AI Act, cosa cambia dal 2 agosto: le nuove regole europee sull'intelligenza artificiale

L'AI Act è il regolamento europeo che disciplina lo sviluppo e l'uso responsabile dell'intelligenza artificiale. Alcune sue parti sono già operative: dal febbraio 2025 sono vietati i sistemi a rischio inaccettabile, come quelli per la sorveglianza di massa, e dall'agosto 2025 si applicano le regole su governance, controlli e sanzioni. Ma è il 2 agosto 2026 il vero spartiacque: come osserva Matteo Molesti, partner di Elexia Avvocati & Commercialisti, quel giorno "è la data di discontinuità: il regolamento UE 2024/1689 o AI Act diventerà pienamente applicabile".

L'applicazione delle norme è scaglionata nel tempo. I divieti sui sistemi più pericolosi valgono dal febbraio 2025, le regole su governance e sanzioni dall'agosto dello stesso anno. Dal 2 agosto 2026 scatta il pacchetto di obblighi che tocca la platea più ampia di soggetti, a partire dalla trasparenza. Altri adempimenti seguiranno poi nel 2027 e nel 2028, completando progressivamente il quadro previsto dal regolamento.

Il cuore delle nuove regole è l'obbligo di trasparenza fissato dall'articolo 50. "L'impatto maggiore per le imprese riguarda gli obblighi di trasparenza previsti dall'articolo 50 dell'AI Act", spiega a Repubblica Anna Cataleta, giurista e consulente P4I. In pratica nasce il diritto, per ciascuno, di sapere in modo chiaro se ciò con cui si interagisce, che si legge o si guarda è opera di una persona o è stato generato da un'intelligenza artificiale.

Le aziende che immettono sul mercato sistemi pensati per interagire direttamente con le persone (chatbot, assistenti virtuali, sistemi vocali) devono progettarli in modo che l'utente capisca subito, senza ambiguità, di avere di fronte una macchina. Un servizio di assistenza automatizzato, un agente per le prenotazioni o un sistema di pre-screening commerciale dovranno rendere esplicita la natura artificiale dell'interazione, salvo quando ciò sia già evidente dal contesto. Per le imprese significa rivedere schermate, messaggi vocali, interfacce e percorsi cliente.

Lo stesso principio si applica ai sistemi che producono contenuti sintetici. I fornitori dovranno fare in modo che i testi, le immagini, gli audio o i video generati siano marcati in un formato leggibile e riconoscibili come artificiali o manipolati, nei limiti della fattibilità tecnica. La norma Digital Omnibus, approvata di recente, concede più tempo ai sistemi già sul mercato prima del 2 agosto 2026: l'adeguamento potrà arrivare fino al 2 dicembre. Chi sviluppa o integra questi strumenti deve verificare con i fornitori quali marcature sono disponibili e quanto resistono a modifiche successive.

Per chi usa sistemi che creano o alterano immagini, audio o video (i cosiddetti deepfake) scatta l'obbligo di dichiarare che il contenuto è stato generato o modificato artificialmente, con eccezioni per le opere artistiche, satiriche o creative. Un vincolo specifico riguarda poi i testi prodotti dall'IA e pubblicati per informare su temi di interesse generale: in questi casi l'uso dell'intelligenza artificiale va dichiarato, a meno che il contenuto non sia passato da un controllo umano o editoriale con qualcuno che se ne assuma la responsabilità. L'obiettivo non è vietare la tecnologia, ma costruire una catena di responsabilità: chi approva, chi controlla, chi risponde.

Un ulteriore obbligo interessa chi impiega sistemi di riconoscimento delle emozioni o di categorizzazione biometrica, per esempio a fini di marketing. Le persone esposte a questi strumenti devono essere informate del loro funzionamento, e il trattamento dei dati deve rispettare le regole europee sulla privacy. È un tema che riguarda da vicino luoghi di lavoro, negozi, eventi, sicurezza privata e servizi al pubblico.

Le violazioni possono costare care: fino a 15 milioni di euro o al 3% del fatturato annuo mondiale, a seconda di quale importo sia più alto, con soglie ridotte per le PMI. Ma i rischi non si esauriscono nelle multe: Molesti cita il caso degli avvocati italiani già sanzionati per aver depositato documenti con errori generati dall'IA. Sul fronte dell'adeguamento il quadro è a due velocità: gli enti più strutturati hanno già mappato i sistemi in uso e adottato policy e controlli, mentre molte piccole imprese e professionisti "spesso non dispongono ancora di una mappatura degli strumenti in uso né delle competenze per gestirne rischi e responsabilità".