L’AI Act dell’UE per un’azienda normale

Dal 2 agosto 2026 si applica la maggior parte dell’AI Act dell’UE. Per il vasto gruppo di aziende che si limitano a usare l’IA, in un chatbot sul sito, nelle immagini generate per una campagna o in un assistente su ogni scrivania, la domanda è più semplice: quali obblighi sono nostri, e da quando.

Questo è lo stato delle cose dopo le modifiche di quest’estate. È una panoramica, non una consulenza legale.

Che cosa si applica dal 2025

Il regolamento è entrato in vigore il 1° agosto 2024 e arriva per tappe. Dal 2 febbraio 2025 otto pratiche sono vietate senza eccezioni. Tra queste figurano la manipolazione e l’inganno dannosi, lo sfruttamento delle vulnerabilità delle persone, il social scoring, il riconoscimento delle emozioni sul lavoro e nell’istruzione, lo scraping indiscriminato di volti per database di riconoscimento e la categorizzazione biometrica che deduce caratteristiche protette. Un nono divieto, sui sistemi che generano contenuti sessuali senza consenso o materiale pedopornografico, si applica dal 2 dicembre 2026. Poche aziende normali ci vanno vicino. Il riconoscimento delle emozioni in un call center o in uno strumento per i colloqui sì.

La stessa data ha portato l’obbligo di alfabetizzazione in materia di IA. Vale per i fornitori e per ogni azienda che usa un sistema di IA sul lavoro. L’omnibus ha ammorbidito la formulazione quest’estate: le aziende devono ora adottare misure per sostenere lo sviluppo dell’alfabetizzazione in materia di IA, e il testo precisa che non devono garantire un livello specifico a ogni singola persona. L’obbligo in sé resta.

Dal 2 agosto 2025 i fornitori di modelli di IA per finalità generali hanno obblighi propri: documentazione tecnica, informazioni per le aziende che costruiscono sui loro modelli, una politica di rispetto del diritto d’autore dell’UE e una sintesi pubblica dei contenuti usati per l’addestramento. Ricadono sui produttori dei modelli, non sui loro clienti. Un’azienda che esegue il fine-tuning di un modello diventa fornitore di un nuovo modello solo in casi eccezionali. La soglia indicativa della Commissione è una modifica che usa più di un terzo della capacità di calcolo dell’addestramento originale.

Che cosa si applica da agosto

Le regole sulla trasparenza sono arrivate con il resto del regolamento il 2 agosto 2026, e sono quelle in cui si imbatte la maggior parte delle aziende. Le persone devono essere informate quando interagiscono con una macchina, come un chatbot. I fornitori di IA generativa devono contrassegnare ciò che i loro sistemi producono in un formato leggibile da una macchina, così da poterlo riconoscere come generato. I deployer devono etichettare i deepfake: immagini, audio o video che somigliano a persone, oggetti, luoghi o eventi reali e apparirebbero falsamente autentici. Anche i testi pubblicati per informare il pubblico su temi di interesse pubblico devono essere dichiarati, a meno che una persona li abbia rivisti e qualcuno ne abbia la responsabilità editoriale.

Il 10 giugno 2026 la Commissione ha pubblicato un codice di condotta volontario su marcatura ed etichettatura, con un set di icone UE per le etichette. A fine luglio lo avevano firmato circa 190 organizzazioni. I fornitori di sistemi generativi già sul mercato prima del 2 agosto 2026 hanno tempo fino al 2 dicembre 2026 per aggiungere la marcatura.

Lo stesso giorno è iniziata l’applicazione, a cura delle autorità nazionali e dell’Ufficio per l’IA della Commissione. Le sanzioni arrivano a 35 milioni di euro o al 7 per cento del fatturato mondiale per le pratiche vietate, e a 15 milioni di euro o al 3 per cento per le violazioni da parte dei fornitori di modelli.

Che cosa ha spostato l’omnibus

La modifica più grande dell’anno è il Regolamento (UE) 2026/1744, l’omnibus digitale sull’IA. La Commissione l’ha proposto il 19 novembre 2025, Parlamento e Stati membri hanno raggiunto un accordo politico il 7 maggio 2026 ed è entrato in vigore il 27 luglio 2026.

Sposta le regole per i sistemi ad alto rischio. I sistemi usati negli ambiti sensibili elencati nell’Allegato III, come la selezione dei CV, il credit scoring, l’istruzione, la biometria e la migrazione, hanno ora i loro obblighi dal 2 dicembre 2027 anziché dal 2 agosto 2026. L’IA ad alto rischio integrata in prodotti già regolati dalla normativa UE sui prodotti segue il 2 agosto 2028.

Estende inoltre gli sgravi dalle piccole imprese alle piccole imprese a media capitalizzazione, definite come aziende con meno di 750 dipendenti e un fatturato fino a 150 milioni di euro. Possono usare la documentazione tecnica semplificata e un sistema di gestione della qualità proporzionato.

Per un’azienda che usa l’IA anziché svilupparla, il rinvio cambia poco. L’obbligo di alfabetizzazione e gli obblighi di trasparenza si applicano ora. Il tempo in più conta per il gruppo più ristretto i cui sistemi decidono sulle persone: chi viene assunto e chi ottiene credito.

Aziende svizzere che vendono nell’UE

Il regolamento è diritto dell’UE, ma la sua portata segue il mercato. Si applica ai fornitori che immettono sul mercato dell’UE sistemi di IA o modelli per finalità generali, siano stabiliti nell’Unione o in un paese terzo, e ai fornitori e ai deployer di paesi terzi i cui sistemi producono risultati usati nell’Unione. Un fornitore di un sistema ad alto rischio extra UE deve nominare lì, per iscritto, un rappresentante autorizzato prima di vendere.

In pratica, un’azienda svizzera con un chatbot sulla versione tedesca del suo sito, o con una campagna di immagini generate rivolta ad acquirenti in Francia, dovrebbe considerare propri gli obblighi di trasparenza.

In patria la Svizzera segue una via propria. Non esiste una legge sull’IA. Il 12 febbraio 2025 il Consiglio federale ha deciso di ratificare la convenzione sull’IA del Consiglio d’Europa e di modificare la legge per settore dove possibile, e una bozza da porre in consultazione è attesa entro la fine del 2026. Fino ad allora la legge sulla protezione dei dati (LPD) si applica direttamente all’IA, e l’IFPDT si aspetta in gran parte le stesse cose: le persone hanno il diritto di sapere se stanno parlando o scrivendo con una macchina, e volti, immagini o voci manipolati di persone identificabili devono sempre essere contrassegnati in modo chiaro.

Una breve lista di controllo

Elencate ogni sistema di IA in uso: chi lo fornisce, chi lo usa, che cosa decide e a quali mercati arrivano i suoi risultati.

Verificatelo rispetto ai divieti, partendo dal riconoscimento delle emozioni di dipendenti o candidati.

Dite quando le persone parlano con una macchina: nella finestra della chat, al telefono, nell’e-mail scritta da un agente.

Etichettate le immagini e i video generati che sembrano reali e conservate gli originali e i prompt che stanno dietro.

Formate le persone che usano l’IA, mettete per iscritto che cosa hanno imparato e ripetete quando cambiano gli strumenti.

Contrassegnate i sistemi che decidono sulle persone, nelle assunzioni, nel credito o nell’istruzione, e usate il tempo fino a dicembre 2027 per prepararli.

Chiedete per iscritto ai vostri fornitori come adempiono ai propri obblighi: marcatura, documentazione, politica sul diritto d’autore. Poi nominate una persona che sia responsabile dell’elenco.

Dove restano al comando le persone

Nel suo nucleo il regolamento è una regola sulla responsabilità. Una macchina può redigere, ordinare e proporre, mentre una persona con nome e cognome risponde di ciò che esce. È una buona regola per ragioni che con le sanzioni non c’entrano nulla: il giudizio e la responsabilità sono ciò su cui un cliente fa affidamento, e non si automatizzano.

I nostri prodotti sono costruiti lungo la stessa linea. Twin dà a ogni ruolo solo la parte del cervello aziendale di cui ha bisogno, con approvazioni per ruolo e ogni passaggio registrato. Reel conserva ogni immagine e ogni clip in una libreria multimediale con ogni versione e la ricetta che sta dietro, e una persona sceglie ogni immagine che viene usata, così a una domanda sull’origine si può rispondere dal registro. Eigna, realizzato dal nostro partner Eigna Labs, è un modello privato che gira nel cloud o sui server di un’azienda, progettato per il GDPR e per l’AI Act dell’UE.

Le date continueranno a spostarsi. Un’azienda che sa quale IA usa, e chi ne risponde, può tenere il passo.