Glossario AI Act

I termini più importanti del Regolamento (UE) 2024/1689, spiegati in modo sintetico e con riferimento alle pagine di approfondimento dove disponibile.

AI Act: Nome comune del Regolamento (UE) 2024/1689, il primo quadro normativo organico al mondo sull'intelligenza artificiale. Entrato in vigore il 1° agosto 2024, si applica gradualmente fino al 2 agosto 2027 ed è direttamente vincolante in tutti gli Stati membri, senza bisogno di leggi di recepimento nazionali.
Sistema di IA: Definizione dell'Art. 3(1): un sistema automatizzato che, con diversi livelli di autonomia, deduce da input come generare output — previsioni, contenuti, raccomandazioni o decisioni — capaci di influenzare ambienti fisici o virtuali. La definizione è volutamente ampia e allineata a quella OCSE.
Provider (Fornitore): Chi sviluppa un sistema di IA (o lo fa sviluppare) e lo immette sul mercato UE con il proprio nome o marchio, a titolo oneroso o gratuito. Il provider ha gli obblighi più estesi del Regolamento: gestione del rischio, qualità dei dati, documentazione tecnica, registrazione.
Deployer (Utilizzatore): Chi utilizza un sistema di IA sotto la propria autorità nell'ambito di un'attività professionale, senza esserne il fornitore. È il ruolo in cui rientra la maggior parte delle aziende che si limitano a usare strumenti IA di terze parti (es. un tool SaaS con IA integrata). Ha obblighi più limitati del provider, ma comunque concreti: sorveglianza umana, uso conforme alle istruzioni, informazione ai lavoratori.
Alfabetizzazione in materia di IA (AI Literacy): Obbligo dell'Art. 4: provider e deployer devono adottare misure per garantire, per quanto possibile, un livello sufficiente di alfabetizzazione in materia di IA al proprio personale e a chiunque si occupi del funzionamento e dell'uso dei sistemi di IA per loro conto, tenendo conto delle competenze tecniche, dell'esperienza, dell'istruzione e del contesto d'uso. In vigore dal 2 febbraio 2025.
Sistema ad Alto Rischio: Sistema di IA che rientra negli ambiti elencati dall'Allegato III (es. selezione del personale, valutazione dei lavoratori, credit scoring, infrastrutture critiche, applicazione della legge) oppure che è un componente di sicurezza di un prodotto già regolato (Allegato I, es. dispositivi medici, macchinari). Soggetto agli obblighi più stringenti: gestione del rischio, dataset di qualità, documentazione tecnica, human oversight, registrazione in un database UE.
Allegato III: Elenco degli ambiti d'uso che qualificano un sistema di IA come Alto Rischio: biometria, infrastrutture critiche, istruzione, occupazione e gestione dei lavoratori, accesso a servizi essenziali (es. credito), applicazione della legge, migrazione e asilo, amministrazione della giustizia. La Commissione può aggiornarlo nel tempo.
Pratiche di IA vietate: Elenco dell'Art. 5, in vigore dal 2 febbraio 2025: tecniche manipolative subliminali, sfruttamento di vulnerabilità di specifici gruppi, social scoring da parte di autorità pubbliche, polizia predittiva basata solo su profilazione, riconoscimento delle emozioni sul luogo di lavoro e nelle scuole (salvo eccezioni), categorizzazione biometrica per dedurre dati sensibili, identificazione biometrica remota in tempo reale in spazi pubblici a fini di law enforcement (salvo eccezioni tassative).
FRIA (Fundamental Rights Impact Assessment): Valutazione d'impatto sui diritti fondamentali, obbligatoria (Art. 27) per i deployer di sistemi ad Alto Rischio che sono enti di diritto pubblico, o soggetti privati che erogano servizi pubblici essenziali, o operano in ambito creditizio/assicurativo. Va condotta prima della messa in servizio del sistema.
Modello di IA per finalità generali (GPAI): General Purpose AI: modello addestrato su grandi quantità di dati, capace di svolgere una vasta gamma di compiti distinti (es. i grandi modelli linguistici alla base di ChatGPT, Claude, Gemini). Soggetto a obblighi specifici di trasparenza e documentazione tecnica verso i fornitori a valle; i modelli con "rischio sistemico" hanno obblighi rafforzati (valutazione avversariale, segnalazione incidenti).
Obblighi di trasparenza (Art. 50): Obbligo di informare le persone fisiche quando interagiscono con un sistema di IA (es. chatbot), quando un contenuto è generato o manipolato artificialmente (deepfake) o quando sono soggette a categorizzazione biometrica o riconoscimento delle emozioni — salvo i casi già evidenti dal contesto.
Sorveglianza umana (Human Oversight): Misura obbligatoria per i sistemi ad Alto Rischio (Art. 14): garantire che una persona fisica possa comprendere le capacità e i limiti del sistema, monitorarne il funzionamento, interpretarne correttamente l'output ed eventualmente decidere di non utilizzarlo o di ignorarne il risultato ("non affidarsi automaticamente", contro il rischio di automation bias).
Sanzioni AI Act: Regime sanzionatorio dell'Art. 99: fino a 35 milioni di € o il 7% del fatturato globale annuo (il maggiore tra i due) per violazioni delle pratiche vietate (Art. 5); fino a 15 milioni di € o il 3% per violazione degli altri obblighi (es. sistemi Alto Rischio, GPAI); fino a 7,5 milioni di € o l'1% per informazioni scorrette alle autorità. Per le PMI si applica l'importo più basso tra i due parametri.
Marcatura CE: Attestazione di conformità che i sistemi ad Alto Rischio devono esibire dopo aver superato la procedura di valutazione della conformità (Art. 43), analogamente ad altri prodotti regolati nel mercato unico UE (es. dispositivi medici, macchinari).
Marcatura dei contenuti generati da IA (Watermarking): Obbligo per i provider di sistemi di IA generativa di marcare gli output (testo, audio, immagini, video) in un formato leggibile da macchina e riconoscibile come generato o manipolato artificialmente, per contrastare la disinformazione e permettere la tracciabilità.
Bias algoritmico: Distorsione sistematica nell'output di un sistema di IA, spesso derivante da dati di addestramento non rappresentativi, che porta a risultati discriminatori (es. nella selezione del personale). È uno dei rischi principali che l'AI Act affronta imponendo requisiti di qualità dei dataset per i sistemi ad Alto Rischio (Art. 10).
Autorità di vigilanza nazionale: Autorità designata da ciascuno Stato membro per supervisionare l'applicazione dell'AI Act sul proprio territorio (autorità di notifica e autorità di vigilanza del mercato), affiancate a livello UE dall'Ufficio europeo per l'IA (AI Office) e dal Comitato europeo per l'intelligenza artificiale.

Vuoi capire dove si posiziona la tua azienda?

Il quiz di autovalutazione traduce questi concetti in un'indicazione concreta per la tua situazione.