L’EU AI Act (Regolamento UE 2024/1689) è la prima normativa organica al mondo sullo sviluppo e l’uso dell’intelligenza artificiale. Tocca aziende, professionisti e sviluppatori: obblighi già operativi e sanzioni molto alte. Per capirlo senza perdersi nei dettagli, bisogna partire da un criterio: il rischio del caso d’uso, non “la magia” del modello.
1. Il concetto chiave: approccio basato sul rischio
La regola d’oro: la legge non valuta la tecnologia in sé, ma il caso d’uso e l’impatto potenziale sui diritti fondamentali. Lo stesso motore di chat può essere “rischio limitato” se è un assistente generico, e “alto rischio” se decide assunzioni o credito.
2. I quattro livelli di rischio
Rischio inaccettabile — VIETATO
Social scoring, manipolazione comportamentale subliminale, riconoscimento delle emozioni in luoghi di lavoro e scuole, scraping facciale indiscriminato, categorizzazione biometrica su dati sensibili.
Pratiche vietate dal 2 febbraio 2025.
Alto rischio — rigidamente regolamentato
IA per selezione/valutazione del personale (HR), credit scoring, biometria, infrastrutture critiche, dispositivi medici, valutazione scolastica/accademica.
Obblighi: valutazione di conformità, tracciabilità dei dati, gestione del rischio, marcatura CE, supervisione umana, registrazione in banche dati UE.
Rischio limitato — obblighi di trasparenza
Chatbot, generazione di testo/immagini/audio, deepfake.
Art. 50: informare che si interagisce con un’IA; marking machine-readable su output sintetici; disclosure per deepfake e alcuni contenuti pubblici.
Rischio minimo — nessun vincolo specifico
Filtri anti-spam, videogiochi con IA e usi a basso impatto.
Nessun obbligo aggiuntivo tipico dell’AI Act (restano GDPR e altre norme).
3. Due dettagli che molti ignorano
AI literacy — Art. 4
Dal 2 febbraio 2025 chi fa usare sistemi di IA al personale (il “deployer”) deve adottare misure che supportino lo sviluppo di AI literacy. Dopo l’Omnibus (luglio 2026) non deve garantire un livello individuale specifico — ma non basta “abbiamo ChatGPT”: le persone devono capire limiti, rischi e buone pratiche.
Sanzioni + effetto GDPR
Multe fino a 35 milioni € o 7% del fatturato globale per pratiche vietate; fino a 15 milioni € o 3% per altre violazioni. Si cumulano con il GDPR se c’è anche trattamento illecito di dati personali.
4. Cosa aggiungere (spesso manca nei post)
Provider vs deployer. Chi sviluppa o mette in commercio un sistema (provider) ha obblighi diversi da chi lo usa in azienda (deployer). Se “solo” usi ChatGPT/Gemini per lavoro, sei tipicamente deployer: istruzioni al personale, uso corretto, trasparenza verso gli utenti finali quando serve.
GPAI — modelli per finalità generali. I grandi modelli (stile GPT, Claude, Gemini) hanno obblighi extra di documentazione, sintesi su dati di training / copyright, e misure aggiuntive se sono a “rischio sistemico”.
Trasparenza (Art. 50). Chatbot e contenuti sintetici: l’utente deve sapere che parla con un’IA. I provider devono marcare gli output sintetici in formato leggibile meccanicamente; i deployer, in casi specifici (deepfake, testi su temi di interesse pubblico), devono rendere percepibile la disclosure — con eccezioni limitate (arte, ricerca, sicurezza).
Non sostituisce il GDPR. Se carichi CV, mail clienti o dati sanitari in una chat consumer, restano privacy, base giuridica e trasferimenti extra-UE. Spesso il tema “AI Act + GDPR” è più rilevante del modello in sé.
Diritti delle persone. Su sistemi ad alto rischio: spiegabilità, reclamo, sorveglianza umana — non “l’algoritmo ha deciso e basta”.
5. Timeline essenziale
2 feb 2025
Divieti (rischio inaccettabile) + AI literacy (Art. 4): misure per supportare le competenze di chi usa l’IA (testo aggiornato dall’Omnibus 2026).
2 ago 2025
Obblighi per modelli di IA per finalità generali (GPAI): documentazione, copyright summary, policy, trasparenza.
2 ago 2026
Art. 50 (trasparenza) + gran parte del regolamento: registrazione, sorveglianza mercato, obblighi generali.
2 dic 2026
Termine differito per alcuni obblighi di marking su sistemi già immessi sul mercato prima del 2/8/2026.
2 dic 2027
Obblighi per sistemi ad alto rischio Annex III (stand-alone).
2 ago 2028
Obblighi per sistemi ad alto rischio Annex I (incorporati in prodotti regolamentati).
Date indicative del regolamento; verifica sempre i testi ufficiali e le linee guida della Commissione / autorità nazionali. Fonte Commissione europea.
6. Checklist se usi ChatGPT (o simili) in azienda
- Mappa i casi d’uso: mail innocue ≠ screening CV o scoring clienti.
- Supporta l’AI literacy del personale (Art. 4): cosa può inventare, cosa non incollare, come verificare.
- Preferisci piani enterprise / Workspace con contratti e controlli, non account personali “a nascoste”.
- Se esponi un chatbot al pubblico: dichiara che è un’IA.
- Se pubblichi immagini/audio sintetici rilevanti: valuta marking machine-readable e disclosure percepibile.
- Per HR, credito, biometria, scuola: fermati e parla con legale / compliance prima di “provare lo strumento”.
Da ricordare: l’AI Act non vieta ChatGPT. Regola come e per cosa lo usi — e chiede competenze minime a chi lo fa usare in azienda.
Questo articolo è divulgativo e non costituisce consulenza legale.