Il Regolamento (UE) 2024/1689 (AI Act), pubblicato in GUUE il 12 luglio 2024 e in vigore dal 1° agosto 2024, è il primo quadro normativo al mondo sull'intelligenza artificiale. L'applicazione è progressiva.
Calendario di applicazione
- 2 febbraio 2025: divieto delle pratiche di IA vietate (art. 5) e obblighi di alfabetizzazione IA (art. 4).
- 2 agosto 2025: obblighi per i fornitori di modelli IA per scopi generali (GPAI) (capo V) e governance.
- 2 agosto 2026: piena applicazione degli obblighi per i sistemi IA ad alto rischio (capo III) e per i sistemi a rischio limitato (capo IV — trasparenza).
- 2 agosto 2027: applicazione degli obblighi per i sistemi ad alto rischio già componenti di prodotti regolati (Allegato I, sezione B).
Approccio basato sul rischio
1. Rischio inaccettabile (vietato) — Social scoring delle persone fisiche, manipolazione subliminale, sfruttamento di vulnerabilità, riconoscimento emozionale in luoghi di lavoro e scuole, polizia predittiva basata sul profiling, scraping facciale per database biometrici, identificazione biometrica remota in tempo reale in spazi accessibili al pubblico (con eccezioni tassative).
2. Alto rischio — Sistemi IA usati come componenti di sicurezza in settori regolati (Allegato I) o impiegati in 8 ambiti sensibili dell'Allegato III: biometria, infrastrutture critiche, istruzione e formazione, occupazione e gestione dei lavoratori, accesso a servizi essenziali pubblici e privati, attività di contrasto, gestione migrazione e frontiere, amministrazione della giustizia. Obblighi: sistema di gestione del rischio, governance dei dati, documentazione tecnica, log, trasparenza, sorveglianza umana, accuratezza e cybersecurity, valutazione di conformità, registrazione UE, monitoraggio post-immissione.
3. Rischio limitato — Trasparenza: chatbot devono dichiarare di essere AI, contenuti deepfake devono essere etichettati.
4. Rischio minimo — Codici di condotta volontari.
Modelli IA per scopi generali (GPAI)
Per i modelli GPAI (es. GPT, Gemini, Claude, Llama) il capo V impone documentazione tecnica, informazioni ai deployer, rispetto del copyright UE, sintesi dei dati di addestramento. Per i modelli GPAI con rischio sistemico (training compute > 10^25 FLOPs) si aggiungono valutazione del modello, mitigazione del rischio sistemico, segnalazione di incidenti gravi, cybersecurity adeguata.
Sanzioni (art. 99)
- Pratiche vietate: fino a 35 mln € o 7% del fatturato annuo mondiale (importo maggiore).
- Violazione obblighi alto rischio/GPAI: fino a 15 mln € o 3%.
- Informazioni inesatte alle autorità: fino a 7,5 mln € o 1,5%.
Per le PMI e le start-up le soglie sono ridotte (art. 99 par. 6).
Cosa fare ora
1. Inventario dei sistemi IA usati o sviluppati (compresi quelli embedded in prodotti software di terze parti).
2. Classificazione del rischio di ciascun sistema (vietato, alto, limitato, minimo).
3. Verifica del divieto delle pratiche vietate dal 2/2/2025.
4. Programma di alfabetizzazione IA per il personale che usa o gestisce sistemi IA.
5. Gap analysis per i sistemi ad alto rischio: documentazione tecnica, governance dati, sorveglianza umana, log, sicurezza.
6. Coordinamento con il GDPR: l'AI Act si applica in aggiunta al GDPR. DPIA obbligatoria per molti sistemi ad alto rischio.