Dal punto di vista tecnico può sembrare una semplice funzionalità aggiuntiva, ma dal punto di vista normativo, invece, apre numerosi interrogativi. L'utente è consapevole che il contenuto è stato generato dall'intelligenza artificiale? Può verificarlo o correggerlo? Quali dati vengono elaborati? Chi è responsabile delle decisioni prese dal sistema?
Sono proprio queste le domande a cui l'Unione Europea sta cercando di rispondere attraverso un quadro normativo in continua evoluzione. Dopo l'entrata in vigore dell'AI Act, nel 2026 è arrivato il Digital Omnibus AI, un pacchetto di modifiche pensato per rendere più graduale e sostenibile l'applicazione delle nuove regole. Vediamo quindi cosa cambia e quali sono gli aspetti che le aziende dovrebbero conoscere fin da subito.
Cos'è l'AI Act
L'AI Act (Regolamento UE 2024/1689) è il primo regolamento al mondo dedicato all'intelligenza artificiale. Entrato in vigore il 1° agosto 2024, introduce un approccio basato sul livello di rischio dei sistemi AI. L'obiettivo non è limitare l'innovazione, ma garantire che l'intelligenza artificiale venga sviluppata e utilizzata in modo sicuro, trasparente e rispettoso dei diritti fondamentali. Il regolamento impone obblighi differenti a seconda del rischio che il sistema AI può generare per cittadini, imprese e società.
Le quattro categorie di rischio previste dall'AI Act
1. Rischio inaccettabile
Comprende i sistemi ritenuti incompatibili con i valori europei e quindi vietati.
Tra questi troviamo:
social scoring;
sistemi di manipolazione cognitiva;
sfruttamento delle vulnerabilità delle persone;
alcune forme di identificazione biometrica vietate;
sistemi che generano immagini intime non consensuali.
2. Sistemi ad alto rischio
Sono le applicazioni che possono avere un impatto significativo sulla vita delle persone.
Rientrano, ad esempio:
infrastrutture critiche;
dispositivi medici;
sistemi biometrici;
selezione del personale;
istruzione;
giustizia;
accesso a servizi essenziali come credito o assicurazioni.
Per queste applicazioni il regolamento richiede una documentazione molto dettagliata, gestione del rischio, supervisione umana, monitoraggio continuo e requisiti di qualità dei dati.
3. Sistemi a rischio limitato
Sono i sistemi che devono rispettare principalmente obblighi di trasparenza.
Ne fanno parte:
chatbot;
assistenti virtuali;
sistemi che generano immagini, testi o video;
applicazioni che interagiscono direttamente con gli utenti.
In questi casi l'utente deve essere informato chiaramente quando sta interagendo con un sistema di intelligenza artificiale o quando un contenuto è stato generato artificialmente.
4. Rischio minimo
La maggior parte delle applicazioni AI oggi presenti sul mercato rientra in questa categoria.
Ad esempio:
filtri antispam;
sistemi di raccomandazione;
strumenti di supporto alla produttività;
AI integrate nei software aziendali.
Questi sistemi non sono soggetti a obblighi specifici, pur essendo incoraggiate buone pratiche di utilizzo.
Le principali scadenze dell'AI Act
2 febbraio 2025
Entrano in vigore i divieti per le pratiche vietate e l'obbligo di alfabetizzazione AI del personale.
2 agosto 2025
Diventano applicabili gli obblighi per i modelli GPAI e le regole di governance europea.
2 agosto 2026
Entrano in vigore la maggior parte degli obblighi previsti dall'AI Act.
Dal 2027 al 2028
Entrano progressivamente in vigore gli obblighi rinviati dal Digital Omnibus per alcune categorie di sistemi ad alto rischio.
Cos'è il Digital Omnibus AI e cosa cambia rispetto all'AI Act
Con il rapido sviluppo dell'intelligenza artificiale è emersa la necessità di rendere l'applicazione dell'AI Act più graduale e coordinata.
Per questo motivo, nel 2026, le istituzioni europee hanno approvato il Digital Omnibus AI, un pacchetto di semplificazioni che non modifica i principi dell'AI Act ma interviene sulla sua applicazione pratica.
L'obiettivo è ridurre gli oneri amministrativi, evitare sovrapposizioni normative e concedere più tempo ad aziende e pubbliche amministrazioni per adeguarsi. Le principali novità riguardano soprattutto i sistemi ad alto rischio e il rinvio di alcuni obblighi.
Il Digital Omnibus posticipa alcune scadenze:
i sistemi ad alto rischio previsti nell'Annex III passano dal 2 agosto 2026 al 2 dicembre 2027;
i prodotti disciplinati dall'Annex I (come alcuni dispositivi medici o prodotti regolamentati) vengono rinviati al 2 agosto 2028.
Questa estensione offre alle imprese più tempo per prepararsi, ma non rappresenta un invito ad aspettare.
Nuovi divieti
Il pacchetto introduce inoltre nuovi divieti che entreranno in vigore dal 2 dicembre 2026. Tra questi figurano i sistemi che generano materiale intimo non consensuale ("nudification") e alcune applicazioni collegate alla produzione di materiale di abuso sessuale su minori.
Il rinvio non significa che ci si possa fermare
Molte aziende potrebbero interpretare il rinvio delle scadenze come un motivo per rimandare ogni attività di adeguamento. In realtà accade l'esatto contrario; prepararsi richiede tempo e occorre censire tutti i sistemi AI utilizzati, comprenderne il livello di rischio, definire responsabilità interne, predisporre la documentazione e formare il personale. Le organizzazioni che iniziano oggi avranno un vantaggio competitivo quando le nuove disposizioni diventeranno pienamente applicabili.
Quali sono le sanzioni previste?
L'AI Act introduce un sistema sanzionatorio simile, per severità, a quello già visto con il GDPR.
Le sanzioni possono arrivare fino a:
35 milioni di euro o il 7% del fatturato mondiale per le pratiche vietate;
15 milioni di euro o il 3% del fatturato per la violazione degli obblighi relativi ai sistemi ad alto rischio;
7,5 milioni di euro o l'1% del fatturato per informazioni inesatte o incomplete fornite alle autorità competenti.
Come prepararsi all'AI Act
Anche se alcune scadenze sono state posticipate, il momento migliore per iniziare è adesso.
Le aziende dovrebbero:
mappare tutti i sistemi di intelligenza artificiale utilizzati o sviluppati;
classificare ogni applicazione in base al livello di rischio previsto dall'AI Act;
effettuare una gap analysis per individuare gli interventi necessari;
definire una governance dell'AI con ruoli e responsabilità chiare;
predisporre la documentazione richiesta;
implementare processi di supervisione umana e gestione del rischio;
formare il personale sull'utilizzo corretto dell'intelligenza artificiale, attività già prevista dalla normativa.
Il Digital Omnibus AI non cambia la filosofia dell'AI Act, ma ne rende l'applicazione più graduale. Le imprese hanno qualche mese in più per adeguarsi, ma gli obblighi rimangono e richiedono una preparazione strutturata.
Per questo motivo è importante non limitarsi a osservare l'evoluzione normativa, ma iniziare fin da ora a comprendere come l'intelligenza artificiale viene utilizzata all'interno della propria organizzazione e quali impatti può avere dal punto di vista normativo, organizzativo e operativo.
In Moku accompagniamo le aziende in questo percorso attraverso attività di assessment, analisi dei processi, definizione della governance dell'AI e individuazione delle opportunità di adozione conformi alle normative europee. Prepararsi oggi significa poter innovare con maggiore sicurezza domani.
