AI Act in Italia: guida completa per aziende, deployer e fornitori

Cos'è l'AI Act in 60 secondi

Il primo regolamento orizzontale al mondo sull'intelligenza artificiale.

L'AI Act (Regolamento UE 2024/1689) è il primo quadro normativo orizzontale al mondo dedicato all'intelligenza artificiale. È stato approvato dal Parlamento Europeo il 13 marzo 2024, pubblicato in Gazzetta Ufficiale UE il 12 luglio 2024, entrato in vigore il 1 agosto 2024 con applicazione progressiva. Il regime pieno è atteso al 2 agosto 2026 per i sistemi alto rischio, con vigilanza ACN attiva in Italia dal 3 agosto 2026.

Il Regolamento adotta un approccio basato sul rischio: i sistemi AI sono classificati in quattro livelli (rischio inaccettabile vietato, alto rischio sottoposto a obblighi stringenti, rischio limitato con obblighi di trasparenza, rischio minimo libero). Si applica direttamente in tutti gli Stati membri senza necessità di recepimento, ed è territorialmente vincolante per chiunque immetta sistemi AI sul mercato UE o usi sistemi AI il cui output è utilizzato nell'Unione.

Per la maggioranza delle aziende italiane il punto di contatto immediato è l'art. 4 sull'alfabetizzazione, già in vigore dal 2 febbraio 2025. Per chi usa sistemi alto rischio (HR, credito, sicurezza, biometria) si aggiungono gli obblighi documentali degli artt. 6-49. Il GDPR resta applicabile in parallelo per i dati personali processati dai sistemi AI: le due compliance vanno gestite in modo integrato.

• Fornitori (chi sviluppa sistemi AI)

  Aziende che sviluppano e immettono sul mercato UE sistemi AI con marchio proprio: software houses, scale-up AI, vendor enterprise. Obblighi più estesi: valutazione di conformità, marchio CE per sistemi alto rischio, documentazione tecnica completa, obblighi di trasparenza verso i deployer.

• Deployer (chi usa sistemi AI per fini professionali)

  La maggioranza delle aziende italiane: chi integra ChatGPT, Copilot, Claude o tool AI verticali nei processi aziendali è deployer. Obblighi principali: art. 4 (alfabetizzazione), art. 50 (trasparenza output AI), valutazione di impatto per sistemi alto rischio, monitoraggio post-market e segnalazione incidenti.

• Importatori e distributori

  Chi importa o distribuisce sistemi AI sviluppati fuori UE. Obbligo di verifica della conformità del fornitore extra-UE prima dell'immissione sul mercato. Responsabilità in caso di immissione di sistema non conforme. Tracciabilità della catena distributiva.

• Esclusioni (chi non rientra)

  Ricerca scientifica e sviluppo pre-deployment, uso militare e di sicurezza nazionale, sistemi AI con licenza open source non immessi sul mercato a fini commerciali (con eccezioni). L'esclusione cessa nel momento in cui il sistema entra in uso operativo o commerciale.

• Articolo 4 — Alfabetizzazione

  In vigore dal 2 febbraio 2025. Obbliga fornitori e deployer a garantire un livello sufficiente di alfabetizzazione AI del personale. Approfondimento dedicato: vedi pagina articolo 4.

• Articolo 5 — Pratiche vietate

  In vigore dal 2 febbraio 2025. Vieta pratiche AI inaccettabili: manipolazione comportamentale, social scoring, categorizzazione biometrica per dati sensibili, scraping massivo immagini facciali, riconoscimento emozioni in luogo di lavoro/scuola. Sanzione massima art. 99: €35M o 7% fatturato.

• Articoli 6-49 — Sistemi alto rischio

  Disciplina dei sistemi rientranti nell'allegato III: HR (screening CV, valutazione performance), credito (scoring), istruzione (assegnazione esami), sicurezza critica, biometria, applicazione della legge. Obblighi di valutazione conformità, registrazione sistema, controllo umano, monitoraggio post-market, valutazione di impatto sui diritti fondamentali.

• Articolo 50 — Trasparenza obblighi

  Obbligo di disclosure per output AI generati o modificati: deepfake, contenuti sintetici, chatbot identificabili come tali, watermarking machine-readable per generative AI. Si applica a deployer di GPAI integrate in prodotti consumer e B2B. In vigore dal 2 agosto 2026.

• Articolo 99 — Sanzioni

  Tre fasce sanzionatorie: fino a €35M o 7% fatturato per pratiche vietate (art. 5), fino a €15M o 3% per non conformità sistemi alto rischio, fino a €7,5M o 1% per informazioni non corrette ad autorità. Sanzioni ridotte per PMI e startup. In Italia l'autorità è ACN.

• ACN — Agenzia per la Cybersicurezza Nazionale

  Autorità nazionale di vigilanza generale designata per l'AI Act in Italia. Competente per controlli, sanzioni, ricezione segnalazioni di incidenti. Dal 3 agosto 2026 attiva il regime di vigilanza piena su sistemi alto rischio e violazioni dell'art. 5.

• AgID — Agenzia per l'Italia Digitale

  Promozione e governance dell'adozione AI nella PA italiana. Linee guida tecniche, supporto a enti pubblici nei progetti AI, coordinamento con la Strategia Italiana per l'AI 2024-2026. Non ha potere sanzionatorio diretto AI Act, ma è punto di riferimento operativo.

• Garante Privacy

  Autorità competente per l'interfaccia AI Act / GDPR. Quando un sistema AI tratta dati personali, il Garante interviene su violazioni GDPR potenzialmente cumulative con quelle AI Act. Cooperazione con ACN per casi cross-normativa.

• Banca d'Italia, IVASS, AGCOM

  Autorità di settore competenti rispettivamente per banche/intermediari finanziari, imprese assicurative, comunicazioni elettroniche e media. Vigilano sui sistemi AI ad alto rischio nei rispettivi ambiti regolati, in coordinamento con ACN.

• Mappatura sistemi AI usati in azienda

  Inventario completo di tool AI espliciti (Copilot 365, ChatGPT Enterprise, tool verticali) e shadow (account ChatGPT personali usati al lavoro). Classificazione per livello di rischio AI Act e flussi dati associati.

• Gap analysis articoli 4, 5, 50

  Verifica strutturata della conformità delle prassi attuali agli obblighi specifici. Output: report di non-conformità prioritizzato per impatto sanzionatorio e tempo di remediation richiesto.

• Formazione personale art. 4 con EDC eIDAS

  Percorso formativo strutturato, documentato e verificabile. La European Digital Credential rilasciata da enti accreditati UE costituisce l'evidenza documentale più solida per il fascicolo tecnico.

• Fascicolo tecnico documentato

  Pacchetto documentale unico contenente registri sistemi AI, valutazioni di rischio, evidenze formative, policy interne, procedure di incident response, audit trail decisioni di governance AI.

• Audit ricorrenti per nuove implementazioni

  Verifica annuale dello stato di conformità per le nuove implementazioni AI introdotte. Aggiornamento fascicolo, refresher formativo per nuovi assunti, gap analysis incrementale.