AI Act: Guida Pratica per le Aziende Italiane
Tutto quello che devi sapere sul regolamento europeo sull'intelligenza artificiale: obblighi, scadenze, classificazione rischi e come prepararti.
Cos'è l'AI Act
L'AI Act (Artificial Intelligence Act, Regolamento UE 2024/1689) è la prima legge al mondo che regola in modo organico l'intelligenza artificiale. Approvato dal Parlamento Europeo nel marzo 2024 ed entrato in vigore il 1 agosto 2024.
L'obiettivo è garantire che i sistemi AI usati in Europa siano sicuri, rispettino i diritti fondamentali e siano sviluppati in modo responsabile. Il regolamento si basa su un approccio basato sul rischio: più il sistema AI è rischioso, più stringenti sono gli obblighi.
Chi è coinvolto?
- Provider: chi sviluppa o mette sul mercato sistemi AI
- Deployer: chi usa sistemi AI nella propria attività
- Importatori/Distributori: chi porta sistemi AI nel mercato EU
L'AI Act si applica a qualsiasi azienda che operi nel mercato europeo, indipendentemente dalla sede.
Timeline di Applicazione
Entrata in vigore
Il regolamento è in vigore. Inizia il periodo transitorio.
Divieti attivi
Vietati i sistemi AI a rischio inaccettabile (social scoring, manipolazione, ecc.).
Regole GPAI
Obblighi per AI generativa e modelli general-purpose (GPT, Claude, ecc.).
Alto rischio
Piena applicazione per sistemi AI ad alto rischio (HR, credito, sanità, ecc.).
Prodotti regolamentati
Obblighi per AI in prodotti già soggetti a normative settoriali (dispositivi medici, auto, ecc.).
Le 4 Categorie di Rischio
Rischio Inaccettabile (VIETATI)
Sistemi AI che violano diritti fondamentali. Vietati dal 2 febbraio 2025.
- Social scoring da parte di governi
- Manipolazione comportamentale subliminale
- Sfruttamento di vulnerabilità (età, disabilità)
- Riconoscimento biometrico in tempo reale in spazi pubblici
- Scraping massivo di volti per database
- Riconoscimento emozioni sul lavoro e a scuola
Alto Rischio
Sistemi AI che impattano significativamente sulla vita delle persone. Obblighi stringenti.
Allegato III
- Identificazione biometrica
- Gestione infrastrutture critiche
- Istruzione e formazione
- Occupazione e HR (recruiting, valutazioni)
- Accesso a servizi essenziali (credito, assicurazioni)
- Law enforcement
- Migrazione e asilo
- Giustizia
Obblighi
- Risk management system
- Data governance
- Documentazione tecnica
- Registrazione log
- Trasparenza
- Supervisione umana
- Accuratezza e robustezza
- Cybersecurity
Rischio Limitato
Obblighi di trasparenza. L'utente deve sapere che sta interagendo con un'AI.
- Chatbot e assistenti virtuali
- Sistemi che generano deepfake
- Sistemi di riconoscimento emozioni
- Sistemi di categorizzazione biometrica
Obbligo: informare l'utente che sta interagendo con un'AI o che il contenuto è generato artificialmente.
Rischio Minimo
Nessun obbligo specifico. La maggior parte dei sistemi AI rientra qui.
- Filtri spam
- Raccomandazioni prodotti
- Videogiochi
- Correzione ortografica
Regole per AI Generativa (GPAI)
I modelli di AI generativa (General Purpose AI) come GPT-4, Claude, Gemini, Llama hanno regole specifiche, in vigore da agosto 2025.
Obblighi per tutti i GPAI
- Documentazione tecnica dettagliata
- Informazioni per fornitori downstream
- Rispetto della normativa copyright
- Sintesi pubblica dei dati di training
GPAI con rischio sistemico
Modelli con capacità di calcolo >10^25 FLOP hanno obblighi aggiuntivi:
- Valutazione e mitigazione rischi sistemici
- Incident reporting
- Test adversarial (red teaming)
- Protezione cybersecurity
Cosa significa per le aziende?
Se usi ChatGPT, Claude o altri LLM per business, assicurati che il provider sia compliant. Se integri GPAI in prodotti/servizi, potresti avere obblighi come provider downstream.
Come Prepararsi all'AI Act
Inventario AI
Mappa tutti i sistemi AI in uso: software sviluppato internamente, servizi cloud, AI embedded in altri prodotti, automazioni con componenti AI.
Classificazione Rischio
Classifica ogni sistema secondo le categorie AI Act. Documenta i criteri usati. In caso di dubbio, consulta un esperto o applica il principio di precauzione.
Gap Analysis
Per i sistemi ad alto rischio, verifica la compliance rispetto ai requisiti: documentazione tecnica, data governance, trasparenza, supervisione umana, log, cybersecurity.
Piano Remediation
Definisci le azioni correttive: aggiornamenti tecnici, nuove procedure operative, formazione del personale, revisione contratti con fornitori AI.
Governance AI
Istituisci un framework di governance: responsabilità chiare, processi di approvazione per nuovi sistemi AI, monitoraggio continuo, incident management.
Sanzioni
Violazioni gravi
Uso di sistemi vietati (rischio inaccettabile)
Violazione obblighi
Mancato rispetto requisiti per sistemi ad alto rischio
Informazioni false
Dichiarazioni errate alle autorità
Per le PMI le sanzioni sono calcolate in modo proporzionato. Gli importi indicati sono massimi: si applica il maggiore tra importo fisso e percentuale del fatturato mondiale.
Hai Bisogno di Supporto sulla Compliance AI?
Synaptica offre consulenza per l'adeguamento all'AI Act: assessment, classificazione, gap analysis, implementazione. Le nostre soluzioni AI sono già AI Act ready grazie al CRISP Framework, la nostra metodologia proprietaria per AI governance by design.
Domande Frequenti sull'AI Act
Cos'è l'AI Act?
L'AI Act (Artificial Intelligence Act) è il regolamento europeo sull'intelligenza artificiale, approvato nel 2024. È la prima legge al mondo che regola l'AI in modo organico. Stabilisce regole per sviluppatori e utilizzatori di sistemi AI, con obblighi proporzionali al livello di rischio del sistema.
Quando entra in vigore l'AI Act?
L'AI Act è entrato in vigore il 1 agosto 2024, ma l'applicazione è graduale: divieti sui sistemi a rischio inaccettabile da febbraio 2025, obblighi per AI ad alto rischio da agosto 2026, regole per AI generativa (GPAI) da agosto 2025. Le aziende hanno tempo per adeguarsi.
Quali sono le categorie di rischio dell'AI Act?
L'AI Act classifica i sistemi AI in 4 categorie: 1) Rischio inaccettabile (vietati): social scoring, manipolazione subliminale; 2) Alto rischio: HR, credito, sanità, sicurezza; 3) Rischio limitato: chatbot, deepfake (obbligo trasparenza); 4) Rischio minimo: filtri spam, videogiochi (nessun obbligo).
Quali sono le sanzioni dell'AI Act?
Le sanzioni dell'AI Act sono severe: fino a 35 milioni di euro o 7% del fatturato mondiale per violazioni gravi (sistemi vietati), fino a 15 milioni o 3% per violazioni degli obblighi, fino a 7,5 milioni o 1,5% per informazioni false. Per le PMI le sanzioni sono ridotte.
L'AI Act si applica anche a ChatGPT e AI generativa?
Sì, l'AI Act prevede regole specifiche per i General Purpose AI (GPAI) come GPT-4, Claude, Gemini. I fornitori di GPAI devono: documentare il processo di training, rispettare il copyright, garantire trasparenza. I modelli con rischio sistemico hanno obblighi aggiuntivi (valutazione rischi, incident reporting).