L’arrivo di una nuova tecnologia porta sempre con sé potenziali rischi, dovuti sia alla tecnologia in sé che alla possibilità che qualcuno ne faccia un uso intenzionalmente pericoloso per sé o per gli altri. Le regole, naturalmente, arrivano sempre dopo: i limiti di velocità e le cinture di sicurezza sono stati inventati dopo le automobili, i caschi dopo le moto, il salvavita dopo le prese elettriche e così via. Una delle attività più importanti che l’Unione Europea svolge a tutela dei cittadini è proprio l’elaborazione di regolamenti che pongono limiti alle possibilità di espansione e di utilizzo di tecnologie, prodotti e pratiche che possono avere un impatto notevole sulla popolazione. Uno degli ultimi regolamenti di questo genere e forse il più discusso del momento è l’AI-Act.
La newsletter del Mitte!
Notizie, novità, eventi dalla Germania
Che cos’è l’AI Act
Il Regolamento (UE) 2024/1689, comunemente noto come AI Act, è il primo corpus normativo organico sull’intelligenza artificiale mai adottato a livello mondiale. Entrato in vigore il 1° agosto 2024, fissa un insieme di regole per chi sviluppa e distribuisce sistemi di IA nell’Unione europea, con un’applicazione progressiva che si estende fino al 2028.
L’obiettivo della norma è garantire che i sistemi di intelligenza artificiale immessi sul mercato europeo rispettino i diritti fondamentali, la sicurezza e i principi di trasparenza. Il regolamento, inoltre, fa parte di un pacchetto più ampio che include l’AI Continent Action Plan, l’AI Innovation Package e il lancio delle AI Factories.
Per agevolare la transizione verso il nuovo quadro regolatorio, la Commissione Europea ha avviato l’AI Pact, un’iniziativa volontaria rivolta a fornitori e utilizzatori di sistemi IA, europei e non, che li invita ad adeguarsi anticipatamente agli obblighi principali del regolamento.
I principi che l’Unione Europea ha adottato per regolare l’IA
Alla base dell’AI Act c’è un approccio graduale, che classifica i sistemi di intelligenza artificiale in base al livello di rischio che presentano, e a ciascun livello corrispondono obblighi distinti. È importante ricordare, in questo contesto di divulgazione, che per “sistemi di intelligenza artificiale” non si devono intendere solo quelli che il grande pubblico ha recentemente imparato a considerare come tali, ovvero gli LLM come ChatGPT, Gemini o Claude, ma tutti i sistemi che automatizzano certe attività in base ad algoritmi che rientrano nella definizione di intelligenza artificiale. Un filtro antispam, per esempio, può rientrare in questa definizione.
Rischio inaccettabile: le applicazioni vietate dell’IA
Alla categoria di rischio maggiore appartengono le pratiche che la norma vieta in modo esplicito, in quanto ritenute incompatibili con i diritti fondamentali. Dall’entrata in vigore di tali divieti definiti nell’AI Act, avvenuta nel febbraio 2025, sono vietati in Europa:
- la manipolazione e l’inganno basati sull’IA che arrechino danno alle persone
- lo sfruttamento delle vulnerabilità individuali
- i sistemi di social scoring (ovvero quei sistemi che analizzano dati per assegnare agli individui punteggi numerici in base al loro comportamento, alle loro caratteristiche o alle loro interazioni sociali.
- la valutazione predittiva del rischio criminale individuale
- la raccolta di massa e indiscriminata di immagini da internet o da circuiti CCTV per costruire database di riconoscimento facciale
- il riconoscimento delle emozioni nei luoghi di lavoro e di istruzione
- la categorizzazione biometrica finalizzata a dedurre caratteristiche protette
- l’identificazione biometrica remota in tempo reale in spazi pubblici, per finalità di contrasto alla criminalità
A supporto dell’applicazione pratica, la Commissione Europea ha pubblicato linee guida sulle pratiche vietate e sulla definizione di sistema di IA ai sensi del regolamento.
Rischio elevato: obblighi stringenti
Rientrano in questa fascia i sistemi che possono incidere significativamente sulla salute, la sicurezza o i diritti fondamentali delle persone. L’elenco va dai componenti di sicurezza nelle infrastrutture critiche, come i trasporti, agli strumenti utilizzati in ambito educativo per valutare gli studenti, dai software di selezione del personale ai sistemi di scoring creditizio, fino alle applicazioni in materia di immigrazione e gestione delle frontiere, di accertamento giudiziario e di processi democratici.
Prima che un sistema ad alto rischio possa essere immesso sul mercato, il fornitore è tenuto a soddisfare una serie di condizioni, condurre una valutazione del rischio adeguata, garantire la qualità dei dati di addestramento per limitare esiti discriminatori, assicurare la registrazione delle attività del sistema a fini di tracciabilità, produrre documentazione tecnica dettagliata, informare in modo chiaro l’utilizzatore e prevedere misure di supervisione umana. A ciò si aggiungono requisiti di robustezza, accuratezza e sicurezza informatica. In altre parole, quando si intende automatizzare in tutto o in parte un processo che può avere un impatto significativo sulla vita delle persone, bisogna garantire standard di sicurezza ed efficienza di tale automazione estremamente alti e anche prevedere sempre che il giudizio umano possa prevalere sull’analisi automatica dei dati.
Una volta commercializzato, il sistema rimane sotto la supervisione delle autorità di vigilanza del mercato, mentre i fornitori mantengono attivo un sistema di monitoraggio post-commercializzazione. Eventuali incidenti gravi o malfunzionamenti devono essere segnalati.
Rischio legato alla trasparenza: gli obblighi dei produttori
Per i sistemi che non rientrano nelle categorie precedenti ma che richiedono comunque un’informazione adeguata agli utenti, l’AI Act introduce obblighi di trasparenza specifici. Chi interagisce con un chatbot, per esempio, deve sapere di trovarsi di fronte a un sistema automatico: sarebbe illegale, per un’azienda, programmare i propri assistenti digitali perché si spacciassero per esseri umani. I fornitori di IA generativa sono anche tenuti a garantire che i contenuti prodotti dall’intelligenza artificiale siano sempre riconoscibili come tali. Deepfake e testi di disinformazione diffusi su questioni di interesse pubblico devono recare un’etichetta visibile.
Le regole sulla trasparenza entreranno in vigore nell’agosto 2026. In preparazione, la Commissione sta elaborando un codice di condotta sull’etichettatura dei contenuti generati da IA e linee guida sulla trasparenza dei sistemi, attesi per il secondo trimestre dello stesso anno.
Rischio minimo o nullo: nessun obbligo aggiuntivo
La grande maggioranza dei sistemi di IA attualmente in uso nell’UE rientra in questa fascia. Filtri antispam, videogiochi con elementi di intelligenza artificiale e applicazioni analoghe non sono soggetti a obblighi specifici ai sensi del regolamento.
I modelli di intelligenza artificiale per uso generale (GPAI)
Una categoria trasversale è quella dei modelli di IA per uso generale, i cosiddetti GPAI, capaci di svolgere un’ampia varietà di compiti e sempre più utilizzati come base per lo sviluppo di altri sistemi. Per i fornitori di questi modelli, il regolamento prevede obblighi specifici in materia di trasparenza e rispetto del diritto d’autore, entrati in vigore nell’agosto 2025. In questa categoria rientrano gli LLM sopra citati.
Per i modelli che per capacità o diffusione possono generare rischi sistemici, sono previste misure aggiuntive di valutazione e mitigazione. Tre strumenti accompagnano l’attuazione:
- le linee guida sull’ambito degli obblighi GPAI, che chiariscono a chi si applicano le norme lungo la catena del valore dell’IA
- il GPAI Code of Practice, strumento volontario elaborato da esperti indipendenti per guidare i fornitori nell’adempimento degli obblighi di trasparenza, copyright e sicurezza
- il template per il riepilogo pubblico dei dati di addestramento, che richiede ai fornitori di indicare le fonti dei dati utilizzati per addestrare i loro modelli, inclusi i principali dataset e i domini di provenienza
Governance, semplificazione e tempi di applicazione
L’applicazione dell’AI Act è affidata all’Ufficio europeo per l’intelligenza artificiale (AI Office) e alle autorità nazionali degli Stati membri. A livello consultivo e di indirizzo operano l’AI Board, il Pannello scientifico e il Forum consultivo.
Nel novembre 2025 la Commissione ha adottato un pacchetto di semplificazione, il cosiddetto “AI omnibus”, con l’obiettivo di rendere le norme più chiare e favorevoli all’innovazione. Un accordo politico è stato raggiunto il 7 maggio 2026.
Le modifiche concordate includono:
- il divieto esplicito dei sistemi di IA che generano contenuti sessualmente espliciti non consensuali o materiale pedopornografico, come le app di “nudificazione”
- il rafforzamento dei poteri dell’AI Office e la centralizzazione della vigilanza sui sistemi basati su modelli GPAI
- l’estensione delle semplificazioni già previste per le PMI alle piccole imprese di media capitalizzazione, incluso l’alleggerimento dei requisiti tecnici documentali
- l’accesso allargato alle sandbox regolamentari, compresa una sandbox a livello UE, per testare soluzioni in condizioni reali
- la chiarificazione dei rapporti tra l’AI Act e le normative europee sulla sicurezza dei prodotti, in particolare il Regolamento Macchine
Strumenti di supporto all’Ai Act
Parallelamente al quadro normativo, la Commissione ha predisposto una rete di strumenti pratici per facilitare la conformità. L’AI Pact raccoglie fornitori e utilizzatori disposti ad anticipare volontariamente l’adeguamento. L’AI Act Service Desk offre informazioni e assistenza operativa. Le linee guida già pubblicate sulle pratiche vietate, sulla definizione di sistema di IA e sugli obblighi GPAI costituiscono un riferimento interpretativo per gli operatori del settore e per le autorità nazionali. L’insieme di questi strumenti punta a ridurre gli oneri amministrativi, preservare lo spazio per l’innovazione e consolidare la fiducia dei cittadini nei confronti dei sistemi di intelligenza artificiale diffusi nel mercato europeo.
