L’Unione europea ha modificato il calendario di attuazione dell’AI Act, concedendo più tempo per l’adeguamento di alcuni sistemi di intelligenza artificiale classificati come ad alto rischio. Tuttavia, il rinvio non rappresenta una sospensione delle regole: numerosi obblighi rimangono pienamente in vigore e imprese, startup e organizzazioni dovranno continuare a prepararsi alla conformità. Secondo Giulio Coraggio, Partner di DLA Piper, «è cambiato il calendario, non le responsabilità».
Il rinvio dell’AI Act: cosa cambia dal 2 agosto
Con l’entrata in vigore del Digital Omnibus sull’intelligenza artificiale il 27 luglio, Bruxelles ha posticipato alcune delle scadenze più impegnative previste dall’AI Act. La decisione è stata presa per concedere più tempo allo sviluppo degli standard tecnici e degli strumenti applicativi necessari all’attuazione della normativa.
Per i sistemi di IA ad alto rischio elencati nell’Allegato III, la nuova data di conformità passa dal 2 agosto 2026 al 2 dicembre 2027. Tra questi rientrano software utilizzati per la selezione del personale, la valutazione dei dipendenti, lo scoring creditizio e l’accesso a servizi essenziali.
Per i sistemi integrati in prodotti già soggetti ad altre normative europee, come dispositivi medici, macchinari industriali e veicoli, la scadenza viene invece rinviata al 2 agosto 2028.
Secondo Coraggio, il rinvio non deve essere interpretato come una moratoria. Le responsabilità previste dall’AI Act restano infatti immutate; cambia esclusivamente il momento in cui entreranno in vigore alcuni obblighi specifici e le relative sanzioni, che possono arrivare fino a 35 milioni di euro o al 7% del fatturato globale annuo.
Gli obblighi che restano già operativi
Divieti e regole sui modelli di IA
Non tutte le disposizioni dell’AI Act sono state rinviate. Restano già applicabili le norme sulle pratiche vietate e quelle dedicate ai modelli di intelligenza artificiale per finalità generali (GPAI), categoria nella quale rientrano i grandi modelli linguistici utilizzati nei servizi di IA generativa.
È inoltre già in vigore l’obbligo di garantire un adeguato livello di alfabetizzazione sull’intelligenza artificiale per il personale aziendale. Le imprese devono assicurarsi che i dipendenti comprendano il funzionamento dei sistemi, i loro limiti, i rischi connessi all’utilizzo dei dati e i casi in cui sia necessario l’intervento umano.
Dal 2 agosto chatbot e assistenti virtuali dovranno identificarsi
Tra gli obblighi confermati figura anche quello previsto dall’articolo 50 dell’AI Act relativo alla trasparenza.
A partire dal 2 agosto, chatbot, assistenti vocali, avatar digitali e altri sistemi automatici che interagiscono con gli utenti dovranno comunicare chiaramente la propria natura artificiale, salvo nei casi in cui ciò risulti già evidente dal contesto.
Per molte aziende questo comporterà l’aggiornamento delle interfacce utente, dei messaggi iniziali, degli script vocali e dei servizi di assistenza clienti. L’informazione dovrà essere fornita in modo chiaro e immediato, senza essere nascosta nelle condizioni generali di utilizzo.
Deepfake e contenuti sintetici sotto i riflettori
Anche i contenuti generati o manipolati dall’intelligenza artificiale saranno soggetti a specifici obblighi di trasparenza.
Video, immagini e registrazioni audio realizzati tramite IA e potenzialmente confondibili con contenuti autentici dovranno essere chiaramente identificati come tali, con alcune eccezioni previste per opere artistiche, satira e contenuti creativi.
Per i sistemi già presenti sul mercato, il requisito relativo al watermarking dei contenuti sintetici viene invece rinviato al 2 dicembre 2026.
L’AI Act introduce inoltre obblighi per alcuni testi generati dall’intelligenza artificiale destinati a informare il pubblico su temi di interesse generale. In questi casi sarà necessario indicarne l’origine, salvo che il contenuto sia stato sottoposto a un controllo editoriale o umano e una persona ne assuma la responsabilità.
Più tempo per aziende e startup, ma serve prepararsi
Per imprese e startup il rinvio rappresenta soprattutto un’opportunità per organizzarsi.
Le organizzazioni che sviluppano o utilizzano sistemi di IA ad alto rischio potranno dedicare più tempo alla predisposizione della documentazione tecnica, alla gestione dei rischi, ai controlli interni e ai meccanismi di supervisione umana.
L’adeguamento richiede infatti attività complesse, tra cui:
- mappare tutti i sistemi di IA utilizzati o in sviluppo;
- individuare quelli classificati come ad alto rischio;
- comprendere il ruolo dell’azienda nella filiera (fornitore, utilizzatore, distributore o importatore);
- verificare i dati utilizzati per l’addestramento;
- definire procedure di controllo e governance.
Come evidenzia Giulio Coraggio, il tempo aggiuntivo dovrebbe essere utilizzato per costruire un modello di governance dell’intelligenza artificiale, anziché rimandare gli adempimenti fino alle nuove scadenze.
La classificazione del rischio non cambia
Uno degli aspetti più importanti riguarda la classificazione dei sistemi.
La proroga non modifica il fatto che applicazioni utilizzate per il recruiting, la valutazione dei lavoratori o lo scoring creditizio continuino a essere considerate sistemi di IA ad alto rischio.
Di conseguenza, le aziende che già utilizzano questi strumenti devono iniziare fin da ora ad analizzare gli impatti normativi, reputazionali e organizzativi derivanti dal loro impiego.
Per le startup, inoltre, la conformità rappresenta anche un elemento competitivo. Investitori, banche, assicurazioni, pubbliche amministrazioni e grandi imprese tenderanno sempre più a valutare non solo le prestazioni dei modelli di IA, ma anche la qualità della loro governance, la provenienza dei dati e i controlli applicati alle decisioni automatizzate.
Contratti e responsabilità con i fornitori
Un altro tema centrale riguarda la gestione dei rapporti con i fornitori di tecnologie IA.
L’utilizzo di software sviluppati da terze parti non trasferisce automaticamente tutte le responsabilità al produttore. Sarà necessario definire con precisione chi conserva i registri delle attività, chi produce la documentazione tecnica, chi gestisce eventuali incidenti e chi verifica la qualità dei dati utilizzati dal sistema.
Poiché i modelli di intelligenza artificiale vengono aggiornati frequentemente, le aziende dovranno prevedere procedure di controllo periodico per monitorare modifiche sostanziali nelle prestazioni, nei dati di addestramento e nelle modalità operative.
La governance diventa un elemento strategico
Anche le startup con strutture ridotte dovranno dotarsi di un processo di governance, pur senza creare necessariamente un ufficio dedicato.
Le decisioni relative all’intelligenza artificiale dovranno essere documentate e coordinate, evitando che responsabilità e controlli rimangano distribuiti in modo informale tra fondatori, sviluppatori, consulenti e fornitori tecnologici.
Presentarsi a investitori e grandi clienti con una mappatura completa dei sistemi utilizzati, una classificazione dei rischi e una documentazione conforme potrà rappresentare un importante vantaggio competitivo.
Conclusione
Il rinvio di alcune scadenze dell’AI Act offre alle imprese europee un margine di tempo aggiuntivo, ma non modifica l’impianto della normativa. Gli obblighi già in vigore continuano ad applicarsi e la classificazione dei sistemi ad alto rischio resta invariata. Per aziende e startup, il periodo che precede le nuove scadenze rappresenta un’occasione per rafforzare governance, processi e conformità, trasformando gli adempimenti normativi in un fattore di affidabilità nei confronti di clienti, investitori e autorità di vigilanza.
Paolo Marchetti è autore per gazzettamolisana.com e segue notizie di attualità, politica, economia, tecnologia, sport e lifestyle. Con uno stile chiaro e professionale, si impegna a fornire informazioni affidabili e aggiornate, raccontando fatti e sviluppi rilevanti per aiutare i lettori a comprendere meglio l’attualità.
