L'AI Act, formalmente regolamento (UE) 2024/1689, è la legge europea sull'intelligenza artificiale. In vigore dal 1° agosto 2024, si applica a chi sviluppa, vende o usa sistemi di IA nell'UE e li regola in base al rischio: vieta alcune pratiche, impone obblighi stringenti all'IA ad alto rischio e trasparenza a chatbot e contenuti generati.
In sintesi
- È un regolamento: vale direttamente in Italia, senza recepimento. La legge 132/2025 lo affianca con regole nazionali, senza aggiungere obblighi per i sistemi di IA.
- Si applica a fornitori e deployer, anche fuori dall'UE se l'IA o il suo output arrivano nell'Unione.
- Quattro livelli di rischio: inaccettabile (vietato), alto, trasparenza, minimo.
- L'Omnibus digitale, regolamento (UE) 2026/1744, è legge da luglio 2026: ha rinviato l'alto rischio al 2 dicembre 2027 e al 2 agosto 2028, non il resto.
- In Italia vigila l'ACN, AgID è autorità di notifica; nel settore finanziario intervengono Banca d'Italia, CONSOB e IVASS.
Che cos'è l'AI Act
L'AI Act è il regolamento del Parlamento europeo e del Consiglio del 13 giugno 2024 che stabilisce regole armonizzate sull'intelligenza artificiale. Nel testo ufficiale italiano si chiama «regolamento sull'intelligenza artificiale»; in Italia lo si trova anche come «regolamento IA», «AI Act europeo» o semplicemente «AI Act». Il testo italiano dell'AI Act su EUR-Lex conta 113 articoli e 13 allegati; per leggerlo aggiornato, usate sempre la versione consolidata con le modifiche del 2026.
Lo scopo dichiarato è doppio: far circolare liberamente nel mercato unico un'IA affidabile e incentrata sull'essere umano, e proteggere salute, sicurezza e diritti fondamentali. Non regola la tecnologia in astratto ma i suoi usi: lo stesso modello può essere irrilevante per la legge in un'applicazione e ad alto rischio in un'altra. La Commissione segue l'attuazione attraverso l'ufficio per l'IA, che vigila direttamente sui modelli per finalità generali.
Per un'azienda la domanda pratica è sempre la stessa: quali dei nostri usi dell'IA ricadono in quali obblighi, e da quando? Per avere un primo quadro in poco tempo potete usare l'assessment gratuito di Opsio sulla governance AI e l'AI Act, che vi fa domande su strumenti, dati, persone e fornitori e scrive i documenti di governance di base.
A chi si applica
Il regolamento distingue diversi operatori lungo la catena del valore. I due ruoli principali sono il fornitore, che sviluppa un sistema di IA o lo fa sviluppare e lo immette sul mercato con il proprio nome, e il deployer, che lo utilizza sotto la propria autorità in un'attività professionale. Ci sono poi importatori, distributori, fabbricanti di prodotti e rappresentanti autorizzati. Un'azienda che usa Copilot è deployer; una software house che vende un gestionale con funzioni di IA è fornitore; spesso si è entrambe le cose per sistemi diversi. Il tema è approfondito in deployer e fornitore nell'AI Act.
La portata è extraterritoriale (articolo 2). Il regolamento si applica ai fornitori che immettono IA sul mercato dell'Unione ovunque siano stabiliti, e a fornitori e deployer fuori dall'UE quando l'output del sistema è usato nell'Unione. Restano esclusi, tra l'altro, l'uso personale non professionale, la ricerca scientifica pura e gli usi esclusivamente militari o di sicurezza nazionale.
I quattro livelli di rischio, in breve
| Livello | Esempi | Cosa comporta |
|---|---|---|
| Inaccettabile | Punteggio sociale, manipolazione dannosa, riconoscimento delle emozioni sul lavoro e a scuola, raccolta indiscriminata di immagini facciali; dal 2 dicembre 2026 anche app «nudifier» e materiale pedopornografico | Pratiche di IA vietate (art. 5) |
| Alto rischio | Selezione del personale, merito creditizio, istruzione, biometria, infrastrutture critiche, IA nei dispositivi medici e nelle macchine | Obblighi per fornitori (gestione dei rischi, documentazione, conformità) e deployer (art. 26) |
| Trasparenza | Chatbot, contenuti generati, deep fake, riconoscimento delle emozioni dove consentito | Informare le persone e marcare i contenuti (art. 50) |
| Minimo | Filtri antispam, suggerimenti di prodotti, ottimizzazione della logistica | Nessun obbligo specifico, salvo alfabetizzazione (art. 4) |
A parte, il capo V disciplina i modelli di IA per finalità generali, come i grandi modelli linguistici: ne parliamo nella scheda sui modelli GPAI.
Le date che contano, dopo l'Omnibus digitale
Il regolamento si applica a tappe. Nel luglio 2026 il calendario è stato modificato dal regolamento (UE) 2026/1744, l'Omnibus digitale: è legge adottata, pubblicata il 24 luglio 2026 e in vigore dal 27 luglio 2026, non più una proposta come si leggeva in molti articoli fino a giugno.
| Data | Cosa si applica |
|---|---|
| 1° agosto 2024 | Entrata in vigore |
| 2 febbraio 2025 | Pratiche vietate e alfabetizzazione in materia di IA |
| 2 agosto 2025 | Modelli GPAI, governance, sanzioni |
| 2 agosto 2026 | Trasparenza (art. 50) e applicazione generale |
| 2 dicembre 2026 | Nuovi divieti; fine della proroga per la marcatura dei sistemi generativi esistenti |
| 2 dicembre 2027 | Alto rischio, allegato III |
| 2 agosto 2028 | Alto rischio, allegato I (IA nei prodotti regolamentati) |
| 2 agosto 2030 | Sistemi ad alto rischio già in uso presso autorità pubbliche |
Il dettaglio è nella pagina sulle scadenze e l'entrata in vigore dell'AI Act; cosa ha cambiato l'Omnibus, oltre alle date, è spiegato nella scheda sul Digital Omnibus.
L'AI Act in Italia: autorità e legge nazionale
L'Italia ha completato il quadro con la legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025, e con due decreti legislativi del 2026. L'ACN (Agenzia per la cybersicurezza nazionale) è l'autorità di vigilanza del mercato e il punto di contatto unico con l'UE; AgID è l'autorità di notifica degli organismi di valutazione della conformità; insieme gestiscono lo spazio di sperimentazione italiano. Banca d'Italia, CONSOB e IVASS vigilano sui sistemi ad alto rischio nel credito, nei servizi di investimento e nelle assicurazioni, mentre il Garante privacy conserva tutte le competenze sul GDPR. La legge aggiunge regole su lavoro, professioni, sanità, minori e il reato di diffusione illecita di deepfake; il d.lgs. 179/2026, in vigore dal 23 ottobre 2026, disciplina poteri e sanzioni. Tutto è spiegato nella guida alla legge 132/2025 sull'intelligenza artificiale.
Sanzioni
I massimali dell'articolo 99 sono tre: fino a 35 milioni di euro o al 7% del fatturato mondiale annuo per le pratiche vietate; fino a 15 milioni o al 3% per la maggior parte degli altri obblighi, compresi alto rischio e trasparenza; fino a 7,5 milioni o all'1% per informazioni inesatte alle autorità. Vale l'importo più alto, ma per PMI e start-up quello più basso. In Italia il d.lgs. 179/2026 ha recepito questi tetti e ne ha aggiunto uno per la valutazione d'impatto sui diritti fondamentali: fino a 1 milione di euro o allo 0,5%. Per i fornitori di modelli GPAI le sanzioni sono della Commissione.
Le nostre guide all'AI Act
Ogni guida approfondisce un tema per le aziende italiane, con date aggiornate a ottobre 2026.
- Entrata in vigore e scadenze: tutte le date dal 2024 al 2030, comprese quelle italiane.
- Digital Omnibus e rinvio: cosa è stato rinviato, cosa no, cosa è cambiato.
- Legge 132/2025: la legge italiana, AgID e ACN, i decreti attuativi.
- Deployer e fornitore: chi è chi e gli obblighi dell'articolo 26.
- Articolo 50 e trasparenza: chatbot, contenuti generati, deep fake.
- AI literacy e formazione: l'articolo 4 dopo l'Omnibus e un programma per ruoli.
- Modelli GPAI: obblighi dei fornitori e codice di buone pratiche.
- FRIA: la valutazione d'impatto sui diritti fondamentali.
- ISO 42001: la norma sui sistemi di gestione dell'IA e la certificazione.
- Gap analysis AI Act: il metodo in sette passi.
- AI policy aziendale: contenuti e clausole di esempio.
- Valutazione dei rischi dell'IA: modello e matrice di punteggio.
- Shadow AI e inventario: come censire gli strumenti di IA in uso.
- Checklist AI Act: cosa fare, in ordine.
Domande frequenti
Cos'è l'AI Act in parole semplici?
È la legge dell'Unione europea che regola l'intelligenza artificiale in base al rischio. Vieta alcuni usi considerati inaccettabili, impone requisiti severi ai sistemi che possono incidere su lavoro, credito, istruzione o sicurezza, chiede trasparenza a chatbot e contenuti generati e lascia liberi gli usi a rischio minimo, salvo la formazione del personale.
L'AI Act vale anche per le PMI italiane?
Sì, vale per tutte le organizzazioni che sviluppano o usano IA in un'attività professionale, a prescindere dalla dimensione. Le PMI hanno però agevolazioni: documentazione semplificata, accesso prioritario agli spazi di sperimentazione e sanzioni calcolate sull'importo più basso. Dopo l'Omnibus, alcune agevolazioni valgono anche per le imprese fino a 750 dipendenti.
Dove si trova il testo dell'AI Act in italiano?
Su EUR-Lex, il portale ufficiale del diritto dell'Unione, cercando il regolamento (UE) 2024/1689. Per le modifiche del 2026 consultate anche il regolamento (UE) 2026/1744 o, quando disponibile, la versione consolidata. Il testo italiano usa termini come «fornitore», «deployer» e «alfabetizzazione in materia di IA».
Cosa si applica già nel 2026?
Le pratiche vietate e l'alfabetizzazione dal febbraio 2025, le regole sui modelli GPAI dall'agosto 2025, gli obblighi di trasparenza dal 2 agosto 2026 e i nuovi divieti dal 2 dicembre 2026. Gli obblighi per l'alto rischio sono stati rinviati al 2 dicembre 2027 e al 2 agosto 2028.
Chi controlla il rispetto dell'AI Act in Italia?
L'ACN, autorità di vigilanza del mercato con poteri ispettivi e sanzionatori, con AgID come autorità di notifica. Banca d'Italia, CONSOB e IVASS sono competenti per i sistemi ad alto rischio nel settore finanziario. Per i modelli per finalità generali vigila invece l'ufficio europeo per l'IA.
Da dove cominciare
Inventario, ruoli, policy per il personale, controllo dei fornitori e valutazione dei rischi sono le basi richieste in pratica da qualsiasi obbligo dell'AI Act. Con l'assessment gratuito di Opsio per AI policy aziendale e governance AI rispondete in circa 40 minuti, in 14 passi e in italiano, e ricevete quattro documenti scritti sulle vostre risposte (framework di governance AI, AI policy sull'uso accettabile, checklist per i fornitori AI e modello di valutazione dei rischi) con un quadro di maturità su dieci ambiti. I documenti sono consegnati in inglese come file Word modificabili e restano vostri. Se volete un supporto per l'attuazione, c'è la nostra consulenza sulla governance AI.
Questo articolo è un'informazione generale e non costituisce consulenza legale. Verificate il testo consolidato del regolamento (UE) 2024/1689, come modificato dal regolamento (UE) 2026/1744. Situazione aggiornata a ottobre 2026.
Scritto da
Country Manager, India
Praveena guida le operazioni di Opsio in India, portando oltre 17 anni di esperienza trasversale in IA, manifattura, DevOps e managed services.
Standard editoriali: Questo articolo è stato scritto dal professionista cloud indicato sopra. Lo aggiorniamo quando cambiano la tecnologia o la normativa di cui tratta; le date in questa pagina indicano l'ultimo aggiornamento. Opsio è editorialmente indipendente.