Quanto l’Atto AI dell’UE avrà effettivamente un impatto sul tuo business?

Mentre nuove disposizioni entrano in vigore, ecco cosa le aziende devono realmente sapere sulla conformità

Il 2 febbraio 2025 ha segnato il primo importante traguardo nell’attuazione dell’Atto AI dell’Unione Europea, con disposizioni che vietano pratiche AI proibite e richiedono alle organizzazioni di garantire che il loro personale abbia sufficiente conoscenza, competenze e comprensione di come funziona l’AI, i suoi rischi e i suoi benefici (alfabetizzazione AI). Ora, il 2 agosto 2025 rappresenta un’altra giuntura critica, poiché gli obblighi per i modelli AI di scopo generale sono entrati in vigore.

L’Atto AI si applica a coloro che vendono, importano o mettono a disposizione sistemi AI o modelli AI di scopo generale nell’UE, indipendentemente dal fatto che siano basati nell’UE o meno. Si applica anche alle aziende con sede nell’UE che utilizzano sistemi AI o modelli.

Mentre le aziende sono sinceramente preoccupate per gli obblighi di conformità AI, la realtà per la maggior parte delle aziende sarà meno drammatica di quanto potrebbero sembrare le disposizioni a prima vista.

In quanto gestore di un’azienda globale che utilizza ampiamente l’AI nella nostra piattaforma di gestione dei documenti, ho dovuto navigare in questa regolamentazione per primo. La verità è che, per la stragrande maggioranza delle aziende, l’Atto AI è molto più gestibile di quanto potrebbe sembrare inizialmente – simile a come il GDPR sembrava schiacciante da una prospettiva americana, ma si è rivelato fattibile una volta compresi i principi.

Ma a differenza della singola data di attuazione del GDPR, l’Atto AI si attua in fasi. Con multe che possono raggiungere fino a 35 milioni di euro o il 7% del fatturato globale, e un’onda di applicazione critica appena alle nostre spalle e un’altra scadenza importante davanti a noi, avere una strategia di conformità corretta è fondamentale.

Dove ci troviamo nel calendario

A partire dal 2 agosto 2025, gli obblighi per i modelli AI di scopo generale (GPAI) sono ora in vigore – e ciò colpisce molte più aziende di quanto la maggior parte si renda conto. Se si utilizzano modelli di base come GPT-5, Claude o Llama nei propri prodotti, potreste ereditare obblighi di conformità anche se vi considerate solo “utenti” del modello.

Gli obblighi includono la dimostrazione della conformità con la legge sul diritto d’autore nei dati di formazione, l’esecuzione di test di adversarial per vulnerabilità di sicurezza, l’attuazione di misure di sicurezza robuste e la fornitura di documentazione tecnica dettagliata sulle capacità e i limiti del modello.

Molte aziende SaaS ritengono di essere esenti perché non sviluppano modelli da zero. Ma se si effettua un particolare fine-tuning o si modificano in altro modo i modelli, potreste ritrovarvi soggetti agli obblighi GPAI. La linea tra “utilizzo” e “fornitura” di sistemi AI è deliberatamente ampia nella regolamentazione.

Il 2 agosto 2026 è il grande traguardo da guardare. Entro questa data, i sistemi AI classificati come “ad alto rischio” devono soddisfare requisiti di conformità completi. L’ambito è più ampio di quanto molte aziende anticipino, e gli obblighi sono sostanziali.

Le classificazioni ad alto rischio includono sistemi utilizzati per il reclutamento e l’assunzione, la valutazione del credito e le decisioni finanziarie, la valutazione educativa, la diagnosi medica, le applicazioni di sicurezza critica e le applicazioni di applicazione della legge. Se il vostro strumento AI aiuta a determinare chi viene assunto, approvato per prestiti, ammesso a programmi o diagnosticato con condizioni, siete probabilmente in ambito.

C’è un onere che accompagna questo. Avrete bisogno di sistemi di gestione del rischio completi con monitoraggio continuo, documentazione tecnica che dimostra la sicurezza e l’affidabilità del sistema, standard di qualità dei dati con prova audibile dell’integrità dei dati di formazione, registrazione automatica di tutte le decisioni e le operazioni del sistema, un controllo umano significativo con la capacità di intervenire in tempo reale e marcatura CE con valutazione di conformità di terze parti.

Questo non è solo aggiungere un avviso al vostro sito web. I sistemi ad alto rischio richiedono il tipo di sistemi di gestione della qualità tipicamente visti nella produzione di dispositivi medici o nei sistemi di sicurezza automobilistica.

Comprendere le categorie di rischio

L’Atto AI opera su un approccio a quattro livelli, basato sul rischio, più sfumato di quanto molti si rendano conto.

• Rischio inaccettabile (Proibito): Queste applicazioni AI sono vietate – sistemi di valutazione sociale, AI manipolativi che prendono di mira gruppi vulnerabili, identificazione biometrica in tempo reale negli spazi pubblici (con limitate eccezioni per le forze dell’ordine) e riconoscimento delle emozioni nei luoghi di lavoro o nelle scuole.
• Alto rischio (fortemente regolamentato, ma consentito): Questo è dove molte aziende vengono colte alla sprovvista. Come menzionato sopra, le applicazioni ad alto rischio includono strumenti di selezione dei curricula e assunzione, sistemi di valutazione del credito e di underwriting dei prestiti, dispositivi diagnostici medici, sistemi di sicurezza nei trasporti (veicoli autonomi, gestione del traffico), strumenti di valutazione educativa, applicazioni di applicazione della legge e gestione delle infrastrutture critiche.
• Rischio limitato (Trasparenza richiesta): questi sistemi coinvolgono principalmente AI che interagiscono direttamente con gli esseri umani o generano contenuti che potrebbero essere scambiati per materiali creati dall’uomo. Ciò include chatbot, assistenti virtuali e sistemi AI che creano media sintetici come deepfake o immagini e video manipolati. Per queste applicazioni, il principale requisito regolamentare è la trasparenza – gli utenti devono essere chiaramente informati quando interagiscono con un sistema AI piuttosto che con un essere umano, o quando il contenuto è stato generato artificialmente.
• Rischio minimo: La maggior parte delle applicazioni AI rientra in questa categoria di rischio minimo, che copre sistemi che rappresentano poco pericolo per i diritti fondamentali o la sicurezza. Questi includono strumenti aziendali comuni come filtri antispam, sistemi di gestione delle scorte, piattaforme di analisi di base, motori di raccomandazione per contenuti o prodotti e routing del servizio clienti automatizzato. Per i sistemi a rischio minimo, non ci sono obblighi regolamentari specifici sotto l’Atto AI oltre ai requisiti generali come l’alfabetizzazione AI per il personale.

Se rientrate nelle categorie “Rischio inaccettabile” o “Alto rischio”, la trasparenza da sola non basterà. Se rientrate in qualsiasi altra categoria, i requisiti di conformità sono gestibili.

L’effetto a catena del modello di base

La scadenza GPAI del 2 agosto 2025 appena passata merita un’attenzione speciale perché crea un effetto a catena in tutto l’ecosistema AI. I fornitori di modelli di base come OpenAI, Anthropic e Meta hanno dovuto implementare nuove misure di conformità, e tali requisiti si propagano a valle ai loro clienti aziendali.

Se state costruendo su questi modelli, avrete bisogno di comprendere la posizione di conformità del vostro fornitore e come essa influisce sui vostri obblighi. Alcuni fornitori di modelli potrebbero limitare determinati casi d’uso, altri potrebbero trasferire i costi di conformità sotto forma di prezzi più alti o nuovi livelli di servizio.

Le aziende dovrebbero esaminare la loro catena di approvvigionamento AI adesso, se non l’hanno già fatto. Documentate quali modelli state utilizzando, come li state personalizzando e quali dati scorrono attraverso di essi. Questo inventario sarà fondamentale per comprendere i vostri attuali obblighi GPAI e prepararvi per i requisiti dei sistemi ad alto rischio del 2026.

Anticipare la curva

L’Atto AI rappresenta la prima regolamentazione AI completa al mondo, e ora ci troviamo a metà della sua attuazione fase per fase. Con gli obblighi GPAI ora in vigore e la grande scadenza per i sistemi ad alto rischio che si avvicina nel 2026, le aziende che hanno visto il GDPR come un onere hanno perso l’opportunità di trasformare la privacy in un fattore differenziante. Non fate lo stesso errore con la governance AI.

Le aziende che lotteranno di più saranno quelle colte impreparate quando l’applicazione si intensificherà. Coloro che stanno costruendo in modo responsabile oggi scopriranno che la conformità migliora piuttosto che ostacolare la loro strategia AI. C’è ancora tempo per anticipare la curva – ma la finestra si sta chiudendo rapidamente.