AI Act: struttura, ambito di applicazione e timeline

Per chi guida sicurezza, compliance e innovazione in azienda, l’AI Act non è più un tema da tenere d’occhio: è un regolamento con obblighi già in vigore, scadenze concrete e sanzioni che possono arrivare a 35 milioni di euro o al 7% del fatturato globale. Chi rimanda l’analisi rischia di trovarsi a inseguire una compliance che nel frattempo è già diventata obbligatoria per una parte dei propri sistemi.

In questo articolo vediamo cos’è l’AI Act, come è strutturato, a chi si applica e qual è la timeline aggiornata — inclusi gli effetti del Digital Omnibus approvato nel 2026, che ha spostato alcune scadenze sui sistemi ad alto rischio ma non ha toccato gli obblighi già operativi. Questo è il primo di una serie di approfondimenti dedicati all’AI Act: nei prossimi articoli entriamo nel dettaglio della classificazione del rischio, degli obblighi per i sistemi ad alto rischio, della trasparenza verso gli utenti, del gap analysis, dell’impatto sui processi HR e delle sanzioni.

Cos’è l’AI Act e perché è nato

L’AI Act, Regolamento (UE) 2024/1689, è il primo quadro normativo organico al mondo dedicato all’intelligenza artificiale. È stato approvato dal Parlamento europeo il 13 marzo 2024, pubblicato in Gazzetta Ufficiale UE il 12 luglio 2024 ed è entrato in vigore il 1° agosto 2024. Si applica automaticamente in tutti gli Stati membri, Italia compresa, senza bisogno di un recepimento nazionale.

L’obiettivo dichiarato non è bloccare l’adozione dell’IA, ma renderla sicura, trasparente e verificabile. Il regolamento nasce dalla constatazione che l’intelligenza artificiale è ormai una tecnologia pervasiva: senza regole condivise, il rischio è che diventi una fonte di discriminazioni, manipolazioni e vulnerabilità difficili da individuare e da correggere a posteriori.

Come è strutturato il regolamento

Il cuore dell’AI Act è l’approccio risk-based: non tutti i sistemi di intelligenza artificiale sono trattati allo stesso modo. Il regolamento distingue quattro categorie di rischio: inaccettabile, alto, limitato e minimo. Su ciascuna categoria ci sono obblighi diversi in termini di documentazione, supervisione umana e trasparenza. Dedichiamo un approfondimento specifico a questa classificazione, perché è il punto da cui partire per capire quali obblighi riguardano davvero la tua azienda.

Accanto alla classificazione del rischio, il regolamento definisce:

• Una governance multilivello, con l’AI Office europeo, il Comitato europeo per l’IA e le autorità nazionali competenti; in Italia il decreto attuativo del 10 giugno 2026 assegna all’ACN (Agenzia per la Cybersicurezza Nazionale) la vigilanza del mercato e i poteri sanzionatori, e all’AgID le funzioni di notifica, in coordinamento con Banca d’Italia, CONSOB, IVASS e Garante Privacy per i rispettivi ambiti;
• Obblighi differenziati per fornitori (provider), utilizzatori professionali (deployer), importatori e distributori;
• Regole specifiche per i modelli di IA per finalità generale (GPAI), che possono diventare più stringenti in presenza di rischi sistemici;
• Un regime sanzionatorio a più livelli, calibrato sulla gravità della violazione e sul fatturato dell’organizzazione.

A chi si applica l’AI Act

Uno degli aspetti che genera più incertezza tra i clienti con cui lavoriamo è capire se l’AI Act riguardi davvero la propria azienda. La risposta, quasi sempre, è sì; e non solo per chi sviluppa sistemi di intelligenza artificiale.

Il regolamento si applica a quattro ruoli principali:

• Provider: chi sviluppa un sistema di IA o un modello GPAI e lo immette sul mercato UE.
• Deployer: chi utilizza un sistema di IA nell’ambito della propria attività professionale. Un’azienda che integra Copilot, un chatbot o un tool di scoring nei propri processi rientra in questa categoria, anche se non ha sviluppato nulla internamente.
• Importatori e distributori: chi introduce sistemi di IA sviluppati fuori dall’UE nel mercato europeo.
• Fabbricanti: chi integra un sistema di IA in un prodotto immesso sul mercato con il proprio marchio.

Vale anche per soggetti extra-UE: se un sistema di IA sviluppato al di fuori dell’Unione europea viene messo a disposizione di utenti UE, o se il suo output è destinato a essere utilizzato nell’Unione, il fornitore deve comunque rispettare l’AI Act. È un impianto pensato per non lasciare zone franche.

Timeline: le scadenze aggiornate al 2026

La timeline dell’AI Act è progressiva. Nel 2026 il punto di maggiore impatto è stato il Digital Omnibus, il pacchetto di semplificazione della Commissione europea: la proposta è arrivata il 19 novembre 2025, l’accordo politico è stato raggiunto il 7 maggio 2026, il Parlamento europeo lo ha approvato il 16 giugno 2026 e il Consiglio UE lo ha adottato in via definitiva il 29 giugno 2026 (dettagli sul calendario ufficiale di attuazione). Manca ora solo la pubblicazione in Gazzetta Ufficiale dell’Unione europea, dopo la quale le nuove scadenze diventeranno pienamente vigenti.

Obblighi già in vigore

• 2 febbraio 2025: divieto delle pratiche di IA a rischio inaccettabile (social scoring pubblico, manipolazione subliminale, categorizzazione biometrica su base sensibile, riconoscimento delle emozioni sul lavoro e a scuola) e avvio dell’obbligo di alfabetizzazione AI (art. 4) per chi utilizza sistemi di IA in azienda.
• 2 agosto 2025: obblighi per i fornitori di modelli di IA per finalità generale (GPAI), avvio della governance istituzionale (AI Office, autorità nazionali competenti) ed entrata in vigore del regime sanzionatorio.

Prossime scadenze confermate

• 2 agosto 2026: entrano in applicazione gli obblighi di trasparenza dell’art. 50: informare gli utenti quando interagiscono con un sistema di IA e, nei casi previsti, etichettare o rendere rilevabili i contenuti generati o manipolati artificialmente.
• 2 dicembre 2026: per i sistemi già sul mercato prima del 2 agosto 2026 è prevista una finestra transitoria per alcune misure di marking e labelling dei contenuti. Il Digital Omnibus aggiunge anche il divieto di sistemi che generano contenuti intimi non consensuali o materiale di abuso sessuale su minori generato con IA, con entrata in vigore entro dicembre 2026.

Sistemi ad alto rischio: la scadenza in evoluzione

Il nodo più delicato riguarda i sistemi ad alto rischio (selezione del personale, scoring creditizio, accesso a servizi pubblici, istruzione, infrastrutture critiche, giustizia). Il testo originario dell’AI Act fissava l’applicazione al 2 agosto 2026. Dopo il Digital Omnibus, adottato in via definitiva dal Consiglio il 29 giugno 2026, la nuova scansione temporale prevede il 2 dicembre 2027 per i sistemi stand-alone dell’Allegato III e il 2 agosto 2028 per i sistemi integrati in prodotti già disciplinati da altra normativa armonizzata dell’Unione.

Restano da completare gli ultimi passaggi formali; pubblicazione in Gazzetta Ufficiale UE ed entrata in vigore. Sul piano politico il nuovo calendario è definito; sul piano formale resta la pubblicazione in Gazzetta Ufficiale dell’Unione europea, passaggio che rende le nuove scadenze pienamente vigenti. Questo spostamento delle scadenze non cambia la logica del regolamento: cambia il tempo disponibile per organizzarsi. Per questo ha ancora senso usare il 2026 per inventario dei sistemi, classificazione del rischio, AI literacy, trasparenza verso utenti e impostazione della governance interna.

Il quadro italiano

L’Italia si è dotata di una legge nazionale di raccordo con l’AI Act: la Legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025. Non si tratta di un recepimento del regolamento europeo, un regolamento UE si applica direttamente, senza bisogno di recepimento; ma di un quadro nazionale che introduce principi, deleghe e disposizioni su settori come lavoro, sanità, giustizia, pubblica amministrazione e tutela degli utenti, rafforzando anche il collegamento con il Modello 231 e introducendo il reato di deepfake (art. 613-quater c.p.).

Cosa significa per CISO e responsabili compliance, oggi

A questo punto, più che attendere ulteriori cambi di impianto, tre attività non aspettano:

• Mappare i sistemi di IA in uso in azienda, inclusi quelli adottati dai singoli team senza un processo di approvazione IT, un fenomeno che si sovrappone spesso alla Shadow AI.
• Verificare la formazione del personale sull’AI literacy, obbligo già attivo dal 2 febbraio 2025 e spesso sottovalutato perché non richiede una certificazione formale, ma un percorso documentato.
• Prepararsi alla trasparenza verso gli utenti in vista di agosto 2026, soprattutto per chi usa chatbot, assistenti virtuali o strumenti che generano contenuti destinati a clienti o dipendenti.

Nei prossimi articoli di questa serie approfondiamo, uno per uno, i passaggi operativi: come classificare correttamente un sistema di IA, quali documenti servono per i sistemi ad alto rischio, come impostare un gap analysis interno, cosa cambia per i processi HR e quali sono le sanzioni effettive da cui proteggersi.

Chi mappa oggi i propri sistemi di IA non insegue la normativa: la governa.

Fonti esterne citate:

• Regolamento (UE) 2024/1689 — testo integrale (EUR-Lex)

• Calendario ufficiale di attuazione — AI Act Service Desk, Commissione Europea

• Quadro normativo IA — Digital Strategy, Commissione Europea