L'AI Act — nome comune del Regolamento (UE) 2024/1689 — è la prima legge organica al mondo dedicata specificamente all'intelligenza artificiale. È stato pubblicato nella Gazzetta Ufficiale dell'UE e è entrato in vigore il 1° agosto 2024. Essendo un Regolamento (non una Direttiva), è direttamente applicabile in tutti gli Stati membri, senza bisogno di una legge di recepimento nazionale.

Perché esiste

L'obiettivo dichiarato è duplice: garantire che i sistemi di IA immessi sul mercato UE siano sicuri e rispettino i diritti fondamentali, e allo stesso tempo favorire l'innovazione, evitando di frammentare il mercato interno con regole diverse tra Stati membri. Per farlo, l'AI Act adotta un approccio basato sul rischio: più un sistema di IA può incidere sulla sicurezza o sui diritti delle persone, più obblighi comporta. I sistemi a rischio inaccettabile sono vietati, quelli ad Alto Rischio sono fortemente regolati, quelli a rischio limitato hanno obblighi di trasparenza, quelli a rischio minimo non hanno obblighi specifici.

A chi si applica

Il Regolamento distingue diversi ruoli, i due principali sono provider (chi sviluppa un sistema di IA e lo immette sul mercato UE con il proprio nome o marchio) e deployer (chi lo utilizza sotto la propria autorità nell'ambito di un'attività professionale). La maggior parte delle aziende che non sviluppano IA in proprio, ma usano strumenti di terze parti nei processi di lavoro, rientra come deployer. L'AI Act si applica anche a soggetti extra-UE, se l'output del sistema è usato nell'Unione.

Il calendario di applicazione

L'AI Act non si applica tutto insieme: il legislatore ha previsto un'entrata in vigore scaglionata, per dare tempo alle aziende di adeguarsi.

  • 1° agosto 2024 — entrata in vigore del Regolamento.
  • 2 febbraio 2025 — si applicano le disposizioni generali (definizioni) e le pratiche di IA vietate (Art. 5), oltre all'obbligo di alfabetizzazione in materia di IA (Art. 4).
  • 2 agosto 2025 — si applicano le regole di governance, la disciplina sui modelli di IA per finalità generali (GPAI) e l'obbligo per gli Stati membri di designare le autorità competenti.
  • 2 agosto 2026 — si applica la maggior parte degli obblighi sui sistemi ad Alto Rischio elencati nell'Allegato III, oltre agli obblighi di trasparenza dell'Art. 50 e al regime sanzionatorio.
  • 2 agosto 2027 — si applicano gli obblighi sui sistemi ad Alto Rischio dell'Allegato I (componenti di sicurezza di prodotti già regolati, es. dispositivi medici, macchinari).

Cosa NON è l'AI Act

L'AI Act non sostituisce il GDPR: se un sistema di IA tratta dati personali, si applicano entrambe le normative in parallelo. Non è nemmeno una certificazione di prodotto generica: gli obblighi variano molto in base al ruolo (provider/deployer) e alla categoria di rischio del sistema specifico — non esiste un adempimento unico valido per "fare l'AI Act" in azienda.