarie per utilizzare correttamente questi strumenti e comprendere i rischi associati al loro impiego. Si tratta pertanto di un obbligo di formazione che deve tenere conto delle conoscenze tecniche delle persone, delle loro esperienze, istruzione e formazione, con una valutazione del loro livello di partenza che va opportunamente documentato. Nonché del contesto in cui i sistemi di AI verranno utilizzati, e tenendo altresì in considerazione le persone o i gruppi di persone su cui dovranno essere utilizzati. Occorre quindi tenere un registro formativo delle attività svolte, e ripetere la valutazione a intervalli regolari, provvedendo alla formazione di nuovi assunti e aggiornando i contenuti quando cambiano i sistemi AI in uso o eventualmente i requisiti normativi.
È quindi fondamentale garantire un’adeguata governance dei sistemi di AI, attraverso una mappatura chiara degli strumenti di Intelligenza Artificiale utilizzati in azienda, indispensabile anche per identificare gli impieghi più critici e valutare i rischi associati. L’AI Act regolamenta infatti sviluppo e utilizzo dell’Intelligenza Artificiale in base al livello di rischio dei sistemi, imponendo obblighi che variano a seconda del potenziale impatto che una loro compromissione o uso scorretto possono avere. Il Regolamento distingue diverse categorie di rischio. Per i sistemi di AI a rischio inaccettabile, considerati una minaccia per la sicurezza e i diritti delle persone, è previsto il divieto, entrato in vigore il 2 febbraio 2025, insieme agli obblighi in materia di alfabetizzazione sull’AI.
Seguono i sistemi di AI ad alto rischio, utilizzati in settori critici come sanità, trasporti, istruzione e credito. Gli obblighi previsti per questi sistemi, la cui applicazione è stata rinviata dal più recente Digital Omnibus a dicembre 2027 e agosto 2028, comprendono la registrazione in un database dell’UE, la valutazione di conformità, la predisposizione della documentazione tecnica e l’adozione di misure specifiche per la gestione del rischio, la qualità dei dati e la robustezza dei sistemi.
Vi sono poi i sistemi di AI a Rischio Limitato, ovvero sistemi per i quali viene richiesto un obbligo di Trasparenza verso gli utenti, di cui all’articolo 50 del Regolamento. Questi obblighi, entrati in vigore lo scorso 2 agosto 2026, comportano che oggi chi interagisce ad esempio con un chatbot, un assistente vocale o un servizio automatizzato deve poter capire che sta interagendo con una macchina. Inoltre, i requisiti di Trasparenza per gli strumenti di AI impongono che i contenuti generati o manipolati dall’Intelligenza Artificiale siano resi riconoscibili, i deepfake devono essere dichiarati e i testi di interesse pubblico vanno segnalati come generati dalla AI in assenza di una revisione umana da parte di un responsabile identificato. Per i sistemi a Rischio minimo (che includono gran parte delle applicazioni AI, quali ad esempio i filtri anti spam) non sono infine richiesti particolari requisiti aggiuntivi.
È infine interessante segnalare l’esistenza di un Codice di buone pratiche per i modelli di AI per finalità generali (GPAI). Per questi sistemi, gli obblighi hanno iniziato a entrare in vigore il 2 agosto 2025, con riferimento all’assetto di governance e alla designazione delle autorità nazionali competenti. Il quadro è stato ulteriormente implementato il 2 agosto 2026, con l’applicazione degli obblighi di trasparenza già citati e, tra le altre misure, l’operatività del regime sanzionatorio. Il Codice di buone pratiche per i fornitori di sistemi GPAI è stato pubblicato per la prima volta il 10 luglio 2025, su base volontaria e per iniziativa di esperti indipendenti, e successivamente integrato dalla Commissione Europea su concetti chiave relativi ai modelli di AI per finalità generali. Si tratta di una raccolta di buone pratiche e moduli di documentazione tipo di facile utilizzo, che fornitori e sviluppatori possono adottare per conseguire la conformità su trasparenza dei modelli, corretto uso dei dati nel rispetto del diritto d’autore e gestione dei rischi (queste ultime pratiche sono rivolte a fornitori di modelli di AI più avanzati con rischio sistemico). Aderendo volontariamente al Codice, i fornitori di modelli di AI per finalità generali (GPAI) possono fare riferimento alle buone pratiche contenute nella guida approvata dalla Commissione europea per dimostrare la conformità alla normativa sull’AI. Questo approccio consente di ridurre gli oneri amministrativi, garantire una maggiore certezza del diritto e rafforzare la fiducia degli utilizzatori, offrendo un percorso di conformità più chiaro rispetto ad altri metodi di dimostrazione del rispetto degli obblighi normativi.