AI Act: slittano i termini tecnici, restano ferme le regole su multe e responsabilità

Il regolamento europeo 2026/1744 ha rinviato al 2 dicembre 2027 gli obblighi per i sistemi di intelligenza artificiale ad alto rischio impiegati in ambiti come il lavoro, l’istruzione e i servizi essenziali. Per i sistemi integrati in prodotti regolamentati, la nuova scadenza è il 2 agosto 2028. La modifica, in vigore dal 27 luglio 2026, interviene su specifici requisiti tecnici.

Quali scadenze sono state rinviate

Nel calendario del regolamento originario, gli obblighi per i sistemi ad alto rischio dell’Allegato III sarebbero diventati applicabili il 2 agosto 2026; per quelli dell’Allegato I, la data prevista era il 2 agosto 2027. Il regolamento 2026/1744 ha spostato le due scadenze, rispettivamente, al 2 dicembre 2027 e al 2 agosto 2028.

Rientrano nell’Allegato III i sistemi usati in contesti sensibili, fra cui la selezione del personale, la valutazione scolastica e l’accesso ai servizi essenziali. L’Allegato I riguarda invece l’intelligenza artificiale impiegata come componente di sicurezza in prodotti regolamentati, per esempio dispositivi medici e macchinari. Le nuove date interessano queste categorie.

Il rinvio è legato ai tempi necessari per completare gli standard tecnici, gli orientamenti e gli strumenti di supporto alla conformità. Fra i requisiti coinvolti figurano la gestione dei rischi e la qualità dei dati, oltre alla documentazione, alla tracciabilità, alla supervisione umana e alla sicurezza. Il calendario dell’AI Act comprende anche altre scadenze, già trascorse o ancora fissate.

Obblighi e multe restano in calendario

Dal 2 febbraio 2025 si applicano i divieti sulle pratiche di IA considerate inaccettabili. Da quella data è in vigore anche l’obbligo di promuovere l’alfabetizzazione del personale. Il regolamento 2026/1744 ha mantenuto questo dovere e ne ha precisato l’applicazione: non è richiesto un livello uniforme né una certificazione. Le iniziative vanno calibrate sugli strumenti utilizzati, sulle mansioni svolte e sui rischi.

Per i fornitori di modelli di IA per uso generale, gli obblighi sono applicabili dal 2 agosto 2025. Un anno dopo, dal 2 agosto 2026, entrano in vigore anche le regole di trasparenza previste per determinati sistemi. Rientrano fra gli esempi l’informazione alle persone che interagiscono con un chatbot e l’etichettatura di specifici contenuti generati.

Le sanzioni per la violazione dei divieti possono arrivare a 35 milioni di euro oppure al 7% del fatturato mondiale annuo: si applica il massimale più elevato. Per altre violazioni, inclusi gli obblighi dei fornitori di modelli general-purpose, il limite è di 15 milioni di euro o del 3%. Se le informazioni fornite alle autorità sono scorrette o incomplete, la sanzione può raggiungere 7,5 milioni di euro o l’1% del fatturato. Per le PMI vale il massimale più basso fra importo fisso e percentuale del fatturato; la valutazione tiene conto della gravità e delle circostanze. Le sanzioni relative ai requisiti rinviati decorrono quando questi diventano applicabili.

In Italia, il decreto legislativo 179/2026 affida all’Agenzia per l’Italia digitale (AgID) il ruolo di autorità di notifica. La vigilanza del mercato, comprese le ispezioni e le attività sanzionatorie, spetta invece all’Agenzia per la cybersicurezza nazionale (ACN). In ambito finanziario restano competenti, per i rispettivi settori, Banca d’Italia, CONSOB e IVASS.

Fornitori, imprese e utilizzatori

Il fornitore è il soggetto che immette un sistema sul mercato o lo mette in servizio. Quando applicabili, gli spettano gli obblighi relativi alla progettazione, alla documentazione e alla conformità del prodotto. Anche un’impresa può assumere il ruolo di fornitore: accade se integra un sistema in un proprio prodotto, lo commercializza con il proprio nome oppure ne modifica in modo sostanziale la destinazione.

Il deployer, cioè l’organizzazione che utilizza il sistema sotto la propria autorità, deve attenersi alle istruzioni, controllarne l’impiego e garantire la supervisione prevista. Per eventuali danni, la responsabilità viene valutata secondo le norme applicabili.

Una PMI che usa un assistente generativo per preparare annunci di lavoro può già adottare alcune misure concrete: tenere un inventario degli strumenti, stabilire regole interne per l’uso dei dati, far verificare i testi da una persona e registrare le attività di alfabetizzazione. È una gestione utile anche mentre gli obblighi per i sistemi ad alto rischio sono rinviati. In particolare, l’uso dell’assistente non giustifica la condivisione indiscriminata di dati riservati né l’assenza di controlli; per l’alfabetizzazione non serve un certificato specifico.

Un’azienda che adotta un sistema per filtrare le candidature deve invece classificare l’uso e preparare la governance prevista per i sistemi ad alto rischio entro la scadenza aggiornata. Fra i passaggi da considerare ci sono la verifica della documentazione e delle istruzioni fornite dal produttore.

Chi utilizza un chatbot come privato può evitare di condividere informazioni sensibili e verificare le risposte prima di farvi affidamento. Le responsabilità organizzative ricadono normalmente sull’impresa che fornisce o impiega il chatbot. Per le categorie interessate, il rinvio riguarda gli adeguamenti alle scadenze aggiornate; restano invece da rispettare i divieti, gli obblighi di trasparenza già applicabili, i controlli sui modelli general-purpose e le misure ragionevoli di alfabetizzazione.