EU AI Act: la prima regolamentazione orizzontale dell'IA al mondo
Il Regolamento (UE) 2024/1689 disciplina i sistemi di IA in base al rischio — dalle pratiche vietate agli obblighi per l'IA per finalità generali fino a un regime ad alto rischio con calendario scaglionato fino al 2027/2028. Un pacchetto "Digital Omnibus" dell'UE è ancora in fase di iter legislativo alla data di questa pagina.
Regolamentazione basata sul rischio con applicazione scaglionata.
Il Regolamento (UE) 2024/1689 ("AI Act") classifica i sistemi di IA per livello di rischio: pratiche vietate (Art. 5), IA ad alto rischio (tra cui l'Annex III), modelli di IA per finalità generali (GPAI) con un proprio catalogo di obblighi, nonché sistemi di IA a rischio limitato (obblighi di trasparenza). In quanto regolamento, si applica direttamente in tutti gli Stati membri.
A differenza di DORA o del GDPR, l'AI Act non entra pienamente in vigore in un'unica data, ma in più fasi nell'arco di diversi anni — dai primi divieti di febbraio 2025 fino agli ultimi obblighi ad alto rischio, che diventano efficaci solo nel 2027 a seconda della classificazione.
Nota importante sullo stato di questa pagina: nel maggio/giugno 2026 l'UE ha raggiunto un accordo politico su un pacchetto di semplificazione "Digital Omnibus" che dovrebbe posticipare diverse scadenze. Alla data di pubblicazione di questa pagina, tale pacchetto non era ancora stato pubblicato come atto giuridico nella Gazzetta Ufficiale e quindi non era ancora in vigore — fino ad allora restano valide le scadenze originarie dell'Art. 113 del regolamento.
Scadenze importanti
Pratiche vietate (Art. 5) e competenza IA (Art. 4)
Prima fase di applicazione ai sensi dell'Art. 113 lett. a: divieti delle pratiche di IA inammissibili nonché l'obbligo di competenza IA (AI Literacy) del personale.
Obblighi per l'IA per finalità generali (GPAI)
Il Capo V (modelli GPAI), le disposizioni di governance e il regime sanzionatorio diventano applicabili (Art. 113 lett. b).
Inizio generale dell'applicazione incl. alto rischio Annex III
Art. 113 lett. c: inizio generale dell'applicazione del regolamento, inclusi gli obblighi ad alto rischio per i casi d'uso elencati nell'Annex III (Art. 6, par. 2). Questa è la scadenza attualmente fissata nel testo del regolamento.
Classificazione ad alto rischio per l'IA integrata nei prodotti (Art. 6, par. 1)
Per i sistemi di IA che sono componenti di sicurezza di prodotti già regolamentati (Annex I, normative settoriali di prodotto), si applica un periodo transitorio più lungo fino al 02.08.2027.
Proposta di posticipo delle scadenze (tra cui Annex III → dic. 2027)
Accordo politico tra Consiglio e Parlamento del 07.05.2026, approvazione del Parlamento Europeo 16.06.2026, approvazione del Consiglio 29.06.2026 — firma e pubblicazione nella Gazzetta Ufficiale sono ancora in attesa alla data di questa pagina. Solo dopo tale pubblicazione le scadenze posticipate diventeranno giuridicamente vincolanti.
Cosa richiede concretamente l'EU AI Act.
Pratiche vietate (Art. 5)
Tra cui social scoring, determinate identificazioni biometriche remote in tempo reale in spazi pubblici e tecniche di IA manipolative sono vietate dal 02.02.2025.
Competenza IA (Art. 4)
Fornitori e utilizzatori devono garantire che il proprio personale disponga di un livello sufficiente di competenza in materia di IA — applicabile dal 02.02.2025.
Obblighi per i modelli GPAI
Documentazione tecnica, obblighi di trasparenza e, per i modelli con rischio sistemico, ulteriori obblighi di valutazione del rischio e segnalazione.
Obblighi per l'IA ad alto rischio
Valutazione di conformità, sistema di gestione del rischio, documentazione tecnica secondo l'Annex IV, valutazione d'impatto sui diritti fondamentali e monitoraggio post-commercializzazione ai sensi dell'Art. 72 — inizio dell'applicazione scaglionato in base alla classificazione.
Un registro che cresce insieme al calendario normativo.
Il Framework Pack ReportAct per l'EU AI Act gestisce un registro dei sistemi di IA con categorizzazione del rischio assistita da IA secondo gli Artt. 6–7 e l'Annex III, documenta le valutazioni di conformità e le valutazioni d'impatto sui diritti fondamentali, e sigilla la documentazione tecnica ai sensi dell'Annex IV come prova dimostrabile.
Poiché l'inizio dell'applicazione di singoli obblighi può essere costantemente posticipato tramite atti delegati e — attualmente — la procedura Digital Omnibus, ReportAct mantiene aggiornato lo stato delle scadenze per ciascun obbligo nel Framework Pack, invece di presupporre una scadenza fissa una tantum.
Il cross-mapping con DORA evita che le valutazioni del rischio ICT per i sistemi di IA negli istituti finanziari vengano rilevate due volte.
Dichiarazione di prodotto/posizionamento, non consulenza legale.
Consulti direttamente
ReportAct non è una società di consulenza. Questa pagina non sostituisce una consulenza legale. Le scadenze qui indicate corrispondono al testo del regolamento (Art. 113) alla data di pubblicazione di questa pagina. Il pacchetto "Digital Omnibus" potrebbe modificare queste scadenze dopo la sua entrata in vigore — prima di decisioni vincolanti verifichi lo stato aggiornato direttamente su EUR-Lex e presso lo European AI Office. Si applicano i nostri Termini e condizioni.
Un registro IA che tiene il passo con la regolamentazione.
Inizi subito con il Suo registro dei sistemi di IA — inclusa categorizzazione del rischio e documentazione Annex IV.