La scadenza della legge sull'intelligenza artificiale già superata e cosa fare al riguardo
La data principale di conformità dell'atto sull'intelligenza artificiale dell'UE era il 2 agosto 2026. Una guida pratica su quali obblighi vincolano un'azienda di medie dimensioni e quali no.
Il Regolamento AI dell'UE entra in vigore: cosa devi sapere
Il Regolamento AI dell'Unione Europea (AI Act) è entrato in vigore ad agosto 2024 con una tempistica graduale, e la data di conformità più recente, il 2 agosto 2026, è passata il mese scorso. Se nessuno nella tua azienda ne ha fatto menzione, non sei solo. Non sei necessariamente esposto, inoltre: la maggior parte delle normative non si applica alla maggior parte delle aziende, e il modo più rapido per avere il controllo è identificare quali piccole parti si applicano alla tua attività.
Fornitore o deployer
Il Regolamento divide i compiti tra l'organizzazione che sviluppa e immessa sul mercato un sistema AI (il fornitore) e l'organizzazione che utilizza un sistema AI sotto la propria autorità (il deployer). Quasi tutti gli obblighi di cui le persone si preoccupano - valutazione della conformità, documentazione tecnica, marcatura CE, sistemi di gestione della qualità - ricadono sui fornitori. Se acquisti la tua AI da fornitori, sei un deployer e i tuoi compiti sono meno onerosi e principalmente organizzativi.
Due cose ti legano indipendentemente: le restrizioni sulle pratiche a rischio inaccettabile sono entrate in vigore a febbraio 2025. Allo stesso modo l'Articolo 4, che richiede di garantire un livello sufficiente di alfabetizzazione AI tra i dipendenti che operano per conto tuo. Questo ha una soglia e non esenta le piccole imprese. I registri di formazione sono la prova.
Le date, in ordine cronologico
A febbraio 2025 sono entrate in vigore le restrizioni e l'obbligo di alfabetizzazione. Ad agosto 2025 sono state introdotte le obbligazioni per i fornitori di modelli generici e attivato il regime sanzionatorio. Ad agosto 2026 sono entrate in vigore le regole ad alto rischio per i casi di utilizzo di cui all'Annesso III e le norme sulla trasparenza dell'Articolo 50. Ad agosto 2027 si applicano l'AI incorporata come componente di sicurezza in prodotti già regolamentati e i modelli generici più vecchi.
Una nota: la Commissione ha proposto di posticipare alcune scadenze ad alto rischio, legate alla disponibilità di standard armonizzati. Osservale, ma non pianificare in base ad esse. Le restrizioni, l'obbligo di alfabetizzazione e le norme sulla trasparenza non fanno parte di questa discussione, e sono quelle che una media impresa è più probabile che violi attualmente.
Costruisci un elenco, non una politica
Il primo output è un inventario, non un framework. Elenca ogni sistema AI in uso, inclusi quelli che non hai acquistato intenzionalmente: la valutazione CV all'interno del tuo sistema di tracciamento dei candidati, il punteggio nei tuoi strumenti di credito o frodi, l'assistente attivato dal team finanziario lo scorso trimestre, il chatbot sul tuo sito web. L'AI nascosta in SaaS acquistati rappresenta il vero rischio di classificazione. Assegna a ogni voce un proprietario aziendale, non IT.
Poi classifica ciascuna voce. Le pratiche vietate sono rare ma non esotiche - l'inferenza emotiva sul posto di lavoro è bandita in modo assoluto, e diversi strumenti HR e benessere vendono proprio questa funzionalità. I casi ad alto rischio dell'Annesso III coprono il reclutamento e la gestione dei lavoratori, la valutazione della solvibilità individuale, l'istruzione e l'accesso ai servizi essenziali. Gli obblighi sulla trasparenza si applicano ai chatbot, ai media sintetici e al testo generato dall'AI pubblicato per informare il pubblico. Tutto il resto è a basso rischio e non comporta obblighi. In una tipica azienda di medie dimensioni, questa rappresenta la stragrande maggioranza dell'elenco.
Se qualcosa finisce nella casella ad alto rischio
In qualità di deployer, devi:
- Utilizzare il sistema secondo le istruzioni del fornitore e conservarle.
- Assegnare supervisione umana a persone con competenza, formazione e autorità per sovrastare il sistema.
- Assicurarsi che i dati di input siano rilevanti e rappresentativi dello scopo previsto.
- Conservare automaticamente i registri generati per almeno sei mesi.
- Informare i lavoratori e i loro rappresentanti prima di mettere in funzione il sistema.
- Comunicare agli individui interessati quando una decisione li riguarda, spiegandola su richiesta.
Si tratta di un compito gestionale, non di un programma ingegneristico.
La linea che puoi attraversare senza accorgertene
L'Articolo 25 trasforma un deployer in un fornitore - con l'intero onere della conformità - se metti il tuo nome o marchio su un sistema, lo modifichi sostanzialmente o riprogrammi un modello generico per un uso ad alto rischio. Affinare un modello sui tuoi dati storici di assunzione e puntarlo alla selezione dei candidati significa aver attraversato quella linea. Controlla qualsiasi build interna contro questo prima della spedizione e chiedi ai fornitori la dichiarazione di conformità, le istruzioni per l'uso e la capacità di registrazione che devi conservare.
Le scommesse e il passo successivo
Le pratiche vietate comportano multe fino a 35 milioni di euro o il 7% del fatturato globale; la maggior parte delle altre violazioni fino a 15 milioni di euro o il 3%, con le PMI valutate al minimo tra queste due cifre. Il rischio reale per una media impresa non è una multa clamorosa, ma una domanda di applicazione che non puoi rispondere, da un regolatore, un auditore o un cliente.
Dedica un trimestre a questo: inventaria, classifica, colma le lacune sulla trasparenza, registra la formazione. Dove la classificazione è genuinamente incerta, quel peso vale affidarlo a chi lo fa spesso - la parte che assumiamo quando i clienti ci chiedono.