Per questo, la regolamentazione dell’intelligenza artificiale riguarda sempre più da vicino le aziende che sviluppano, integrano o utilizzano sistemi di IA. Il riferimento normativo europeo è il regolamento (UE) 2024/1689 noto come AI Act (Artificial Intelligence Act). Il regolamento introduce un quadro comune per lo sviluppo, l’immissione sul mercato e l’uso dell’intelligenza artificiale nell’Unione Europea con un approccio basato sul rischio e orientato alla tutela della sicurezza, dei diritti fondamentali e della centralità della persona. Approvato nel 2024, ha raggiunto una tappa fondamentale della sua attuazione graduale il 2 agosto 2026: da questa data è diventata applicabile la maggior parte delle sue disposizioni e sono diventati operativi i relativi poteri di controllo e applicazione, con alcune eccezioni. Le regole per determinati sistemi di IA ad alto rischio, per esempio, sono applicabili dal 2027 e dal 2028.
Per aziende e sviluppatori diventa quindi fondamentale capire quali regole sono già applicabili, quali entreranno in vigore nei prossimi anni e come tradurre gli obblighi normativi in scelte concrete di progettazione, sviluppo, integrazione e gestione del software. Entriamo nei dettagli.
Che cos'è il regolamento sull'intelligenza artificiale e perché riguarda aziende e sviluppatori
La regolamentazione dell’intelligenza artificiale stabilisce l’insieme di norme che definiscono come sviluppare, immettere sul mercato e utilizzare i sistemi di IA tenendo conto dei rischi che possono comportare per persone, organizzazioni e società. In quest’ambito l’Europa risulta all’avanguardia grazie al regolamento (UE) 2024/1689 noto come AI Act e al suo approccio basato sulla classificazione del rischio: non tutti i sistemi di IA sono soggetti agli stessi obblighi, le regole cambiano in funzione delle caratteristiche del sistema, del suo utilizzo e del livello di rischio associato.
È facile intuire come questa impostazione coinvolga in modo diretto il mondo delle aziende e dello sviluppo software. Per esempio, un’azienda che realizza un sistema di IA può infatti assumere il ruolo di provider di tale sistema. Mentre un’altra che integra una tecnologia AI sviluppata da terzi all’interno di un proprio prodotto o processo, può rientrare nella categoria dei cosiddetti deployer: soggetti che mettono il sistema in servizio o lo utilizzano sotto la propria autorità escludendo un uso non professionale.
Capire quale ruolo ricopriamo è quindi uno dei primi passaggi per determinare a quali obblighi siamo soggetti. Ma ancora prima è indispensabile un’analisi concreta dei sistemi di IA utilizzati o sviluppati e del loro inquadramento rispetto all’AI Act.
Come funziona la classificazione del rischio dell'AI Act
Il principio alla base dell’AI Act è intuitivo: più è elevato il rischio associato a un sistema di IA, maggiori e più restrittivi sono i requisiti da rispettare. Su questa base il regolamento distingue diverse categorie di rischio: dalle pratiche vietate ai sistemi soggetti a obblighi specifici fino alle applicazioni a rischio minimo o nullo.
Pratiche di IA vietate
Il gradino più elevato del rischio è rappresentato dalle applicazioni considerate inaccettabili perché comportano rischi gravi per la sicurezza, i diritti o la libertà delle persone. Rientrano in questa categoria alcune forme di manipolazione del comportamento attraverso tecniche subliminali o in grado di sfruttare vulnerabilità legate all'età o a particolari condizioni personali, sistemi di social scoring e determinate pratiche di categorizzazione biometrica.
I principali divieti si applicano dal 2 febbraio 2025. Dal 2 dicembre 2026 si aggiungono le proibizioni relative ai sistemi che generano o manipolano materiale intimo non consensuale e relativo ad abusi sessuali su minori.
Sistemi di IA ad alto rischio
I sistemi classificati come ad alto rischio comprendono AI impiegate in ambiti come occupazione, istruzione, infrastrutture critiche, accesso a servizi essenziali o specifici utilizzi biometrici. Qui un malfunzionamento, un uso improprio o una decisione erronea basata sull'IA può avere conseguenze rilevanti sulla salute, sulla sicurezza o sui diritti fondamentali.
Un esempio in tal senso è un sistema utilizzato per analizzare candidature e supportare la selezione del personale, oppure uno strumento impiegato per valutare l’accesso a determinati servizi essenziali. In questi casi il contesto di utilizzo è determinante per stabilire il livello di rischio e gli obblighi conseguenti.
La classificazione, infatti, non riguarda solo la tecnologia utilizzata: va considerato che cosa fa il sistema, per quale finalità e in quale contesto viene utilizzato. È un punto importante perché l’applicazione di una stessa tecnologia può comportare livelli di rischio molto diversi.
Come specificato in seguito, le regole relative ai sistemi ad alto rischio dell'Allegato III sono applicabili dal 2 dicembre 2027. Per i sistemi di IA ad alto rischio incorporati in prodotti regolamentati dall'Allegato I, invece, l'applicazione è prevista dal 2 agosto 2028.
Sistemi AI soggetti a obblighi di trasparenza
Una terza categoria comprende i sistemi nei quali il rischio rende necessario informare gli utenti, rendere riconoscibile l’interazione o il contenuto generato dall’IA. Nello specifico dei contenuti cosiddetti sintetici, l'AI Act prevede che gli output generati da sistemi di IA, compresi quelli per finalità generali, siano contrassegnati in un formato leggibile meccanicamente e rilevabile come generato o manipolato artificialmente.
Un esempio in tal senso è rappresentato dai chatbot: quando una persona interagisce direttamente con un sistema di IA, deve essere informata a meno che non risulti evidente dal contesto.
Questi obblighi di trasparenza sono applicabili dal 2 agosto 2026, con alcune disposizioni transitorie.
Sistemi AI a rischio minimo o nullo
Infine, molti sistemi di IA utilizzati in applicazioni comuni rientrano nella categoria a rischio basso o nullo e non sono soggetti ai requisiti delle categorie precedenti. È il caso, per esempio, di applicazioni come i filtri antispam o alcuni sistemi di raccomandazione.
Non significa che possano essere sviluppati o utilizzati senza alcuna attenzione: a questo livello possono entrare in gioco altre normative europee o nazionali, oltre a considerazioni relative a sicurezza, privacy, proprietà intellettuale e gestione dei dati. Inoltre, resta sempre valida la regola che al cambiare di finalità, contesto o modalità di utilizzo, può cambiare anche l'inquadramento del sistema.
Roadmap per l'entrata in vigore dell’AI Act: le tappe in base al livello di rischio
Fin dalla sua pubblicazione, l’AI Act ha previsto una serie di scadenze progressive per diventare esecutivo. Alcune rappresentano obblighi già applicati, altre indicano gli adeguamenti che aziende e sviluppatori devono considerare in un futuro ormai prossimo.
| Data | Disposizioni e scadenze |
| 12 luglio 2024 | L’AI Act è pubblicato sulla Gazzetta ufficiale dell’Unione Europea. |
| 2 febbraio 2025 | Entrano in vigore le disposizioni relative alle pratiche di IA vietate e all’alfabetizzazione in materia di IA. |
| 2 agosto 2025 | Termine per la nomina delle autorità nazionali competenti in materia di AI Act. Per l’Italia si tratta dell’ACN (Agenzia per la Cybersicurezza Nazionale, dell’AGID (Agenzia per l’Italia Digitale) e del GPDP (Garante per la Protezione dei Dati Personali.
Diventano applicabili le regole sulla governance e gli obblighi relativi ai modelli di IA per finalità generali (GPAI). |
| 2 agosto 2026 | Diventa applicabile la maggior parte delle disposizioni dell’AI Act e dei relativi poteri di controllo e applicazione, con le eccezioni previste dal regolamento. |
| 2 dicembre 2026 | Diventano attuativi i nuovi divieti relativi alla generazione o manipolazione di materiale intimo non consensuale e relativo ad abusi sessuali su minori.
Per determinati sistemi già immessi sul mercato prima del 2 agosto 2026, scatta il termine transitorio per gli obblighi di marcatura dei contenuti sintetici previsto dall’articolo 50. |
| 2 agosto 2027 | Gli Stati membri devono assicurare che sia operativo almeno un AI regulatory sandbox a livello nazionale per lo sviluppo e la sperimentazione controllata di sistemi di IA innovativi. |
| 2 dicembre 2027 | Entrano in vigore le norme per i sistemi di IA ad alto rischio contenute nell’Allegato III. |
| 2 agosto 2028 | Diventano applicabili le regole per i sistemi di IA ad alto rischio incorporati nei prodotti regolamentati dell’Allegato I. |
Alcune delle scadenze aggiornate derivano dalle modifiche dell’AI Act introdotte dal Digital Omnibus, il pacchetto di norme entrato in vigore il 27 luglio 2026 per rendere più uniforme e competitivo il framework legislativo dell’Unione Europea in ambito di protezione dei dati, cybersicurezza, gestione e condivisione dei dati, identità digitale e intelligenza artificiale.
Tra le altre cose, esso ha posto l’accento sulla semplificazione degli adempimenti a carico di PMI e imprese innovative nel rispetto dei principi fondamentali dettati dall’AI Act. Anche il timing aggiornato inerente i sistemi ad alto rischio rientra in quest’ottica per permettere alle imprese di adeguarsi trasformando gli obblighi normativi in processi integrati concreti e misurabili.
Chi sviluppa o integra software deve quindi tenere conto sia degli obblighi già entrati in vigore che delle scadenze a venire.
Cosa cambia per aziende e sviluppatori: ruoli, responsabilità e ciclo di vita del software
Le responsabilità previste dall’AI Act possono coinvolgere soggetti diversi lungo tutta la catena del valore e cambiare anche in funzione di come un sistema viene modificato, integrato o utilizzato.
È quindi importante capire innanzitutto quale ruolo ricopriamo rispetto al sistema AI e quali obblighi ne derivano, dato che uno stesso soggetto può ricoprire ruoli diversi in relazione a sistemi o funzionalità differenti. Prendiamo in considerazione 3 scenari.
- Un’azienda che sviluppa internamente uno strumento di AI per supportare la selezione del personale, per esempio, può essere provider durante lo sviluppo e deployer quando utilizza il sistema nelle proprie attività.
- Una realtà che sviluppa software integrando modelli, API o altri componenti forniti da terzi si trova in una situazione ancora più articolata. In questo caso occorre ricostruire la catena di chi ha sviluppato il sistema, chi lo immette sul mercato, chi ne determina la finalità, chi lo modifica e chi lo utilizza.
- Un soggetto che modifica o integra un sistema può assumere le responsabilità del provider. L’articolo 25 dell’AI Act, infatti, considera provider anche alcuni soggetti che appongono il proprio marchio, modificano un sistema in maniera sostanziale o ne modificano la finalità prevista in modo da renderlo un sistema ad alto rischio.
Per questo il concetto di conformità deve entrare nel ciclo di vita del software dalla definizione della finalità alla scelta dei componenti, dalla gestione dei dati alla documentazione, fino al monitoraggio e agli aggiornamenti. Detto altrimenti, chi sviluppa o integra software con funzionalità di AI non può considerare il controllo come un’attività successiva allo sviluppo. Deve invece domandarsi se l’architettura e i processi di sviluppo permettono di rispettare gli obblighi che si applicano al sistema in base ai termini stabiliti dalla legge.
5 attività da considerare per prepararsi alle prossime scadenze dell'AI Act
1. Mappatura dei sistemi di IA utilizzati
Il primo passo è individuare quali applicazioni, funzionalità o processi aziendali utilizzano sistemi di intelligenza artificiale comprendendo sia i modelli proprietari che API e servizi forniti da soggetti terzi.
2. Individuazione dei ruoli
Non basta sapere quale tecnologia viene utilizzata. È necessario ricostruire i ruoli lungo la catena del software. Chi sviluppa il sistema? Chi lo fornisce? Chi decide la finalità? Chi lo utilizza? Quali componenti provengono da soggetti esterni? E cosa succede se una componente viene modificata o sostituita?
Rispondere a queste domande è utile per identificare le posizioni assunte rispetto al sistema: fornitore, deployer o altro soggetto previsto dal regolamento. Da questo passaggio dipendono responsabilità e obblighi differenti.
3. Verifica di finalità e contesto d’uso
La stessa tecnologia può essere soggetta a requisiti diversi a seconda dell’utilizzo che ne viene fatto, delle persone o dei processi coinvolti. Per esempio, un modello linguistico usato per alimentare un chatbot di assistenza clienti può rientrare negli obblighi di trasparenza, mentre un sistema utilizzato per supportare la selezione del personale può ricadere tra gli utilizzi ad alto rischio.
Per questo non basta sapere quale modello viene utilizzato: bisogna capire che cosa fa il sistema e in quale contesto. Da qui deriva anche la valutazione del livello di rischio associato e, di conseguenza, le disposizioni e le tempistiche da rispettare.
4. Tracciabilità e documentazione
Per alcune categorie di sistemi, l’AI Act EU (EU Artificial Intelligence Act - EU AI Act) richiede informazioni, registrazioni e documentazione da mantenere nel tempo. Dal punto di vista tecnico, vuol dire domandarsi se l’architettura consente di ricostruire ciò che è avvenuto: quali dati o componenti sono stati utilizzati, quali modifiche sono state effettuate e come si è evoluto il sistema.
5. Accertamento degli obblighi applicabili
Il passaggio finale consiste nel verificare le scadenze fissate per capire se il software e i processi che lo accompagnano sono già predisposti per i requisiti in corso di applicazione e per quelli che diventeranno applicabili. È un controllo fondamentale quando il sistema è destinato a evolvere nel tempo: una modifica dell’architettura, del modello o della finalità d’uso può cambiare anche gli adempimenti da considerare.
Prepararsi all’AI Act significa introdurre verifiche concrete nelle fasi in cui il software viene progettato, integrato, rilasciato e aggiornato.
Lista di controllo tecnico-operativa per adempiere agli obblighi di legge
Alla luce del percorso che abbiamo individuato, può essere utile passare a uno schema di controllo operativo. Proponiamo quindi una serie di domande per individuare le aree che meritano un approfondimento senza sostituire una valutazione giuridica o di conformità.
| Area | Domande di controllo |
| Componenti AI | Sono state censite tutte le funzionalità che utilizzano sistemi di AI identificando anche i modelli, le API e i servizi AI forniti da soggetti terzi? |
| Finalità | È documentato per quale scopo viene utilizzata ciascuna funzionalità AI? |
| Contesto e rischio | È chiaro se la funzionalità viene utilizzata per filtrare contenuti o per supportare decisioni in ambiti sensibili? |
| Fornitori | Quali componenti AI provengono da soggetti terzi e che responsabilità comportano? |
| Dati | Quali dati entrano ed escono dal sistema e come vengono utilizzati? |
| Ruoli | È chiaro chi sviluppa, chi fornisce e chi utilizza il sistema AI? |
| Modifiche | È possibile ricostruire modifiche a modello, dati, funzionalità o finalità d'uso? |
| Logging | L’architettura consente di conservare le informazioni necessarie a ricostruire il funzionamento del sistema? |
| Supervisione | È possibile prevedere intervento e controllo umano dove richiesto? |
| Trasparenza | È possibile informare l'utente quando interagisce con un sistema AI o quando un contenuto è generato artificialmente nei casi previsti dalla legge? |
| Scadenze | È chiaro da quale data entrano in vigore i requisiti riguardanti i sistemi AI utilizzati o sviluppati? |
Cosa succede con il mancato rispetto degli obblighi dell'AI Act
L’AI Act prevede un sistema di sanzioni che varia in funzione della violazione e del soggetto coinvolto.
Per le violazioni più gravi, come quelle relative alle pratiche di IA vietate, le sanzioni amministrative pecuniarie possono arrivare fino a 35 milioni di euro o al 7% del fatturato mondiale totale annuo. Per altre violazioni sono previste soglie inferiori, fino a 15 milioni di euro o al 3% del fatturato annuo mondiale. Per le PMI e le start-up vengono inoltre considerate specifiche condizioni per determinare la sanzione.
L’aspetto economico non è però l’unico elemento da considerare. Un sistema non conforme può richiedere interventi correttivi, limitazioni all’utilizzo o altre misure da parte delle autorità competenti.
Alcune disposizioni sono già applicabili dal 2 agosto 2026 e i relativi poteri di controllo sono operativi. Per le norme in arrivo nel 2027 e 2028 i controlli seguiranno le rispettive date di applicazione.
Anche per questo la conformità va considerata una componente del processo di utilizzo, sviluppo e gestione del software, non un controllo da effettuare ex post.
Dalla regolamentazione allo sviluppo in base all’AI Act
Come abbiamo visto, l’applicazione delle disposizioni dell'AI Act procede per fasi e il quadro continua a evolvere anche attraverso linee guida, standard tecnici e ulteriori interventi normativi.
Per aziende e sviluppatori è opportuno progettare sistemi e controlli che possano evolvere insieme alla normativa, in termini di documentazione, tracciabilità, supervisione e trasparenza.
È il tipo di approccio che abbiamo utilizzato nel progetto dedicato all’uso dell’intelligenza artificiale per ottimizzare le stime di sviluppo software L’obiettivo era da un lato migliorare la gestione delle risorse e ridurre il rischio di stime errate, dall’altro digitalizzare e uniformare la gestione delle stime garantendo l’applicazione di policy di cybersecurity.
La nostra soluzione ha permesso di sviluppare un modello di machine learning, addestrato sui dati storici aziendali, progettato per classificare le stime corrette, sovrastimate o sottostimate mediante un’analisi in tempo reale. Un sistema che supporta il responsabile nel valutare i tempi e i costi di un nuovo progetto software, fornendo suggerimenti e proiezioni durante il processo.
È un caso che mostra nel concreto come l’intelligenza artificiale possa entrare nei processi di sviluppo e richieda attenzione, oltre che alle potenzialità della tecnologia stessa, al modo in cui viene integrata nel software e utilizzata dalle persone.
Conoscere gli obblighi dell’AI Act è il primo passo. Il successivo è tradurli in scelte di progettazione, sviluppo e gestione del software.
Winet può aiutarti a valutare l’impatto dell’intelligenza artificiale sui tuoi progetti e a integrare soluzioni AI tenendo conto di requisiti tecnici, dati, tracciabilità e gestione del ciclo di vita. Parliamone!
Disclaimer
Questo articolo ha esclusivo scopo informativo e divulgativo. Non è redatto da professionisti legali, né intende sostituire il parere di un esperto del settore. Le normative possono variare nel tempo: consigliamo di verificare le informazioni presso fonti ufficiali o di consultare un professionista qualificato per ricevere indicazioni aggiornate e specifiche al proprio caso. L'autore del blog non si assume alcuna responsabilità per eventuali inesattezze, omissioni o interpretazioni errate dei contenuti.