Il regolamento UE sull’IA in sintesi.

Non è una consulenza legale. Questa pagina riassume la situazione giuridica in modo generale e semplificato. Non sostituisce l’esame del tuo caso specifico da parte di un avvocato. Aggiornato al 22 ottobre 2026.

Che cos’è il regolamento

Il regolamento (UE) 2024/1689, detto anche regolamento sull’intelligenza artificiale o AI Act, è la prima legge organica dell’UE sull’intelligenza artificiale. Si applica direttamente in tutti gli Stati membri. Gli obblighi riguardano soprattutto i fornitori, che sviluppano sistemi di IA o li immettono sul mercato, e i deployer, che usano sistemi di IA sotto la propria autorità in ambito professionale. Il rigore delle regole dipende dal rischio dell’uso.

Con il regolamento (UE) 2026/1744, il “Digital Omnibus” sull’IA, il regolamento sull’IA è stato modificato nel luglio 2026: le scadenze per l’IA ad alto rischio sono state rinviate, l’obbligo di alfabetizzazione in materia di IA è stato riformulato e sono stati aggiunti nuovi divieti.

Quattro livelli di rischio

• Rischio inaccettabile – vietato (art. 5): ad esempio il social scoring, tecniche manipolative che causano danni significativi alle persone, la raccolta non mirata di immagini facciali da internet o il riconoscimento delle emozioni sul luogo di lavoro e negli istituti di istruzione. Dal 2 dicembre 2026 è vietata anche l’IA che genera senza consenso immagini intime di persone reali o materiale pedopornografico.
• Alto rischio (art. 6, allegati I e III): IA in ambiti sensibili come selezione del personale, istruzione, valutazione del merito creditizio o infrastrutture critiche, e IA in prodotti come macchine o giocattoli. Valgono requisiti rigorosi su gestione dei rischi, dati, documentazione, registrazioni e sorveglianza umana.
• Obblighi di trasparenza (art. 50): i chatbot devono essere riconoscibili come IA, i contenuti generati dall’IA devono essere marcati in formato leggibile da una macchina e i deepfake devono essere dichiarati.
• Rischio minimo o nullo: ad esempio filtri antispam o IA nei videogiochi. Per questi il regolamento non prevede obblighi specifici; l’obbligo di alfabetizzazione in materia di IA vale però per l’uso di tutti i sistemi di IA.

Cosa significa per le aziende che usano l’IA

Chi usa sistemi di IA sotto la propria autorità in ambito professionale è un deployer ai sensi del regolamento. Per la maggior parte degli usi – rispondere a domande, scrivere bozze di testi, smistare richieste – contano soprattutto questi punti:

Alfabetizzazione in materia di IA (art. 4)

Fornitori e deployer adottano misure per sostenere l’alfabetizzazione in materia di IA del proprio personale e delle altre persone che lavorano con sistemi di IA per loro conto, tenendo conto di conoscenze, esperienza e finalità d’uso. Dopo la riformulazione del Digital Omnibus non devono garantire un livello determinato; l’obbligo di adottare misure resta. Ha senso offrire formazione e annotare chi ha imparato cosa.

Trasparenza per i chatbot (art. 50)

I sistemi di IA che comunicano direttamente con le persone devono essere progettati in modo che le persone sappiano di interagire con un’IA, a meno che ciò non sia evidente. L’informazione va data in modo chiaro, distinguibile e accessibile al più tardi alla prima interazione. Chi genera deepfake o pubblica testi generati dall’IA su questioni di interesse pubblico deve dichiararlo; per i testi questo non vale se una persona li ha sottoposti a revisione editoriale e ne ha la responsabilità.

Sorveglianza umana e documentazione

Per l’IA ad alto rischio l’art. 26 chiede ai deployer, tra l’altro: uso secondo le istruzioni, sorveglianza umana affidata a persone con competenza e autorità adeguate, monitoraggio del funzionamento e conservazione dei log generati automaticamente per almeno sei mesi. I datori di lavoro che usano IA ad alto rischio sul posto di lavoro informano prima i lavoratori e i loro rappresentanti. Questi obblighi valgono dal 2 dicembre 2027. Anche al di fuori dell’alto rischio, responsabilità chiare, approvazioni da parte di persone e registrazioni tracciabili sono buona prassi.

Vigilanza in Germania

Dal 29 luglio 2026 in Germania vale la legge sulla vigilanza del mercato e sulla promozione dell’innovazione nell’IA (KI-MIG). L’autorità di vigilanza del mercato competente è in generale l’Agenzia federale delle reti (Bundesnetzagentur). È anche punto di contatto unico e ufficio reclami e informa le aziende tramite il suo KI-Service-Desk. Per i sistemi di IA direttamente collegati a servizi finanziari regolamentati e usati da imprese vigilate è competente la BaFin.