Cos'è l'AI Act, in parole semplici

L'AI Act (Regolamento UE 2024/1689) è la prima legge al mondo che regolamenta in modo organico l'intelligenza artificiale. L'ha approvata l'Unione Europea con un obiettivo chiaro: fare in modo che i sistemi di AI siano sicuri, trasparenti e rispettosi dei diritti delle persone.

Non è una legge contro l'AI. È una legge che vuole dare regole del gioco chiare, un po' come è successo con il GDPR per i dati personali. E come il GDPR, avrà un impatto concreto su milioni di persone e organizzazioni — anche quelle che non se ne sono ancora accorte.

Come funziona: il sistema a livelli di rischio

L'AI Act classifica i sistemi di intelligenza artificiale in base al livello di rischio che rappresentano. Più il rischio è alto, più gli obblighi sono stringenti.

🔴 Rischio inaccettabile — vietato

Alcuni usi dell'AI sono direttamente proibiti in tutta l'UE. Tra questi: i sistemi di social scoring (come quelli usati in alcuni paesi per valutare i cittadini), la manipolazione subliminale delle persone, il riconoscimento facciale in tempo reale negli spazi pubblici (con pochissime eccezioni legate alla sicurezza nazionale). Questi divieti sono già in vigore dal 2 febbraio 2025.

🟠 Alto rischio — obblighi stringenti

Sistemi AI usati in settori critici come sanità, giustizia, selezione del personale, infrastrutture, istruzione o pubblica amministrazione. Chi li sviluppa o li usa deve garantire documentazione tecnica, supervisione umana, trasparenza e registrazione obbligatoria in una banca dati europea. Gli obblighi più pesanti per questa categoria slittano al 2027, grazie al pacchetto di semplificazione Digital Omnibus approvato dalla Commissione.

🟡 Rischio limitato — trasparenza obbligatoria

Chatbot, assistenti virtuali, generatori di contenuti. Qui scattano oggi gli obblighi principali: devi dire alle persone che stanno interagendo con un'AI.

🟢 Rischio minimo — nessun obbligo specifico

Filtri anti-spam, AI nei videogiochi, sistemi di raccomandazione senza impatti significativi sulle persone. Nessun obbligo aggiuntivo, ma buone pratiche sempre consigliate.

Cosa scatta oggi, 2 agosto 2026

Questa è la data attorno a cui è stato costruito l'intero impianto normativo. Fino a oggi molte regole esistevano sulla carta, ma senza un sistema di controllo davvero operativo. Da oggi cambiano tre cose fondamentali.

1. Gli obblighi di trasparenza diventano esigibili

Se gestisci un sito, un'app, un servizio online che usa chatbot, assistenti vocali o agenti conversazionali, da oggi devi informare esplicitamente l'utente che sta parlando con un sistema automatico, non con una persona. L'obbligo vale prima o durante l'interazione, non a fine conversazione.

Questo riguarda il supporto clienti automatizzato, gli assistenti virtuali sui siti web, i sistemi di risposta automatica via email o chat, e qualsiasi interfaccia in cui l'utente potrebbe ragionevolmente credere di parlare con un essere umano.

2. Le autorità di vigilanza sono operative

In Italia, la vigilanza sull'AI Act è affidata all'Agenzia per la Cybersicurezza Nazionale (ACN), con AgID nel ruolo di autorità di notifica. Da oggi queste istituzioni possono avviare ispezioni, richiedere documentazione e verificare la conformità delle aziende.

Non si tratta di un cambiamento formale: significa che un reclamo di un utente, un contenzioso con un dipendente o un'ispezione possono tradursi in richieste concrete di dimostrare cosa fai, come lo fai e con quali garanzie.

3. Le sanzioni sono pienamente operative

Le multe previste dall'AI Act non sono simboliche. Il regolamento distingue tre livelli:

  • Fino a 35 milioni di euro o il 7% del fatturato mondiale per chi viola i divieti assoluti (pratiche a rischio inaccettabile)
  • Fino a 15 milioni o il 3% del fatturato per chi viola gli altri obblighi, inclusi quelli di trasparenza
  • Fino a 7,5 milioni o l'1% del fatturato per chi fornisce informazioni false alle autorità

Anche le piccole e medie imprese rientrano nel campo di applicazione. La dimensione dell'azienda può incidere sulla proporzionalità della sanzione, ma non sull'obbligo di rispettare le regole.

Una nota sul Digital Omnibus

Negli ultimi mesi si è parlato molto del Digital Omnibus, il pacchetto di semplificazione presentato dalla Commissione europea a novembre 2025 e approvato in via provvisoria a maggio 2026. Cosa cambia?

In sostanza, gli obblighi più onerosi per i sistemi ad alto rischio — quelli che richiedono valutazioni di conformità complete, registrazione nelle banche dati europee e supervisione umana strutturata — sono stati posticipati al 2027 e al 2028 per alcune categorie.

Ma attenzione: questo non riguarda gli obblighi di trasparenza che scattano oggi. Il rinvio è stato pensato per dare più tempo alle imprese di adeguarsi sugli aspetti più tecnici e costosi, non per abbassare la guardia sulla comunicazione verso gli utenti.

Cosa significa per chi sviluppa software e applicazioni AI

Se sei uno sviluppatore, un freelance o una piccola software house che lavora con strumenti di intelligenza artificiale, ci sono alcune domande pratiche a cui vale la pena rispondere subito:

Hai chatbot o agenti conversazionali esposti agli utenti? Verifica che ci sia un'informativa chiara. Non deve essere un lungo testo legale: basta un messaggio inequivocabile del tipo "Stai interagendo con un assistente automatico".

Usi AI in prodotti che gestisci per conto di clienti? Anche chi usa un sistema AI (il cosiddetto deployer) ha obblighi, non solo chi lo sviluppa. Se integri GPT, Claude o altri modelli in un prodotto che offri ad altri, sei tu a dover garantire la conformità verso gli utenti finali.

Hai fatto formazione sul tema? L'obbligo di AI literacy — garantire che il personale che lavora con sistemi AI abbia un livello adeguato di conoscenza — è in vigore dal febbraio 2025. Da oggi le autorità possono verificarlo.

Il quadro italiano

L'Italia si è dotata di una legge nazionale sull'AI (Legge 132/2025, in vigore dal 10 ottobre 2025) che recepisce e integra il regolamento europeo. Tra le novità più rilevanti sul piano interno:

  • L'introduzione dell'articolo 437-bis del Codice penale, che punisce penalmente chi omette misure di sicurezza sui sistemi AI ad alto rischio creando un pericolo concreto per le persone
  • I reati legati all'AI — tra cui il deepfake illecito — entrano nel catalogo della responsabilità degli enti prevista dal D.Lgs. 231/2001. Questo significa che un'azienda può essere sanzionata direttamente se un reato AI viene commesso nel suo interesse
  • Le imprese con modelli organizzativi 231 devono aggiornarli per includere il rischio AI

Conclusione: non è il momento di aspettare

L'AI Act non è un adempimento burocratico da rimandare. È un cambiamento strutturale nel modo in cui l'Europa vuole che l'intelligenza artificiale venga sviluppata e usata. Il 2 agosto 2026 non è un punto di arrivo, ma il momento in cui il sistema di controllo diventa reale.

Se hai già fatto qualcosa per adeguarti, oggi è una buona occasione per verificare che sia sufficiente. Se non hai ancora fatto nulla, questo è il momento giusto per iniziare — prima che qualcun altro lo decida al posto tuo.

Hai domande sull'AI Act o vuoi approfondire un aspetto specifico? Scrivimi nei commenti: ne parliamo insieme.