L’EU AI Act, spiegato.

Cosa è (e cosa non è) l’AI Act

L’AI Act è un regolamento in stile sicurezza dei prodotti per i sistemi di IA immessi sul mercato UE o il cui output è utilizzato nell’UE. Non regola l’«IA» come tecnologia — regola usi specifici in base al rischio. Più alto è il rischio per la salute, la sicurezza o i diritti fondamentali, più pesanti sono gli obblighi. La maggior parte dell’IA di uso quotidiano (filtri antispam, widget di raccomandazione, correttori ortografici, funzioni di IA negli strumenti di produttività) è a rischio minimo e non riceve alcun nuovo obbligo.

I quattro livelli di rischio

Tutto nell’Atto discende da questa classificazione:

• Rischio inaccettabile — vietato del tutto dal 2 febbraio 2025: social scoring, tecniche di sfruttamento o manipolazione, scraping indiscriminato di immagini facciali, riconoscimento delle emozioni nei luoghi di lavoro e nelle scuole (ristrette eccezioni di sicurezza), categorizzazione biometrica per dedurre attributi sensibili e identificazione biometrica remota in tempo reale negli spazi pubblici a fini di contrasto (eccezioni limitate). Dal 2 dicembre 2026 la modifica del 2026 vieta esplicitamente anche i sistemi di IA per la generazione di immagini intime non consensuali o CSAM.
• Alto rischio — consentito ma rigorosamente regolamentato: IA usata come componente di sicurezza di prodotti regolamentati (Allegato I — macchinari, dispositivi medici, ascensori…) o in casi d’uso sensibili (Allegato III — selezione del personale e gestione dei lavoratori, valutazione nell’istruzione, credit scoring, servizi essenziali, attività di contrasto, migrazione, giustizia). Gli obblighi comprendono gestione del rischio, governance dei dati, documentazione tecnica, logging, sorveglianza umana, test di accuratezza/robustezza e registrazione in una banca dati UE.
• Rischio limitato — obblighi di trasparenza (Articolo 50): informare le persone quando interagiscono con un sistema di IA (chatbot), etichettare i contenuti immagine/audio/video generati o manipolati dall’IA (deepfake), marcare i contenuti sintetici in modo leggibile dalle macchine e dichiarare i testi generati dall’IA pubblicati per informare il pubblico su questioni di interesse pubblico.
• Rischio minimo — tutto il resto: nessun nuovo obbligo, codici di condotta volontari incoraggiati.

Il calendario nel 2026 — aggiornato per il Digital Omnibus

L’Atto è entrato in vigore il 1° agosto 2024 e avrebbe dovuto applicarsi quasi integralmente dal 2 agosto 2026. A novembre 2025 la Commissione ha proposto il «Digital Omnibus sull’IA» per semplificare e scaglionare quelle scadenze; il Parlamento lo ha approvato il 16 giugno 2026 e il Consiglio ha dato l’approvazione definitiva il 29 giugno 2026. Le date chiave ora:

• 2 febbraio 2025 — si applicano i divieti sulle pratiche a rischio inaccettabile e gli obblighi di alfabetizzazione sull’IA.
• 2 agosto 2025 — obblighi per i fornitori di modelli di IA per finalità generali (GPAI): documentazione tecnica, politica sul diritto d’autore, sintesi dei dati di addestramento (obblighi aggiuntivi per i modelli a rischio sistemico), oltre all’Ufficio europeo per l’IA e alle strutture di governance.
• 2 agosto 2026 — l’Atto diventa generalmente applicabile: obblighi di trasparenza (Articolo 50), sanzioni e la maggior parte delle disposizioni restanti. La marcatura leggibile dalle macchine dei contenuti sintetici gode di un periodo di tolleranza fino al 2 dicembre 2026 per i sistemi già sul mercato prima del 2 agosto 2026.
• 2 dicembre 2026 — si applicano i nuovi divieti sull’IA che genera immagini intime non consensuali e CSAM.
• 2 dicembre 2027 — obblighi per l’alto rischio nei casi d’uso dell’Allegato III (selezione del personale, credit scoring, istruzione…) — rinviati di 16 mesi rispetto alla data originaria di agosto 2026.
• 2 agosto 2028 — obblighi per l’alto rischio per l’IA integrata nei prodotti dell’Allegato I (dispositivi medici, macchinari…) — rinviati di un anno rispetto ad agosto 2027. Le sandbox normative nazionali sono previste entro il 2 agosto 2027.

Chi deve conformarsi

Gli obblighi si legano ai ruoli nella catena del valore: fornitori (che sviluppano o immettono un sistema di IA sul mercato UE con il proprio nome), deployer (che usano un sistema di IA a titolo professionale), oltre a importatori e distributori. La portata è extraterritoriale — un SaaS statunitense o britannico il cui output di IA è utilizzato nell’UE rientra nel campo di applicazione. Le PMI godono di alcune agevolazioni: documentazione semplificata, accesso prioritario alle sandbox e sanzioni limitate al minore dei due importi anziché al maggiore.

Cosa significa l’AI Act per il Suo sito web

Per la maggior parte delle aziende i primi veri punti di contatto sono le regole di trasparenza applicabili da agosto 2026 — riguardano ciò che i visitatori vedono sul Suo sito:

• I chatbot e gli assistenti IA sul Suo sito devono chiarire che il visitatore sta parlando con una macchina (a meno che non sia evidente dal contesto).
• Le immagini, gli audio e i video generati o manipolati dall’IA (deepfake) che pubblica devono essere etichettati in modo visibile come generati o manipolati artificialmente.
• I media sintetici dovrebbero recare una marcatura leggibile dalle macchine (es. metadati/watermarking) — l’obbligo di marcatura per i sistemi precedenti ad agosto 2026 si applica dal 2 dicembre 2026.
• I testi scritti dall’IA pubblicati per informare il pubblico su questioni di interesse pubblico devono essere dichiarati come generati dall’IA, a meno che non siano passati per una revisione editoriale umana con assunzione di responsabilità.
• Se usa l’IA nelle assunzioni, nel credito o in altri casi d’uso dell’Allegato III, si prepari al regime per l’alto rischio applicabile dal 2 dicembre 2027.
• Alfabetizzazione sull’IA: le organizzazioni che usano l’IA a titolo professionale dovrebbero adottare misure affinché il personale comprenda i sistemi che utilizza.

Sanzioni

La struttura delle sanzioni è volutamente simile al GDPR: fino a €35 milioni o al 7% del fatturato annuo mondiale (se superiore) per le pratiche vietate; fino a €15 milioni o al 3% per la maggior parte delle altre violazioni, inclusi gli obblighi per l’alto rischio e i GPAI; fino a €7,5 milioni o all’1% per la fornitura di informazioni inesatte o fuorvianti alle autorità. Per le PMI ogni massimale è il minore dei due importi. L’applicazione è ripartita tra le autorità nazionali di vigilanza del mercato e, per i modelli GPAI, l’Ufficio europeo per l’IA.

Come si inserisce Beacon

Beacon analizza già ciò che i motori di ricerca e i crawler AI vedono davvero sul Suo sito web — le policy del robots.txt, i contenuti renderizzati, i dati strutturati e le informative. Su questa base stiamo costruendo una scansione di preparazione all’AI Act: una verifica automatica dei segnali di trasparenza rivolti ai visitatori del Suo sito (informativa del chatbot, etichettatura dei contenuti IA, marcatura leggibile dalle macchine e metadati correlati) con una lista di correzioni prioritizzata. Non sarà consulenza legale — ma Le mostrerà, concretamente, cosa espone oggi il Suo sito e cosa correggere per primo.