L’AI Act europeo non è più un’ipotesi: da agosto 2024 le prime norme sono entrate in vigore, ma è tra 2026 e 2027 che scattano gli adempimenti più pesanti. Al centro di tutto c’è la classificazione del rischio, un meccanismo a quattro livelli che decide se un sistema di intelligenza artificiale può circolare, se deve rispettare decine di obblighi o se va proprio bandito. Con il Digital Omnibus di giugno 2026 il quadro si è fatto più chiaro, mentre i decreti attuativi italiani stanno definendo autorità, procedure e spazi di sperimentazione.
La piramide del rischio: dalle pratiche vietate all’AI a basso rischio
L’AI Act distingue quattro fasce. Al vertice c’è il rischio inaccettabile, che rende l’IA vietata in tutta l’UE: rientrano sistemi come il social scoring di massa, la manipolazione subliminale, l’identificazione biometrica in tempo reale in spazi pubblici (con poche eccezioni per le forze dell’ordine), e la categorizzazione biometrica basata su caratteristiche sensibili. Chi produce o usa queste tecnologie rischia sanzioni fino a 35 milioni di euro o al 7% del fatturato globale.
Subito sotto c’è l’alto rischio, la categoria più regolata. Raccoglie sistemi usati in ambiti critici: infrastrutture, istruzione, lavoro, sanità, migrazione, giustizia. Per questi scattano obblighi di gestione dati, trasparenza, sorveglianza umana, robustezza e registrazione in un database europeo. La lista può essere aggiornata dalla Commissione e oggi include anche alcuni sistemi di IA generativa se utilizzati per finalità ad alto rischio.
Il rischio limitato riguarda invece chatbot, deepfake e IA che interagiscono con le persone: qui basta garantire trasparenza, informando gli utenti che stanno parlando con una macchina o che un contenuto è sintetico. Infine, il rischio minimo o nullo copre la maggior parte delle applicazioni (filtri antispam, videogiochi, consigli di acquisto) e non impone vincoli, salvo il rispetto delle norme generali sulla sicurezza dei prodotti.
Le novità del Digital Omnibus e i decreti attuativi italiani
A giugno 2026, il pacchetto Digital Omnibus ha ritoccato alcuni aspetti dell’AI Act per semplificare gli oneri amministrativi. Ha chiarito meglio le definizioni di “sistema di IA” e “dati di addestramento”, ha precisato i requisiti per la sorveglianza umana e ha introdotto corsie preferenziali per le PMI. Non ha stravolto l’impianto, ma ha reso più gestibile la transizione, allineando l’AI Act con altre normative digitali europee.
In Italia, il percorso attuativo si snoda attraverso decreti legislativi. Sono già state designate le autorità di vigilanza: AgID e Agenzia per la Cybersicurezza Nazionale per la maggior parte dei settori, mentre Garante Privacy, Banca d’Italia, IVASS e altri vigileranno su banche, assicurazioni e dati personali. È prevista l’istituzione di sandbox regolamentari per testare l’IA ad alto rischio in ambiente controllato, e si lavora a codici di condotta e linee guida per sviluppatori e utilizzatori.
Cosa significa per chi legge
Per chi sviluppa o adotta IA in azienda, il primo passo è mappare i sistemi in base al rischio: non serve un avvocato per capire se il proprio prodotto è vietato o no, ma bisogna conoscere bene l’allegato III dell’AI Act. Le scadenze sono ravvicinate: dal 2027 scatteranno i controlli per l’alto rischio, quindi chi non ha ancora iniziato a documentare dataset, algoritmi e procedure di supervisione è già in ritardo. Infine, i decreti italiani offrono l’occasione per partecipare alle sperimentazioni nelle sandbox e ridurre l’incertezza normativa, un vantaggio competitivo non da poco.