Conformità AI Act UE per le PMI: obblighi, date chiave e cosa fare ora.

Sì. Le aziende che distribuiscono sistemi IA sviluppati da altri — denominate «deployer» — hanno obblighi ai sensi dell'AI Act UE. Questi includono l'adozione di misure per supportare l'alfabetizzazione IA tra il personale (Articolo 4, in vigore dal 2 agosto 2026), l'informazione degli utenti quando interagiscono con sistemi IA (Articolo 50, in vigore dal 2 agosto 2026) e la preparazione agli obblighi dei deployer ad alto rischio dell'Allegato III ai sensi dell'Articolo 26, applicabili dal 2 dicembre 2027. L'ambito degli obblighi dipende dagli strumenti IA che utilizzi e per quale scopo.

I sistemi IA ad alto rischio sono quelli elencati nell'Allegato III del Regolamento. Includono l'IA utilizzata in decisioni di selezione e HR (come lo screening dei CV), la gestione delle infrastrutture critiche, le valutazioni di istruzione e formazione professionale, l'accesso a servizi essenziali (credito, assicurazioni), l'applicazione della legge e l'identificazione biometrica. Gli obblighi di conformità completi per i sistemi dell'Allegato III — inclusa la valutazione della conformità, la registrazione nel database UE e gli obblighi del deployer ai sensi dell'Articolo 26 — si applicano dal 2 dicembre 2027. Questa data è stata modificata rispetto all'originale 2 agosto 2026 dal Regulation (EU) 2026/1744.

Il Regolamento (Regulation (EU) 2024/1689) è entrato in vigore il 1° agosto 2024. Date chiave: le pratiche vietate dell'Articolo 5 si applicano dal 2 febbraio 2025 (e rimangono in vigore). Gli obblighi dei fornitori di modelli IA di uso generale si applicano dal 2 agosto 2025. L'Articolo 4 (misure di alfabetizzazione IA) e l'Articolo 50 (trasparenza) si applicano dal 2 agosto 2026. Due nuovi divieti dell'Articolo 5 aggiunti dal Regulation (EU) 2026/1744 si applicano dal 2 dicembre 2026. Gli obblighi completi dei sistemi ad alto rischio dell'Allegato III (Capitolo III) si applicano dal 2 dicembre 2027 — modificato dal Regulation (EU) 2026/1744 rispetto alla data originale di agosto 2026. I sistemi ad alto rischio dei prodotti regolamentati dell'Allegato I si applicano dal 2 agosto 2028.

L'Articolo 4 (come modificato dal Regulation (EU) 2026/1744) richiede ai fornitori e ai deployer di adottare misure per supportare lo sviluppo di competenze sufficienti di alfabetizzazione IA tra il loro personale e gli altri che si occupano dell'IA per loro conto. L'obbligo è proporzionale — il livello di supporto richiesto si adatta al ruolo e al livello di rischio dei sistemi IA coinvolti. Non è richiesta alcuna certificazione di formazione specifica, durata del corso o livello minimo di qualificazione. Orientamenti documentati, registri di formazione e sessioni informative al personale sono modi pratici per dimostrare la conformità. Questo obbligo si applica dal 2 agosto 2026.

L'Articolo 5 vieta determinati usi dell'IA in modo assoluto. I divieti originali (in vigore dal 2 febbraio 2025) includono: IA che manipola il comportamento attraverso tecniche subliminali o ingannevoli; sfruttamento delle vulnerabilità di gruppi specifici; identificazione biometrica remota in tempo reale in spazi pubblici (con eccezioni limitate per le forze dell'ordine); punteggio sociale da parte di autorità pubbliche; riconoscimento delle emozioni nei luoghi di lavoro o negli istituti scolastici (con eccezioni limitate); e IA che inferisce caratteristiche protette da dati biometrici. Il Regulation (EU) 2026/1744 ha aggiunto due nuovi divieti applicabili dal 2 dicembre 2026: l'Articolo 5(1)(ba) che vieta l'IA che genera immagini sintetiche intime non consensuali di persone reali, e l'Articolo 5(1)(bb) che vieta l'IA che genera materiale di abuso sessuale su minori. Questa valutazione analizza alcuni rischi ai sensi dell'Articolo 5 ma non costituisce un'autorizzazione legale esaustiva per ogni divieto.

L'Articolo 50 richiede ai deployer di informare gli utenti quando stanno interagendo con un sistema IA (Articolo 50(1)) — ad esempio tramite chatbot o assistenti virtuali — salvo che ciò sia evidente dal contesto. Le immagini, l'audio e il video generati o significativamente modificati dall'IA devono essere etichettati come tali in un formato leggibile da macchina (Articolo 50(4)). Questi obblighi si applicano dal 2 agosto 2026. I sistemi preesistenti in uso prima di tale data avrebbero dovuto raggiungere la conformità tempestivamente. Esiste una limitata sistemazione transitoria per determinati sistemi di contenuto sintetico preesistenti ai sensi del regolamento modificato.