Legge UE sull’intelligenza artificiale: tutto quello che le aziende devono sapere adesso

L’UE AI Act non è più una questione futura. I primi obblighi sono già in vigore, altri seguiranno con cadenza scaglionata. Per le aziende, ciò che conta non è solo sviluppare autonomamente l’intelligenza artificiale. Chiunque utilizzi chatbot, gestione dei candidati, generatori di immagini, modelli di previsione o funzioni AI in software standard può essere registrato anche come fornitore, operatore, importatore o rivenditore.

Questa guida spiega l’attuale status giuridico dopo gli adeguamenti decisi nel 2026, classifica le classi di rischio e mostra quali misure le aziende dovrebbero ora attuare nella pratica. Non sostituisce la consulenza legale, ma fornisce una base affidabile per l’inventario, la valutazione del rischio e le responsabilità interne.

La cosa più importante in breve

L’EU AI Act non si applica solo agli sviluppatori di IA. Colpisce anche le aziende che utilizzano i sistemi di intelligenza artificiale a livello professionale.
Da allora sono in vigore i divieti su determinate pratiche di IA e l’obbligo di possedere competenze adeguate in materia di IA2 febbraio 2025.
Regole per i modelli di uso generale, in breveGPAI, sono in gran parte in vigore da allora2 agosto 2025.
Dopo l’adeguamento deciso nel 2026 si applicano nuove scadenze: soluzioni di trasparenza per i contenuti generati artificialmente2 dicembre 2026, IA autonoma ad alto rischio2 dicembre 2027e IA ad alto rischio integrata nel prodotto2 agosto 2028.
Le pratiche vietate possono comportare sanzioni fino a35 milioni di euro ovvero il 7% delle vendite annuali globaliminacciare.
Il punto di partenza più sensato è un inventario completo dell’intelligenza artificiale con scopo, fornitore, tipi di dati, interessati e parti responsabili.

Risposta breve: cosa devono fare le aziende adesso?

Le aziende dovrebbero registrare tutti i sistemi di intelligenza artificiale utilizzati, determinarne il ruolo e la classe di rischio, formare i dipendenti in base al rischio, escludere le applicazioni vietate e creare prove sulla selezione, il funzionamento, la protezione dei dati, il controllo umano e la trasparenza. Se inizi solo poco prima della rispettiva scadenza, sarai sotto pressione in termini di tempo, soprattutto per quanto riguarda contratti, documentazione tecnica e informazioni sui fornitori.

Cos’è la legge dell’UE sull’IA?

L’EU AI Act è il regolamento europeo sull’IA, ufficialmente Regolamento (UE) 2024/1689. Crea un quadro giuridico uniforme per lo sviluppo, la fornitura, l’importazione, la distribuzione e l’uso dei sistemi di intelligenza artificiale nell’Unione europea. L’approccio è basato sul rischio: maggiore è il rischio possibile per la salute, la sicurezza o i diritti fondamentali, più severi sono i requisiti.

Il regolamento non si chiede innanzitutto se il software appaia spettacolare o particolarmente complesso dal punto di vista tecnico. Sono determinanti la funzione, il contesto di utilizzo e le possibili conseguenze. Un assistente testuale per le raccolte di idee interne di solito rientra in un’area diversa rispetto a un sistema che preseleziona i candidati, valuta l’affidabilità creditizia o influenza l’accesso all’istruzione.

L’EU AI Act persegue due obiettivi contemporaneamente. Le persone dovrebbero essere protette da applicazioni di intelligenza artificiale manipolative, discriminatorie o non sicure. Allo stesso tempo, dovrebbe essere creato un mercato interno affidabile in cui le aziende sappiano quali regole si applicano. È proprio questa combinazione che rende il quadro giuridico rilevante per la gestione, l’IT, la protezione dei dati, le risorse umane, gli acquisti, lo sviluppo dei prodotti e la conformità.

Chiunque sia interessato alle conseguenze sociali lo troverà nell’area tematicaEtica e intelligenza artificialeulteriori sfondi. La categoria riunisce sviluppi tecnici e nuovi strumentiIntelligenza artificiale.

Legge dell’UE sull’IA: scadenze attuali e calendario dal 2026 al 2028

L’orario originale è stato modificato nel 2026 dal Digital Omnibus. Ecco perché in rete circolano ancora molte panoramiche con scadenze ormai superate. Per la pianificazione aziendale occorre distinguere tra gli obblighi già in vigore, i nuovi termini di trasparenza e le regole rinviate per l’IA ad alto rischio.

Data	Area normativa	Significato pratico
1 agosto 2024	Entra in vigore	Il regolamento sull’IA è applicabile al diritto dell’UE, ma lo diventerà gradualmente.
2 febbraio 2025	Divieti e competenza dell’IA	Alcune pratiche di intelligenza artificiale sono vietate. I fornitori e gli operatori devono garantire competenze IA adeguate.
2 agosto 2025	GPAI, governance e sanzioni	Si applicano obblighi essenziali per i fornitori di modelli di carattere generale.
2 dicembre 2026	Soluzioni per la trasparenza dei contenuti tramite intelligenza artificiale	I fornitori devono attuare requisiti adeguati per l’identificazione e la riconoscibilità dei contenuti generati artificialmente. Stanno entrando in vigore anche nuovi divieti sui deepfake sessualizzati non consensuali.
2 agosto 2027	Laboratori nazionali di intelligenza artificiale nel mondo reale	Data ultima per le autorità nazionali responsabili per allestire i previsti laboratori nel mondo reale.
2 dicembre 2027	IA autonoma ad alto rischio	Diventano applicabili i requisiti per i sistemi autonomi ad alto rischio, come le decisioni relative al personale, all’istruzione o agli accessi critici.
2 agosto 2028	IA ad alto rischio integrata nel prodotto	Le norme si applicano all’IA ad alto rischio incorporata in prodotti regolamentati, a meno che non si applichi una norma transitoria più specifica.

Nota pratica:Una scadenza posticipata non è un invito ad aspettare. Gli allegati contrattuali, i registri dei fornitori, la governance dei dati, la documentazione tecnica, la registrazione e la supervisione umana raramente possono essere impostati in modo pulito in poche settimane.

Fonte per il programma modificato:Consiglio dell’Unione Europea: adozione definitiva delle regole semplificate sull’IA.

Quali classi di rischio riconosce la legge UE sull’AI?

La divisione spesso citata in quattro livelli di rischio è un utile modello di lavoro. Dal punto di vista giuridico, però, dobbiamo guardare più da vicino: le pratiche vietate, i sistemi ad alto rischio e gli obblighi speciali di trasparenza seguono normative diverse. Anche i modelli con finalità generale costituiscono un proprio ambito normativo.

categoria	Esempi tipici	Conseguenza
Rischio inaccettabile	Sistemi manipolativi con un significativo potenziale di danno, punteggio sociale, alcune applicazioni di riconoscimento biometrico o emotivo	Fondamentalmente vietato, solo limitate eccezioni legali
Alto rischio	Decisioni relative al personale, istruzione, infrastrutture critiche, alcuni dispositivi medici, accesso ai servizi essenziali	Requisiti estesi per la gestione del rischio, dei dati e della qualità
Rischio trasparenza	Chatbot, deepfake, media sintetici, riconoscimento di emozioni specifiche o categorizzazione biometrica	Obblighi di informazione, etichettatura e riconoscibilità
Rischio minimo o basso	Filtri antispam, semplici sistemi di raccomandazione, intelligenza artificiale nei giochi, funzioni di assistenza interna senza potere decisionale sensibile	Nessun obbligo speciale ad alto rischio, si applicano ancora altre leggi

Perché la specifica destinazione d’uso è cruciale

Lo stesso modello base può essere classificato in modo molto diverso a seconda del suo utilizzo. Un modello linguistico che progetta le descrizioni dei prodotti non è automaticamente un’intelligenza artificiale ad alto rischio. Tuttavia, se una domanda basata su questo viene utilizzata per preselezionare i candidati, potrebbe rientrare nella zona ad alto rischio. Le aziende devono quindi documentare non solo il nome del prodotto, ma anche lo scopo effettivo, le persone interessate e la catena decisionale.

Una buona classificazione risponde a cinque domande: cosa fa il sistema? Chi è interessato? Quale decisione si sta preparando o prendendo? Può un essere umano intervenire efficacemente? Quali danni si verificherebbero realisticamente in caso di errori, distorsioni o abusi?

Quali applicazioni IA sono vietate?

I divieti sono in vigore dal 2 febbraio 2025. Sono diretti contro applicazioni i cui rischi per la libertà, la dignità, la sicurezza o i diritti fondamentali sono considerati inaccettabili. Le aziende dovrebbero inserire questa revisione all’inizio del processo di approvazione dell’IA. Una migliore politica sulla privacy o una formazione aggiuntiva non rendono legale un sistema vietato.

Le principali pratiche vietate includono:

tecniche mirate di manipolazione o di influenza subliminale se rischiano di causare danni significativi;
lo sfruttamento di particolari bisogni di protezione dovuti all’età, alla disabilità o alla situazione socioeconomica;
Punteggio sociale che svantaggia ingiustamente le persone in base al loro comportamento o alle caratteristiche attribuite;
previsioni individuali di comportamenti criminali basate esclusivamente sulla profilazione o sulle caratteristiche della personalità;
la lettura non mirata di immagini facciali da Internet o da telecamere di sorveglianza per costruire database facciali;
Riconoscimento delle emozioni sul posto di lavoro e negli istituti scolastici, a meno che non si applichi una ristretta eccezione medica o legata alla sicurezza;
categorizzazione biometrica, utilizzata per ricavare caratteristiche particolarmente sensibili;
identificazione biometrica remota in tempo reale in spazi accessibili al pubblico a fini di contrasto, salvo casi eccezionali strettamente definiti.

Con la modifica decisa nel 2026, a partire da dicembre 2026 verranno aggiunti ulteriori divieti. Riguardano i sistemi di intelligenza artificiale che producono rappresentazioni sessualizzate o intime non consensuali di persone reali, nonché rappresentazioni di abusi sessuali su minori. Ciò crea una chiara area di prova aggiuntiva per piattaforme, servizi di immagine e fornitori di strumenti generativi.

Una panoramica ufficiale è fornita daAgenzia federale delle reti sulle pratiche di intelligenza artificiale vietate.

Fornitore, operatore o rivenditore: qual è il ruolo della tua azienda?

Molte valutazioni errate iniziano con la frase: “Non stiamo sviluppando affatto l’intelligenza artificiale”. Questo non è sufficiente. Il regolamento sull’IA distribuisce gli obblighi lungo la catena del valore. Un’azienda può anche ricoprire più ruoli contemporaneamente.

ruolo	Quando si verifica in genere	Esempio
Fornitore	L’azienda sviluppa un sistema di intelligenza artificiale o lo fa sviluppare e lo commercializza con il proprio nome.	Una società di software vende il proprio strumento per candidati supportato dall’intelligenza artificiale.
operatore	L’azienda utilizza un sistema di intelligenza artificiale sotto la propria responsabilità in un contesto professionale.	Un dipartimento delle risorse umane utilizza un sistema di screening esterno.
importatore	Un’azienda con sede nell’UE immette sul mercato dell’UE un sistema di intelligenza artificiale di un fornitore di un paese terzo.	Un distributore tedesco sta introducendo una fotocamera AI di un produttore asiatico.
Rivenditore	L’azienda fornisce un sistema di intelligenza artificiale nella catena di fornitura senza essere essa stessa un fornitore o un importatore.	Un rivenditore specializzato vende una soluzione AI già introdotta.
Produttore del prodotto	Un sistema di intelligenza artificiale viene immesso sul mercato insieme a un prodotto regolamentato sotto il nome del produttore.	Un produttore integra l’intelligenza artificiale in un dispositivo medico o in un componente di sicurezza.

Quando un operatore può diventare fornitore

Etichette proprie, cambiamenti significativi e nuovi scopi sono particolarmente delicati. Chiunque offra un sistema di terzi sotto il proprio nome, lo modifichi sostanzialmente o lo utilizzi per un altro scopo ad alto rischio, può legalmente assumere il ruolo di fornitore. Quindi gli obblighi aumentano notevolmente. Questa domanda è quindi presente in ogni processo di approvvigionamento e cambiamento.

La competenza IA è obbligatoria da febbraio 2025

I fornitori e gli operatori devono fare del loro meglio per garantire che i dipendenti e le altre persone incaricate abbiano un livello adeguato di competenza in materia di intelligenza artificiale. Ciò vale indipendentemente dal settore e dalle dimensioni dell’azienda. Ciò può includere anche l’uso di chatbot comuni o funzioni di intelligenza artificiale nei software per ufficio.

Cosa dovrebbe coprire un valido corso di formazione sull’intelligenza artificiale

Funzionalità e limitazioni dei sistemi utilizzati;
Allucinazioni, distorsioni e tipiche applicazioni errate;
Gestione dei dati personali, riservati e proprietari;
applicazioni consentite e non consentite in azienda;
controllo umano, escalation e segnalazione degli incidenti;
Requisiti di etichettatura per contenuti generati artificialmente;
Requisiti relativi al ruolo per i team acquisti, IT, risorse umane, marketing e prodotto.

Il regolamento non richiede una formazione standard rigida. Anche la certificazione esterna o un rappresentante AI formalmente nominato non sono generalmente obbligatori. L’Agenzia federale delle reti raccomanda tuttavia di documentare le misure in modo comprensibile. Ciò che conta è la data, il gruppo target, il contenuto, la durata, la persona responsabile e la prova di partecipazione. Per le applicazioni ad alto rischio, un’introduzione generale di un’ora è appena sufficiente.

Orientamento ufficiale:Agenzia federale delle reti per le competenze in materia di intelligenza artificiale ai sensi dell’articolo 4.

IA ad alto rischio: quando si applicano gli obblighi aziendali più severi

L’IA ad alto rischio non è automaticamente “IA pericolosa”. Si tratta di sistemi i cui errori o usi impropri possono avere un impatto particolarmente grave sulle persone, sulla sicurezza o sui diritti fondamentali. Il regolamento distingue tra sistemi ad alto rischio legati ai prodotti e applicazioni indipendenti in settori della vita esplicitamente menzionati.

Aree tipiche dell’intelligenza artificiale autonoma ad alto rischio

identificazione e categorizzazione biometrica nei casi regolamentati;
Gestione e funzionamento delle infrastrutture critiche;
Istruzione, esami e accesso alla formazione o al perfezionamento;
assunzione, selezione, promozione e monitoraggio delle prestazioni del personale;
Accesso a servizi privati o pubblici essenziali, come alcune decisioni creditizie o assicurative;
forze dell’ordine;
migrazione, asilo e controllo delle frontiere;
Amministrazione della giustizia e processi democratici.

Obblighi fondamentali per i fornitori di sistemi ad alto rischio

Gestione del rischio:I rischi devono essere identificati, valutati, testati e ridotti durante l’intero ciclo di vita.
Governance dei dati:I dati di formazione, convalida e test devono essere adatti allo scopo, sufficientemente rappresentativi e controllati.
Documentazione tecnica:Struttura, capacità, limiti, versioni e test devono essere descritti in modo comprensibile.
Registrazione:I processi rilevanti devono poter essere registrati automaticamente.
Informazioni per gli operatori:Il funzionamento, i limiti di prestazione, i rischi e le misure di vigilanza devono essere chiaramente documentati.
Supervisione umana:Le persone devono essere in grado di interpretare correttamente le spese, intervenire e fermare il sistema se necessario.
Precisione, robustezza e sicurezza informatica:Il sistema deve essere affidabile per lo scopo previsto e protetto da manipolazioni.
Gestione della qualità e osservazione del mercato:Dopo l’immissione sul mercato, le prestazioni, gli incidenti e le correzioni necessarie devono essere monitorati sistematicamente.

Obblighi degli operatori

Gli operatori devono rispettare le istruzioni per l’uso, ancorare la supervisione umana all’organizzazione, controllare i dati di input e conservare i registri pertinenti. A seconda dell’applicazione, esistono ulteriori obblighi di informazione ai dipendenti o alle persone interessate. Agli enti pubblici e ad alcuni operatori privati potrebbe essere richiesto di effettuare una valutazione d’impatto sui diritti fondamentali prima della diffusione. Se il sistema tocca dati personali, è possibile effettuare parallelamente una valutazione d’impatto sulla protezione dei datiGDPRessere richiesto.

ILLa Federal Network Agency spiega i sistemi di intelligenza artificiale ad alto rischioe i campi di applicazione interessati. Il nostro articolo approfondisce le domande sui sistemi fisici di intelligenza artificialenorme giuridiche per i robot umanoidi. Per approfondire questo aspetto, consulta I robot umanoidi e la singolarità dell’intelligenza artificiale.

Obblighi di trasparenza per chatbot, deepfake e contenuti IA

Le persone dovrebbero essere in grado di riconoscere quando interagiscono con un sistema di intelligenza artificiale o quando visualizzano contenuti generati artificialmente. L’aspetto che devono avere le informazioni dipende dal formato e dal contesto. Una nota generale nelle note legali non è sempre sufficiente.

Casi tipici di trasparenza

Chatbot e assistenti vocali:In genere gli utenti devono sapere che stanno comunicando con un sistema di intelligenza artificiale, a meno che ciò non sia già ovvio.
Deepfake:I contenuti di immagini, audio e video creati o manipolati artificialmente devono essere divulgati come tali.
Contenuto sintetico:I fornitori di sistemi generativi devono supportare soluzioni tecniche che rendano riconoscibile l’output dell’intelligenza artificiale in un formato leggibile dalla macchina.
Testi di pubblico interesse:I testi generati dall’intelligenza artificiale su argomenti di interesse pubblico potrebbero richiedere la divulgazione. Una revisione editoriale con responsabilità umana può modificare la valutazione.
Riconoscimento delle emozioni e categorizzazione biometrica:Le persone interessate devono essere informate sui casi di utilizzo consentiti.

L’etichettatura dovrebbe apparire dove viene percepito il contenuto. Per le immagini, può trattarsi di un’indicazione visibile, di una solida soluzione di metadati o di una combinazione di entrambi. I tag tecnici da soli non risolvono tutti i problemi di trasparenza perché le piattaforme possono rimuovere i metadati. L’articolo spiega di più a riguardoFiligrane AI e loro limiti. Per un ulteriore punto di vista tecnico, consulta Rimuovere la filigrana AI: 4 metodi semplici.

Se scegli strumenti generativi, dovresti controllare le funzioni di esportazione ed etichettatura durante l’acquisto. Il confronto fornisce una panoramica del mercatoattuali generatori di immagini AI.

I dettagli ufficiali possono essere trovati suAgenzia federale delle reti sugli obblighi di trasparenza.

GPAI: cosa si applica ai modelli generali di intelligenza artificiale

GPAI sta per “General Purpose AI”, nei modelli tedeschi di intelligenza artificiale con uno scopo generale. Tali modelli possono svolgere molti compiti diversi e spesso costituiscono la base tecnica per chatbot, funzioni di ricerca, assistenti di programmazione, generatori di immagini o applicazioni specifiche del settore. Per una prospettiva più ampia sul settore, consulta I migliori generatori di immagini AI 2026: crea immagini online gratuitamente.

La legge dell’UE sull’AI opera una distinzione tra il fornitore del modello e il fornitore di un sistema di IA basato su di esso. Chi utilizza semplicemente un’interfaccia già pronta non è automaticamente un fornitore GPAI. Chiunque modifichi radicalmente un modello, lo offra con il proprio nome o lo integri nel proprio prodotto, deve esaminare più da vicino il proprio ruolo.

Responsabilità essenziali per i fornitori GPAI

documentazione tecnica su sviluppo, capacità e limitazioni;
Informazioni per i fornitori di sistemi di IA a valle;
una strategia per il rispetto della normativa europea sul diritto d’autore;
una sintesi sufficientemente dettagliata dei contenuti utilizzati per la formazione;
per i modelli con rischio sistemico, valutazioni aggiuntive, mitigazione del rischio, segnalazione degli incidenti e misure di sicurezza informatica.

Le aziende che acquistano GPAI non dovrebbero accontentarsi delle promesse pubblicitarie. Sono necessarie informazioni affidabili sulla versione del modello, sull’elaborazione dei dati, sui luoghi di archiviazione, sull’uso della formazione degli input, sui subappaltatori, sulle misure di sicurezza, sui concetti di fallimento e sulle notifiche di modifica. Senza tali informazioni, la valutazione del rischio diventa rapidamente un’ipotesi.

Spiegazioni ufficiali:Agenzia federale di rete sui modelli GPAI.

L’EU AI Act e il GDPR spesso si applicano contemporaneamente

La legge UE sull’IA non sostituisce il regolamento generale sulla protezione dei dati. Se un sistema di intelligenza artificiale tratta dati personali, entrambi i gruppi di regole si applicano fianco a fianco. La legge sull’AI valuta innanzitutto i rischi specifici dell’IA e gli obblighi di mercato. Il GDPR richiede, tra le altre cose, una base giuridica, limitazione delle finalità, minimizzazione dei dati, trasparenza, diritti degli interessati e sicurezza adeguata.

Quattro tipiche sovrapposizioni

Dati dei dipendenti:Uno strumento di intelligenza artificiale nel reclutamento può essere un’intelligenza artificiale ad alto rischio e allo stesso tempo elaborare dati sensibili sul personale o sui candidati.
Profilazione:Le valutazioni automatizzate possono innescare requisiti di informazione e restrizioni sulle decisioni individuali automatizzate.
Formazione e dati di input:I dati personali non possono essere utilizzati esclusivamente perché un fornitore di intelligenza artificiale è tecnicamente in grado di farlo.
Valutazioni di impatto:Parallelamente potrebbero essere necessarie una valutazione d’impatto sui diritti fondamentali ai sensi della legge sull’AI e una valutazione d’impatto sulla protezione dei dati. Dovrebbero essere coordinati, ma non equiparati senza controllo.

In pratica, vale la pena avere un processo di revisione comune tra protezione dei dati, sicurezza delle informazioni, dipartimenti specializzati e compliance. Ciò impedisce la duplicazione della documentazione e svela lacune che spesso rimangono inosservate negli appalti puramente tecnici. Questa sovrapposizione è particolarmente evidente, ad esempio, nella robotica e nella tecnologia dei sensoriProtezione dei dati per i robot domestici umanoidi.

La classificazione della protezione dei dati lo spiegaCommissario federale per la protezione dei dati e la libertà d’informazione.

Chi controlla la legge UE sull’AI in Germania?

La Germania fa affidamento sull’Agenzia federale per le reti affinché svolga un ruolo centrale nell’attuazione nazionale. Secondo il governo federale, fungerà essenzialmente da autorità di sorveglianza del mercato e creerà un centro di coordinamento e competenza. Le autorità specializzate continuano a essere coinvolte per i singoli settori in modo che la supervisione specialistica esistente non venga duplicata.

La legge di attuazione tedesca è passata al Bundestag e al Bundesrat nel 2026. Il Consiglio federale ha approvato il 10 luglio 2026. Dopo la stesura e la promulgazione la legge può entrare in vigore. Le aziende ricevono così contatti nazionali più chiari, mentre gli obblighi materiali continuano a derivare direttamente dal regolamento europeo sull’IA.

L’Agenzia federale delle reti dovrebbe inoltre istituire almeno un vero laboratorio di intelligenza artificiale. Tali laboratori del mondo reale consentono test controllati di sistemi innovativi sotto supervisione ufficiale. Non costituiscono un vuoto giuridico, ma possono aiutare soprattutto le piccole e medie imprese a comprendere in anticipo i requisiti.

Fonte:Governo federale sull’attuazione del regolamento sull’IA in Germania.

Quali sanzioni sono previste per le violazioni?

L’importo della sanzione dipende dalla tipologia, dalla gravità, dalla durata e dalle conseguenze della violazione. Anche le dimensioni dell’azienda, la cooperazione con le autorità, le violazioni precedenti e il vantaggio economico possono svolgere un ruolo. Gli importi massimi dimostrano tuttavia che l’adeguamento all’IA non è un progetto aggiuntivo volontario.

violazione	Importo massimo possibile
Violazione di pratiche di intelligenza artificiale vietate	Fino a 35 milioni di euro o il 7% delle vendite annuali globali
Violazione di altri doveri fondamentali	Fino a 15 milioni di euro o il 3% delle vendite annuali globali
Informazioni false, incomplete o fuorvianti fornite alle autorità	Fino a 7,5 milioni di euro o l’1,5% del fatturato annuo globale

Per le aziende l’importo più elevato può essere decisivo. Il quadro giuridico prevede la proporzionalità per le imprese più piccole. Tuttavia, test, blocchi delle vendite, richiami, controversie contrattuali e danni alla reputazione possono diventare costosi, anche se il limite massimo della multa non viene esaurito.

La responsabilità resta una questione separata. La legge sull’AI stabilisce obblighi di mercato e organizzativi, ma non risponde a tutte le pretese civili. Ciò diventa rapidamente pratico con sistemi autonomi, come i contributiResponsabilità per danni causati da robot umanoidiEPerché un robot non è responsabile di se stessospettacolo.

Lista di controllo dell’EU AI Act: 11 passaggi per le aziende

Un programma pratico di conformità non inizia con un insieme di regole di centinaia di pagine. Inizia con la trasparenza del tuo inventario. È quindi possibile impostare le priorità in base al rischio e alla scadenza.

Crea un inventario AI

Cattura ogni applicazione AI produttiva, testata o decentralizzata. Annotare il provider, la versione, lo scopo, il gruppo di utenti, i tipi di dati, le interfacce, il paese di utilizzo e il reparto responsabile. Fanno parte dell’elenco anche gli strumenti browser gratuiti e le funzioni integrate nei software esistenti.
Determinare il ruolo nella catena di fornitura

Verifica se l’azienda è un fornitore, un operatore, un importatore, un rivenditore o un produttore di prodotti. Documentare i cambiamenti di ruolo attraverso etichette private, cambiamenti significativi o nuovi scopi.
Escludere le applicazioni vietate

Prima di ogni ulteriore valutazione, effettuare un controllo di divieto. Ciò consente di risparmiare fatica e impedisce ai team di tentare di “risolvere” una soluzione inaccettabile con misure aggiuntive.
Verificare la classe di rischio e la legge speciale

Valutare il contesto operativo, le persone interessate e le possibili conseguenze. Includere privacy, lavoro, consumatori, diritto d’autore, sicurezza dei prodotti e diritto di settore.
Sviluppa competenze AI in base al ruolo

Non formare tutti i dipendenti allo stesso modo. Il marketing ha bisogno di regole diverse rispetto alle risorse umane, all’amministrazione IT, agli acquisti o alla gestione. Registrare azioni e partecipazione.
Affinare appalti e contratti

Richiedi documentazione tecnica, informazioni sulla sicurezza, avvisi di modifica e assistenza per le richieste governative. Regolamentare l’uso dei dati, i subappaltatori, le opzioni di audit, la responsabilità, l’uscita e la restituzione dei dati.
Coniugare protezione dei dati e sicurezza delle informazioni

Verifica basi giuridiche, minimizzazione dei dati, accesso, periodi di conservazione, trasferimenti verso paesi terzi, registrazione e protezione delle informazioni riservate. Utilizzare gli ISMS esistenti e i processi di protezione dei dati invece di costruire mondi paralleli.
Progettare specificamente la supervisione umana

“Una persona lo guarda di nuovo” è troppo impreciso. Determina chi controlla quali informazioni sono disponibili, quando un risultato viene rifiutato e in che modo vengono evitate pressioni temporali o errori di automazione.
Implementare la trasparenza e l’etichettatura

Definisci segnali per chatbot, deepfake, media sintetici e testi pubblici di intelligenza artificiale. Controlla le informazioni visibili e i contrassegni leggibili dalla macchina nel processo di pubblicazione reale.
Configurare il monitoraggio e la gestione degli incidenti

Monitora i tassi di errore, i reclami, i pregiudizi, gli incidenti di sicurezza e le modifiche ai modelli. Definire canali di segnalazione, livelli di escalation, criteri di chiusura e responsabilità.
Aggiorna regolarmente le prove

I sistemi di intelligenza artificiale cambiano con nuovi modelli, prompt, origini dati e interfacce. Ripeti la valutazione per aggiornamenti significativi, nuovi gruppi di utenti o cambiamenti di scopo. Un modulo una volta compilato non costituisce una prova permanente di conformità.

Set di dati minimo per un registro AI

Campo	Esempio
Sistema e versione	Chatbot di supporto interno, modello versione 4.2
Scopo	Bozza delle risposte del servizio clienti
Ruolo aziendale	operatore
Persone colpite	Clienti e addetti al servizio
Tipi di dati	Dettagli di contatto, informazioni sull’ordine, testo libero
Valutazione del rischio	Richiede trasparenza, nessun rischio elevato secondo lo scopo attuale
Controllo umano	Nessun invio automatico, approvazione da parte dei dipendenti
Responsabilità	Responsabile del servizio clienti e IT
Prova finale	24 luglio 2026
Prossima occasione	Cambio di modello, nuova fonte di dati o al massimo entro dodici mesi

Questi errori stanno rallentando l’attuazione della legge UE sull’intelligenza artificiale

Solo l’IT è responsabile

L’IT conosce i sistemi e le interfacce, ma non ogni diritto del lavoro, protezione dei dati o conseguenza tecnica. Un team sostenibile collega IT, protezione dei dati, sicurezza delle informazioni, legale, acquisti e il rispettivo reparto specializzato.

ChatGPT viene confuso con l’intero inventario AI

L’intelligenza artificiale è presente da tempo nel CRM, nei software per candidati, nella traduzione, nell’analisi video, nel rilevamento delle frodi, nelle funzioni di ricerca e nelle piattaforme di automazione. Coloro che registrano solo chatbot famosi spesso trascurano i sistemi più rischiosi.

Il fornitore è considerato l’unico responsabile senza essere controllato

Gli obblighi dell’operatore restano a carico dell’azienda utilizzatrice. Anche un fornitore leader di mercato non ti solleva dalla definizione dello scopo, dalla formazione dei dipendenti, dalla valutazione della protezione dei dati e dalla supervisione umana.

Una politica esiste solo sulla carta

Una politica in materia di intelligenza artificiale senza un processo di rilascio, formazione e controlli tecnici difficilmente cambia il lavoro quotidiano. Le regole devono applicarsi laddove si acquistano strumenti, si creano account, si immettono dati e si pubblicano contenuti.

Le scadenze vengono confuse con l’inizio del progetto

Il termine segna il momento a partire dal quale l’obbligo deve essere rispettato. Non è il giorno in cui dovrebbe iniziare il progetto. Soprattutto i sistemi ad alto rischio necessitano di preavviso per la documentazione, i test e gli adeguamenti contrattuali.

Perché una buona governance dell’IA è più di un semplice dovere

La governance pulita dell’IA può accelerare le decisioni. I team sanno quali domande vengono approvate, quali dati possono essere utilizzati e chi decide in caso di incertezza. Ciò riduce l’IA ombra e impedisce che ogni progetto inizi da zero.

I vantaggi crescono anche nelle vendite. È più probabile che i clienti aziendali chiedano informazioni su origini dati, concetti di sicurezza, modifiche ai modelli e controllo umano. Chiunque sia in grado di rispondere in modo strutturato a questi punti appare più affidabile di un fornitore che pubblicizza solo “basato sull’intelligenza artificiale”.

L’approccio più forte è quello proporzionale: i sistemi di assistenza semplici ricevono regole snelle, le applicazioni sensibili o legate alle decisioni ricevono un esame più approfondito. In questo modo, la conformità non diventa un freno generale all’innovazione, ma piuttosto un filtro per operazioni realizzabili.

Conclusione: con la legge dell’UE sull’IA, la preparazione prima della scadenza conta

La legge dell’UE sull’IA trasforma l’uso dell’IA in un compito di gestione comprensibile. I divieti e la competenza sull’IA si applicano già. Alla fine del 2026 arriveranno le regole sulla trasparenza, nel 2027 e nel 2028 seguiranno i requisiti completi per i rischi più elevati secondo il nuovo calendario. Le aziende guadagnano poco se guardano solo all’ultima scadenza.

Il percorso pragmatico inizia con un inventario dell’IA. Seguono il chiarimento del ruolo, la valutazione del rischio, la formazione, la revisione del contratto e il controllo umano documentato. Questa struttura non protegge solo dalle multe. Migliora l’approvvigionamento, la qualità dei dati e la responsabilità e separa i progetti utili di intelligenza artificiale dalle soluzioni rapide e rischiose.

Fonti ufficiali e ulteriori informazioni

Federal Network Agency: Service Desk AI e panoramica della regolamentazione dell’AI
Agenzia federale delle reti: competenza nell’intelligenza artificiale
Agenzia federale delle reti: pratiche di intelligenza artificiale vietate
Agenzia federale delle reti: sistemi di intelligenza artificiale ad alto rischio
Agenzia federale delle reti: obblighi di trasparenza
Agenzia federale delle reti: modelli GPAI
BfDI: regolamentazione dell’IA e protezione dei dati
Governo federale: attuazione nazionale del regolamento sull’IA
Consiglio dell’Unione Europea: Omnibus Digitale e nuove date di applicazione

Nota editoriale: l’articolo riflette lo stato giuridico documentato pubblicamente al 24 luglio 2026. Per prodotti specifici, applicazioni ad alto rischio o procedure ufficiali, ha senso una revisione legale individuale.

Domande frequenti sulla legge UE sull’intelligenza artificiale

L’EU AI Act vale anche per le piccole imprese?

SÌ. Il regolamento si applica generalmente indipendentemente dalle dimensioni dell’azienda se un’azienda assume un ruolo coperto. Tuttavia, la portata e la priorità delle misure dipendono fortemente dal sistema utilizzato e dal suo rischio; Per le piccole imprese, i principi di proporzionalità si applicano alle sanzioni e alle offerte di sostegno.

L’EU AI Act si applica se utilizziamo solo ChatGPT o strumenti simili?

L’uso professionale di strumenti generali di IA può anche far scattare obblighi da parte degli operatori, in particolare per quanto riguarda la competenza in materia di IA, la protezione dei dati e le regole di utilizzo interno. Lo strumento non è un sistema ad alto rischio solo a causa della sua popolarità. Ciò che conta è per cosa viene utilizzato specificamente e quali decisioni dipendono da esso.

Da quando vige l’obbligo di avere competenza in IA?

L’obbligo è in vigore dal 2 febbraio 2025. I fornitori e gli operatori dovrebbero fare del loro meglio per garantire un livello adeguato di competenza tra tutte le persone che utilizzano o gestiscono sistemi di IA per loro conto. L’ambito e il contenuto dipendono dal ruolo, dalle conoscenze precedenti, dal sistema e dal rischio.

Ogni azienda ha bisogno di un rappresentante AI?

No, la legge UE sull’IA non richiede un rappresentante formale dell’IA a tutti i livelli. Una chiara responsabilità interna ha ancora senso. A seconda delle dimensioni, questo compito può spettare a un gruppo interdisciplinare di governance dell’IA, alla funzione di conformità o a una persona responsabile designata.

Quando si applicano le norme ad alto rischio della legge UE sull’AI?

Secondo il Digital Omnibus adottato nel 2026, le norme per l’IA autonoma ad alto rischio si applicheranno a partire dal 2 dicembre 2027. Per l’IA ad alto rischio incorporata in prodotti regolamentati, si applicherà generalmente il 2 agosto 2028. Vanno inoltre esaminate le norme settoriali speciali e la tipologia specifica del prodotto.

Tutta l’intelligenza artificiale nelle risorse umane è automaticamente un’intelligenza artificiale ad alto rischio?

No. I sistemi che influenzano in modo significativo l’accesso all’occupazione, la selezione, la promozione, il licenziamento, la distribuzione dei compiti o il monitoraggio delle prestazioni sono particolarmente a rischio. Un assistente puramente testuale senza funzione decisionale può essere classificato diversamente, anche se continuano ad applicarsi la protezione dei dati e il diritto del lavoro.

I contenuti generati dall’intelligenza artificiale devono sempre essere etichettati?

Non tutte le bozze interne necessitano di un riferimento visibile. I requisiti di etichettatura si applicano principalmente quando si interagisce con l’intelligenza artificiale, i deepfake, i media sintetici e alcuni contenuti pubblicati di interesse pubblico. Formato, controllo editoriale e uso specifico determinano il design.

L’EU AI Act sostituisce il GDPR?

No. Non appena vengono trattati i dati personali, si applica parallelamente il GDPR. Le aziende devono quindi esaminare i rischi specifici dell’IA, nonché le basi giuridiche, la trasparenza, la minimizzazione dei dati, i diritti delle persone interessate e la sicurezza dei dati.

A quanto ammontano le sanzioni previste dalla legge UE sull’intelligenza artificiale?

Per le pratiche vietate sono possibili fino a 35 milioni di euro o il 7% delle vendite annuali globali. Per altre violazioni gravi possono essere applicati fino a 15 milioni di euro o il 3%. L’importo specifico dipende, tra l’altro, dalla gravità, dalla durata, dalle dimensioni dell’azienda e dalla cooperazione.

Qual è il primo passo sensato verso la conformità?

Il posto migliore per iniziare è con un inventario AI completo. Dovrebbe includere sistema, versione, scopo, fornitore, ruolo aziendale, tipi di dati, soggetti interessati, classificazione del rischio e parti responsabili. Solo con questa visione d’insieme è possibile dare priorità in modo sensato alla formazione, ai contratti e ai controlli.

Bewerte den Beitrag hier!

[Total: 0 Average: 0]

Nico Nuss

Website

L’autore Nico Nuss si occupa dal 2001 di mobile computing e software di automazione. Grazie alla sua esperienza e al forte interesse per le tecnologie del futuro, si concentra sulla robotica e sull’IA.