EU AI Act: cosa devono davvero sapere gli imprenditori nel 2026

Le quattro classi di rischio dell'EU AI Act

Il cuore dell'EU AI Act è una classificazione basata sul rischio. Più grande è il potenziale danno di un sistema di IA, più forte è la regolamentazione. Suona logico. E nella sostanza lo è.

La domanda decisiva per te come imprenditore: in quale classe rientrano gli strumenti di IA che usi ora, o che vuoi usare? Questo determina cosa devi fare.

Dove finiscono davvero la maggior parte degli imprenditori

La risposta onesta: la maggior parte dei titolari di PMI e dei lavoratori autonomi che conosco usa l'IA come aiuto alla scrittura, per testi di marketing, per ricerche, per riassunti. Questo è Classe 3 o Classe 4. Poco o nulla regolamentato. Chi però usa l'IA per la selezione del personale, per decisioni sui crediti o in contesti medici si trova in un altro universo.

Sistemi di IA vietati - cosa vale da febbraio 2025?

Dal 2 febbraio 2025 l'articolo 5 dell'EU AI Act è in vigore. Sono i divieti assoluti, nessuna zona grigia, nessun periodo transitorio, nessuna proporzionalità. Chi impiega questi sistemi rischia le sanzioni più dure.

Cosa è concretamente vietato

Social scoring: sistemi di IA che valutano il comportamento delle persone nel tempo e usano quella valutazione per imporre svantaggi. L'esempio classico è il sistema di credito sociale cinese. Nell'UE è vietato, sia statale sia privato.

Riconoscimento delle emozioni sul posto di lavoro e nelle istituzioni educative: telecamere o altri sistemi che rilevano e analizzano le emozioni di dipendenti o studenti. Chi ha l'idea di monitorare l'umore della propria squadra tramite IA ha un problema serio.

Sorveglianza biometrica di massa in tempo reale: riconoscimento facciale e tecnologie simili negli spazi pubblici in tempo reale da parte delle autorità, con eccezioni molto ristrette per le forze dell'ordine sotto controllo giudiziario.

IA manipolativa: sistemi che sfruttano debolezze psicologiche o vulnerabilità per influenzare il comportamento delle persone contro la loro stessa volontà, senza che esse sappiano che un'IA le sta influenzando.

Verifica pratica: come imprenditore normale non entrerai in contatto con nessuna di queste categorie vietate. La maggior parte riguarda attori statali o fornitori di sistemi altamente specializzati. Ma chi ha l'idea di introdurre l'IA per l'«analisi dell'umore» dei propri dipendenti dovrebbe lasciar perdere subito.

IA ad alto rischio - chi è coinvolto e cosa deve fare?

Questa è la parte che diventa rilevante per la maggior parte degli imprenditori entro agosto 2026. I sistemi di IA ad alto rischio sono definiti nell'Allegato III dell'EU AI Act. L'elenco è concreto ed esaustivo, nessuno spazio per l'interpretazione.

Quali ambiti contano come alto rischio

• HR e risorse umane: sistemi di IA per la selezione delle candidature, lo screening dei curriculum, la valutazione delle prestazioni dei dipendenti, le decisioni di licenziamento.
• Concessione di crediti e servizi finanziari: verifica del merito creditizio tramite IA, decisioni automatiche sui crediti.
• Medicina: sistemi di IA diagnostici, sistemi per il triage, IA nei dispositivi medici.
• Istruzione: sistemi che valutano i risultati degli esami, controllano l'accesso alle istituzioni educative o valutano chi apprende.
• Forze dell'ordine: IA per la valutazione del rischio di recidiva, per l'analisi dei sospettati.
• Controllo delle frontiere e migrazione: sistemi per la valutazione del rischio nei passaggi di frontiera.
• Infrastrutture critiche: IA in energia, acqua, trasporti, sistemi finanziari.
• Amministrazione della giustizia: sistemi di IA che assistono giudici o pubblici ministeri nelle decisioni.

Cosa devono fare i fornitori di IA ad alto rischio

L'elenco degli obblighi per i fornitori (cioè chi sviluppa e commercializza tali sistemi) è esteso. Gli articoli da 9 a 17 e l'articolo 43 dell'EU AI Act stabiliscono:

• Sistema di gestione del rischio (art. 9), continuo, non una tantum
• Governance dei dati e qualità dei dati di addestramento (art. 10)
• Documentazione tecnica secondo l'Allegato IV (art. 11)
• Obblighi di registrazione / logging (art. 12)
• Supervisione umana, il sistema deve essere sovrascrivibile (art. 14)
• Sistema di gestione della qualità (art. 17)
• Valutazione di conformità (art. 43)
• Registrazione nella banca dati dell'UE (art. 71)

I deployer, cioè chi impiega sistemi di IA ad alto rischio già pronti senza svilupparli, hanno secondo l'articolo 26 obblighi propri, ma più ristretti. In determinati casi questo include una valutazione d'impatto sui diritti fondamentali (art. 27).

Rischio limitato: chatbot e l'obbligo di trasparenza

La Classe 3 è la categoria che riguarda direttamente la maggior parte degli imprenditori. Qui finisce tutto ciò che ha a che fare con l'interazione utente-IA: chatbot sul sito web, testi e immagini generati dall'IA, voce sintetica.

Cosa prescrive concretamente l'articolo 50

Dal 2 agosto 2026 vale l'articolo 50. L'obbligo centrale è semplice: chi gestisce un chatbot deve garantire che gli utenti sappiano di interagire con un'IA, e non con una persona. Suona banale, ma non lo è se prendi sul serio il testo.

A questo si aggiunge l'obbligo di etichettatura leggibile dalle macchine dei contenuti generati dall'IA. Immagini, video e audio prodotti dall'IA devono recare una filigrana leggibile dalle macchine, a meno che non siano evidente satira o opere d'arte. Questo riguarda in linea di principio anche le immagini di marketing generate dall'IA.

In pratica significa: se sul tuo sito hai un chatbot di IA, l'utente deve sapere che è un'IA. Se usi immagini generate dall'IA nella tua pubblicità, serve un'etichetta.

Chi è fornitore, chi è deployer?

Questa distinzione è la cosa più importante per capire cosa devi fare concretamente. L'EU AI Act distingue chiaramente tra due ruoli principali.

I fornitori (provider) sono coloro che sviluppano un sistema di IA e lo immettono sul mercato, con il proprio nome o il proprio marchio. OpenAI è fornitore. Anthropic è fornitore. Una startup che sviluppa e vende un proprio software di IA per la valutazione del credito è fornitore. I fornitori portano il carico di obblighi maggiore.

I deployer usano sistemi di IA già pronti nell'ambito della propria attività. Usi ChatGPT per il tuo marketing? Deployer. Hai un chatbot di terzi sul tuo sito? Deployer. Usi uno strumento di IA per la selezione del personale? Deployer, e in questo caso con obblighi seri.

Perché il ruolo è decisivo

Come puro deployer di strumenti a rischio minimo o limitato, entro agosto 2026 ti serve soprattutto una cosa: un avviso di trasparenza quando gli utenti interagiscono con il tuo chatbot e, se del caso, l'etichettatura dei contenuti generati dall'IA. È gestibile.

Come deployer di un sistema ad alto rischio sarai chiamato a obblighi più estesi, ma comunque inferiori a quelli del fornitore. L'articolo 26 elenca gli obblighi del deployer. In breve: usa il sistema come previsto, non modificarlo, conserva i registri, collabora con le autorità.

Come fornitore sei dentro l'intero spettro degli obblighi. E quello è il lavoro di avvocati specializzati in diritto IT, non di questo articolo.

Le scadenze principali dell'EU AI Act 2025-2027

Quattro date. Bastano per il 95 per cento di tutti gli imprenditori.

L'EU AI Act vale anche per le piccole imprese e le PMI?

Sì, ma con differenze chiare rispetto ai grandi gruppi. L'EU AI Act considera esplicitamente la proporzionalità. Tre punti decisivi per le PMI:

Sanzioni proporzionali

Le sanzioni possono avere un tetto percentuale. Per le piccole imprese valgono le soglie più basse, quando queste sono inferiori agli importi massimi assoluti. Una startup con 500.000 euro di fatturato annuo paga, con il tetto del 3%, al massimo 15.000 euro, non 15 milioni. È umano, non mette a rischio l'esistenza.

Requisiti semplificati

Le PMI devono soddisfare gli stessi obblighi fondamentali delle grandi aziende, ma le autorità di vigilanza applicheranno la proporzionalità quando si tratta della profondità della documentazione. Non è scritto così nella legge, ma è chiaro dai considerando e dall'intenzione politica.

Cosa devi fare concretamente come PMI

• Creare un inventario dell'IA: elenca tutti i sistemi di IA che usi. Quali strumenti, dove impiegati, per quale scopo.
• Determinare la classe di rischio: uno dei tuoi strumenti rientra nella categoria ad alto rischio? Se usi ChatGPT solo per testi di marketing: Classe 4. Se usi uno strumento di IA per la selezione del personale: alto rischio.
• Garantire la trasparenza: chatbot sul sito? Indica chiaramente che è un'IA.
• Evitare l'alto rischio o essere conforme: chi impiega sistemi ad alto rischio deve soddisfare gli obblighi del deployer secondo l'art. 26.

EU AI Act vs. GDPR: qual è la differenza?

Il confronto è utile, perché quasi ogni imprenditore conosce il GDPR, o dovrebbe. Ecco le differenze essenziali:

Il GDPR regola il trattamento dei dati personali. Tutto ruota attorno a come raccogli, conservi, tratti e trasmetti dati di persone. Base giuridica, limitazione delle finalità, diritto di accesso: è terreno del GDPR.

L'EU AI Act regola i sistemi di IA come tecnologia, indipendentemente dal fatto che trattino dati personali. Un sistema di IA che usa solo dati pubblici può comunque essere ad alto rischio. Un sistema di IA che non conserva dati può comunque far scattare obblighi di trasparenza.

Entrambi possono valere contemporaneamente. Un sistema di IA per la selezione del personale che tratta dati dei candidati è rilevante sia ai fini del GDPR (dati personali) sia dell'EU AI Act (IA ad alto rischio). Ti servono entrambi.

In breve: GDPR = come tratti i dati. EU AI Act = quali sistemi di IA impieghi e come li controlli. Dimensioni diverse, che possono sovrapporsi.

Germania: KI-MIG e l'Agenzia federale delle reti

L'EU AI Act è un regolamento dell'UE e vale direttamente. Ma ogni Stato membro deve designare un'autorità di vigilanza del mercato. La Germania lo ha regolato a febbraio 2026: l'11 febbraio 2026 il Consiglio dei ministri federale ha adottato la legge di attuazione sull'IA (KI-MIG) e l'ha presentata al Bundestag.

L'Agenzia federale delle reti come organismo di coordinamento

La Bundesnetzagentur (Agenzia federale delle reti) viene istituita come organismo di coordinamento per le norme sull'IA (KoKIVO). Per l'IA ad alto rischio in settori specifici (medicina, banche, assicurazioni) restano competenti le rispettive autorità di settore. La Bundesnetzagentur coordina in modo trasversale.

Cosa significa per te: se hai domande sull'EU AI Act e hai sede in Germania, la Bundesnetzagentur è il tuo primo punto di riferimento. La legge nazionale KI-MIG crea il quadro per come tutto questo viene attuato concretamente.

Digital Omnibus: arriva la proroga delle scadenze?

Parliamoci chiaro: sì, il Digital Omnibus è reale. Il processo legislativo dell'UE è in corso e ci sono discussioni su uno spostamento delle scadenze principali a dicembre 2027 o agosto 2028. Ma, e questo è decisivo, non c'è ancora un atto legislativo approvato.

Chi adotta la strategia di aspettare uno spostamento e poi orientarsi su agosto 2028 come obiettivo corre un rischio serio. Se lo spostamento non arriva o arriva solo in parte, resti con niente in mano. Il processo di trilogo può trascinarsi, può fallire, può portare a risultati diversi dalle attese.

Il mio consiglio: pianifica con il 2 agosto 2026. Se le scadenze vengono davvero spostate, tanto meglio, hai un margine. Se no, sei conforme.

Cosa sono i modelli GPAI e valgono per la mia azienda?

GPAI sta per General Purpose AI, cioè sistemi di IA non addestrati per un caso d'uso specifico, ma adatti a un'ampia gamma di compiti. ChatGPT, Claude, Gemini, LLaMA: sono tutti modelli GPAI.

Cosa vale dal 2 agosto 2025

Per i fornitori di modelli GPAI sono attivi dal 2 agosto 2025 obblighi estesi. Il Code of Practice per i GPAI è stato pubblicato in forma definitiva il 10 luglio 2025. I modelli con un costo di addestramento superiore a 10^25 FLOP (operazioni in virgola mobile) sono considerati modelli con «rischio sistemico» e sono soggetti a una regolamentazione ancora più severa.

Per te come deployer di questi modelli, cioè come utente di Claude, ChatGPT ecc., vale questo: devi poter contare sul fatto che i fornitori rispettino i loro obblighi GPAI. Verifica se gli strumenti che usi sono conformi. I grandi fornitori di norma lo fanno, perché le sanzioni sono dolorose anche per loro.

Sanzioni e penali: cosa rischi in caso di violazione?

L'EU AI Act ha i denti. Tre livelli:

Sistemi vietati (art. 5)

Fino a 35 milioni di euro oppure, per le aziende, fino al 7 per cento del fatturato annuo mondiale. Vale il maggiore dei due valori. È il livello più duro.

Alto rischio e GPAI: violazioni degli obblighi

Fino a 15 milioni di euro oppure il 3 per cento del fatturato annuo mondiale. Per le violazioni degli obblighi sull'alto rischio e dei requisiti GPAI.

False dichiarazioni alle autorità

Fino a 7,5 milioni di euro oppure l'1 per cento del fatturato annuo. Chi mente alle autorità di vigilanza o le ostacola viene sanzionato a parte.

PMI: vale la più bassa delle due soglie. Un'azienda con 2 milioni di euro di fatturato paga, al 7 per cento, al massimo 140.000 euro, non 35 milioni. Doloroso, ma non mette a rischio l'esistenza.

La mia valutazione da imprenditore

Io uso l'IA ogni giorno, come forse sai dal mio articolo sul mio assistente di IA. Claude scrive articoli con me, gestisce il mio calendario, risponde alle email. Sono tutte applicazioni di Classe 3 o Classe 4. Quasi non regolamentate.

La mia sede è a Cipro, Stato membro dell'UE. Ho clienti nell'UE. Quindi ci sono dentro, che mi piaccia o no. Ed è giusto così.

Cosa mi interessa davvero come imprenditore

L'IA sta cambiando come i motori di ricerca e i sistemi di IA trovano e pesano le informazioni. L'EU AI Act influenza quali strumenti di IA potrò usare a lungo termine e quali fornitori resteranno. I fornitori che ignorano l'EU AI Act verranno spinti fuori dal mercato europeo, o sanzionati in modo molto caro. Questo significa: gli strumenti conformi domineranno. Bene per utenti come me.

Quello che mi dà fastidio: l'onere burocratico per i veri sistemi ad alto rischio è astronomico. Un'azienda di medie dimensioni che vuole impiegare l'IA per la selezione del personale si trova davanti a requisiti di documentazione quasi scoraggianti. È una scelta politica voluta, capisco l'intenzione, ma trovo l'esecuzione sproporzionata in alcuni punti.

Quello che consiglio agli imprenditori: non farne un dramma. Verifica in quale categoria rientra il tuo uso dell'IA. Se non usi un sistema ad alto rischio, lo sforzo è gestibile. Se sì, fatti dare supporto legale.

L'EU AI Act non è un motivo di panico, ma neanche un motivo per aspettare. Chi fa ora il proprio inventario dell'IA e conosce le sue classi di rischio ha tempo a sufficienza fino ad agosto 2026. Chi rimanda finirà con l'acqua alla gola.