AI Act. Le nuove regole europee sull’intelligenza artificiale e le sazioni

A decorrere dal 2 agosto 2026 entreranno in vigore le principali disposizioni del Regolamento (UE) 2024/1689, cosiddetto “AI Act”, finalizzato a promuovere lo sviluppo e l’utilizzo dell’intelligenza artificiale nell’Unione europea garantendo al tempo stesso che essa sia sicura, affidabile e rispettosa dei diritti fondamentali delle persone.

Di seguito, si riassumono le principali disposizioni previste.

ambito di applicazione e definizioni (articoli 2 e 3)

Il regolamento si rivolge principalmente ai fornitori di sistemi di intelligenza artificiale, definiti come le persone fisiche o giuridiche, le autorità pubbliche, agenzie o altri organismi che sviluppano un sistema di IA o un modello di IA per finalità generali, oppure che fanno sviluppare un sistema o un modello di IA e lo immettono sul mercato o lo mettono in servizio con il proprio nome o marchio, a titolo oneroso o gratuito.

Le imprese ricettive che utilizzano sistemi di intelligenza artificiale nell’ambito della loro attività economica rientrano invece nella definizione di “deployer”. Viene definito deployer: una persona fisica o giuridica, un’autorità pubblica, un’agenzia o un altro organismo che utilizza un sistema di IA sotto la propria autorità, salvo il caso in cui il sistema di IA sia utilizzato nell’ambito di un’attività personale non professionale.

alfabetizzazione in materia di IA (articolo 4)

Tutti i destinatari del regolamento, compresi i deployer dei sistemi di IA, sono tenuti ad adottare misure per garantire un livello sufficiente di alfabetizzazione in materia di IA del loro personale nonché di qualsiasi altra persona che si occupa del funzionamento e dell’utilizzo dei sistemi di IA per loro conto, prendendo in considerazione le loro conoscenze tecniche, la loro esperienza, istruzione e formazione, nonché il contesto in cui i sistemi di IA devono essere utilizzati, e tenendo conto delle persone o dei gruppi di persone su cui i sistemi di IA devono essere utilizzati.

pratiche di IA vietate (articolo 5)

Il regolamento vieta alcune pratiche di intelligenza artificiale considerate incompatibili con i diritti fondamentali e con i valori dell’Unione europea. Tra le principali rientrano:

– l’utilizzo di sistemi che manipolano il comportamento delle persone mediante tecniche subliminali o ingannevoli tali da comprometterne la capacità di assumere decisioni libere e informate;

– lo sfruttamento delle vulnerabilità legate all’età, alla disabilità o alla condizione sociale o economica degli individui;

– i sistemi di social scoring, che classificano le persone sulla base del comportamento o di caratteristiche personali con conseguenze discriminatorie o sproporzionate;

– la creazione di banche dati di riconoscimento facciale mediante raccolta indiscriminata di immagini da Internet o da sistemi di videosorveglianza;

– i sistemi che rilevano o deducono le emozioni dei lavoratori sul luogo di lavoro, salvo esigenze mediche o di sicurezza;

– l’identificazione biometrica remota in tempo reale in luoghi pubblici per finalità di contrasto ai reati, salvo le limitate eccezioni previste dal regolamento.

sistemi di IA ad alto rischio (articoli 6 e 26)

Per i sistemi ad alto rischio, il regolamento prevede che i deployer adottino idonee misure tecniche e organizzative, la sorveglianza umana, il monitoraggio del funzionamento del sistema, la conservazione dei log e ulteriori obblighi di informazione.

Tra i sistemi considerati ad alto rischio elencati nell’Allegato III, rientrano ad esempio, relativamente alla occupazione, gestione dei lavoratori e accesso al lavoro autonomo:

– i sistemi di IA destinati a essere utilizzati per l’assunzione o la selezione di persone fisiche, in particolare per pubblicare annunci di lavoro mirati, analizzare o filtrare le candidature e valutare i candidati;

– i sistemi di IA destinati a essere utilizzati per adottare decisioni riguardanti le condizioni dei rapporti di lavoro, la promozione o cessazione dei rapporti contrattuali di lavoro, per assegnare compiti sulla base del comportamento individuale o dei tratti e delle caratteristiche personali o per monitorare e valutare le prestazioni e il comportamento delle persone nell’ambito di tali rapporti di lavoro.

obblighi di trasparenza (articolo 50)

I fornitori garantiscono che i sistemi di IA destinati a interagire direttamente con le persone fisiche siano progettati e sviluppati in modo tale che le persone fisiche interessate siano informate del fatto di stare interagendo con un sistema di IA, a meno che ciò non risulti evidente dal punto di vista di una persona fisica ragionevolmente informata, attenta e avveduta, tenendo conto delle circostanze e del contesto di utilizzo.

I fornitori di sistemi di IA che generano contenuti audio, immagine, video o testuali sintetici devono adottare soluzioni tecniche che consentano di identificare tali contenuti come generati o manipolati artificialmente, salvo alcune eccezioni (ad esempio strumenti di semplice editing o utilizzi previsti dalla legge per finalità di contrasto ai reati).

I deployer di un sistema di riconoscimento delle emozioni o di un sistema di categorizzazione biometrica informano le persone fisiche che vi sono esposte in merito al funzionamento del sistema e trattano i dati personali nel rispetto della normativa sulla protezione dei dati (GDPR e altre disposizioni applicabili).

I deployer di un sistema di IA che genera o manipola immagini o contenuti audio o video che costituiscono un “deep fake” rendono noto che il contenuto è stato generato o manipolato artificialmente.

I deployer di un sistema di IA che genera o manipola testo pubblicato allo scopo di informare il pubblico su questioni di interesse pubblico rendono noto che il testo è stato generato o manipolato artificialmente.

sanzioni (articolo 99)

Il regolamento prevede tre principali livelli di sanzioni amministrative:

– fino a 35 milioni di euro o al 7% del fatturato mondiale annuo per la violazione dei divieti dell’articolo 5 (pratiche di IA vietate);

– fino a 15 milioni di euro o al 3% del fatturato mondiale annuo per la violazione degli obblighi previsti dal regolamento (ad esempio quelli relativi ai sistemi di IA ad alto rischio);

– fino a 7,5 milioni di euro o all’1% del fatturato mondiale annuo per la fornitura di informazioni inesatte, incomplete o fuorvianti alle autorità competenti