L’EU AI Act si applica alla tua azienda? Obblighi spiegati chiaramente

La maggior parte delle guide all’EU AI Act è scritta per le aziende che sviluppano AI. Questa è anche per tutti gli altri: il negozio online con un chatbot, l’agenzia che redige testi con ChatGPT, la società software che aggiunge una funzione di AI, l’impresa extra-UE che vende a clienti europei. La data principale di applicazione del regolamento è ormai trascorsa e, dopo una modifica tardiva, il quadro si è stabilizzato. Ecco cosa richiede davvero l’Artificial Intelligence Act a un’azienda ordinaria.

Cos’è l’Artificial Intelligence Act e perché conta

L’AI Act, formalmente regolamento (UE) 2024/1689, è la prima legge organica al mondo sull’AI (il testo consolidato vigente è disponibile su EUR-Lex). Essendo un regolamento UE, si applica direttamente in ogni Stato membro, senza recepimento nazionale. Il regolamento sull’AI si basa su una logica fondata sul rischio: maggiore è il potenziale impatto di un sistema di AI sulla sicurezza o sui diritti fondamentali delle persone, più rigorosi sono gli obblighi per chi lo sviluppa e lo utilizza.

Il Digital Omnibus sull’AI (regolamento (UE) 2026/1744) ha modificato l’Act poco prima della sua principale data di applicazione. Ha rinviato le scadenze per l’alto rischio, aggiunto due nuove pratiche vietate, ristretto parte della definizione di alto rischio e ridotto gli adempimenti per le imprese minori. L’architettura, i quattro livelli di rischio e i doveri basati sul ruolo restano invariati.

A chi si applica l’EU AI Act? Verifica in quattro domande

1. Lo strumento è un «sistema di AI»? Un algoritmo basato su regole, con passaggi fissi definiti dall’uomo, non lo è. La caratteristica determinante è l’inferenza: il sistema produce previsioni, raccomandazioni, decisioni o contenuti a partire dai dati, in modi non esplicitamente programmati. Chatbot, strumenti generativi, sistemi di scoring e motori di raccomandazione rientrano nella definizione; una formula di foglio di calcolo no.

2. È usato professionalmente? L’uso privato e non professionale è escluso dall’ambito di applicazione. Nel momento in cui un dipendente usa uno strumento per conto dell’azienda, l’azienda rientra nell’ambito di applicazione.

3. Riguarda l’UE? L’Act si applica se il sistema di AI è immesso sul mercato UE, utilizzato nell’UE oppure se i suoi output sono utilizzati nell’UE. È coperta un’azienda esterna all’Unione che serve clienti UE. Non vi è alcuna esenzione per piccole imprese o start-up; gli obblighi dell’AI Act dipendono dal rischio, non dal numero di dipendenti.

4. Lo hai sviluppato o lo utilizzi? Questo determina il tuo ruolo, e il tuo ruolo determina i tuoi obblighi.

La maggior parte delle aziende è utilizzatrice ai sensi dell’AI Act. Usare ChatGPT, Copilot o un chatbot di un fornitore non ti rende un fornitore, ma ti rende un utilizzatore, con gli obblighi descritti di seguito. Puoi diventare fornitore senza volerlo: se modifichi sostanzialmente un sistema, lo integri nel tuo prodotto o lo commercializzi con il tuo marchio.

Un’ulteriore regola riguarda le imprese extra-UE: un fornitore non UE deve nominare un rappresentante autorizzato stabilito nell’Unione prima di rendere disponibile un sistema di AI ad alto rischio o un modello di AI per finalità generali (sono esenti i modelli open source privi di rischio sistemico).

Categorie di rischio dell’AI Act: i quattro livelli

Durante l’elaborazione della legge, la Commissione europea ha stimato che circa l’85% dei sistemi di AI rientra nella categoria a rischio minimo. Per la maggior parte delle aziende di servizi, software ed e-commerce, nella pratica contano solo la prima e la terza riga.

Cronologia dell’EU AI Act: cosa si applica ora e cosa è stato rinviato

Requisiti dell’EU AI Act che oggi riguardano la maggior parte delle imprese

1. Non usare pratiche di AI vietate

Verifica che nessuno strumento aziendale rientri in una categoria vietata. La trappola più realistica per un’azienda ordinaria è il riconoscimento delle emozioni di dipendenti o clienti, oppure la categorizzazione biometrica che deduce tratti sensibili come etnia o opinioni politiche. La Commissione ha pubblicato linee guida sulle pratiche vietate per i casi al limite.

2. Promuovi l’alfabetizzazione sull’AI e, sì, redigi una policy sull’AI

Fornitori e utilizzatori devono adottare misure a sostegno dell’alfabetizzazione sull’AI delle persone che gestiscono o usano l’AI per loro conto. L’Omnibus ha attenuato la formulazione: non devi più garantire un determinato livello di competenza per ciascuna persona, ma devi comunque agire. L’Act non dice letteralmente «adottare una policy sull’AI», tuttavia una breve policy interna sull’uso dell’AI, la formazione documentata e un registro di chi l’ha completata sono il modo più semplice per dimostrare la conformità. Poiché l’obbligo si applica anche all’uso interno, è l’unico obbligo che raggiunge persino le aziende la cui AI non entra mai in contatto con un cliente.

3. Informativa sui chatbot: comunica alle persone quando parlano con una macchina

In base agli obblighi di trasparenza, un sistema di AI che interagisce direttamente con le persone, come un chatbot o un assistente vocale, deve chiarire che l’utente interagisce con l’AI, salvo che sia evidente dal contesto. L’obbligo spetta al fornitore che ha sviluppato il sistema. Se usi sul sito un chatbot di un fornitore, quest’ultimo deve incorporare l’informativa, ma sei tu a rapportarti con i clienti: verifica che l’avviso sia visibile prima o al momento della prima interazione. Una frase come «Stai chattando con il nostro assistente AI» è sufficiente.

Devi etichettare i contenuti generati dall’AI?

Questa è la domanda sulla divulgazione dei contenuti AI che le imprese pongono più spesso, e quella a cui più frequentemente viene data una risposta errata. Le norme distinguono tra una marcatura invisibile e leggibile da una macchina, che il fornitore di uno strumento generativo deve incorporare, e un’informativa visibile che l’utilizzatore, ossia l’azienda che pubblica il contenuto, deve aggiungere soltanto in casi specifici.

Due aspetti da ricordare. Primo, l’intenzione non conta: un’immagine realistica deve essere etichettata anche se nessuno intendeva ingannare. Secondo, la filigrana a monte incorporata dallo strumento di AI non assolve il tuo obbligo di etichettatura; l’informativa deve essere percepibile da una persona senza strumenti tecnici.

Conformità all’AI Act nella pratica: cinque scenari comuni

Sistemi di AI ad alto rischio: rinviati, non cancellati

Se la tua azienda fornisce o utilizza AI in una delle aree dell’allegato III, dalla data rinviata si applica un insieme molto più gravoso di requisiti per l’AI ad alto rischio. I fornitori devono attuare un sistema di gestione del rischio, conservare documentazione tecnica e registri, progettare per la supervisione umana e superare una valutazione di conformità prima che il sistema sia immesso sul mercato. Gli utilizzatori devono usare il sistema come indicato, assegnare persone formate alla sua supervisione e conservare i registri.

Le imprese minori ottengono un sollievo concreto: documentazione tecnica semplificata per PMI, start-up e la nuova categoria di «piccole mid-cap»; gestione della qualità semplificata per tutte le PMI; e massimali delle sanzioni pari al minore tra l’importo fisso e la percentuale di fatturato. Vi è anche un’esclusione: un sistema in un’area dell’allegato III non è ad alto rischio se svolge soltanto un compito procedurale o preparatorio circoscritto e non influenza materialmente le decisioni. Si applicano due avvertenze. Ogni sistema che effettua profilazione di persone fisiche è sempre ad alto rischio, e un fornitore che si avvale dell’esclusione deve documentare la propria valutazione e registrare comunque il sistema nella banca dati UE.

Sanzioni, applicazione e sovrapposizione con il GDPR

L’applicazione è condivisa. L’Ufficio europeo per l’AI supervisiona i fornitori di modelli di AI per finalità generali; ogni Stato membro designa un’autorità di vigilanza del mercato per i sistemi di AI; le autorità per la protezione dei dati continuano a supervisionare i dati personali usati dall’AI. L’AI Act Service Desk della Commissione risponde in inglese alle domande delle imprese.

Le sanzioni per non conformità sono a livelli: fino a €35 milioni o al 7% del fatturato annuo mondiale per pratiche vietate; fino a €15 milioni o al 3% per la maggior parte degli altri obblighi, inclusa la trasparenza; e fino a €7,5 milioni o all’1% per la fornitura di informazioni errate alle autorità. Per le grandi imprese, il limite è il maggiore dei due importi; per PMI e start-up, il minore.

L’AI Act si affianca al GDPR, non lo sostituisce. L’AI Act disciplina il sistema e il suo utilizzo; il GDPR disciplina i dati personali che lo attraversano. Uno strumento può essere pienamente conforme a uno e violare l’altro. Quando l’AI Act richiede una valutazione d’impatto sui diritti fondamentali, può basarsi su una valutazione d’impatto sulla protezione dei dati già esistente anziché duplicarla.

Checklist pratica di conformità all’AI per le imprese

Una buona governance dell’AI non richiede un ufficio legale. Per la maggior parte delle aziende, questi nove passaggi coprono gli attuali requisiti dell’AI Act e preparano alle future norme per l’alto rischio:

• Inventario: elenca ogni strumento di AI utilizzato, comprese le funzioni integrate in prodotti SaaS e i modelli per finalità generali usati dal personale.
• Ruolo: stabilisci per ciascuno strumento se sei fornitore, utilizzatore o entrambi.
• Classificazione: verifica ogni strumento rispetto all’elenco dei divieti e alle aree dell’allegato III; annota il risultato.
• Chatbot: verifica che ogni assistente AI rivolto ai clienti si identifichi.
• Contenuti: applica la tabella di etichettatura sopra riportata a ciò che pubblichi.
• Alfabetizzazione: adotta una policy sull’uso dell’AI e conserva i registri della formazione.
• Protezione dei dati: allinea l’uso dell’AI alla documentazione GDPR esistente.
• Presenza nell’UE: se sei fuori dall’UE e fornisci un sistema ad alto rischio o un modello per finalità generali, nomina un rappresentante autorizzato.
• Piano: se qualcosa è ad alto rischio, pianifica in base alle date rinviate invece di aspettarle.

Conformità all’AI Act e costituzione di società UE con Eesti Firma

L’Artificial Intelligence Act premia le imprese che integrano la conformità fin dall’inizio e, per le aziende esterne all’Unione, rende la presenza nell’UE una necessità pratica. Eesti Firma supporta le imprese guidate dall’AI su entrambi i fronti: costituendo un’entità UE tramite la costituzione di società in Estonia interamente digitale, inclusa la costituzione tramite e-Residency per fondatori che non devono mai visitare l’Estonia, e aiutando l’azienda a rispettare i propri obblighi quando opera sul mercato UE.

I nostri avvocati redigono pareri legali per stabilire se un determinato sistema di AI rientri nell’ambito di applicazione e quale ruolo e livello di rischio comporti; il nostro team di servizi legali redige le policy sull’uso dell’AI e le informative necessarie all’azienda per dimostrare la conformità in materia di alfabetizzazione AI, trasparenza e protezione dei dati.

Richiedi un parere legale sul tuo sistema di AI

Domande frequenti