Ai act: cos’è e come plasma l’intelligenza artificiale in Europa

AI Act: finalmente ci siamo. Il primo agosto 2024 è entrata ufficialmente in vigore la prima legge trasversale al mondo sull’intelligenza artificiale.

E dopo le prime norme diventate applicabili a partire dal 2 febbraio 2025, la Commissione europea ha pubblicato anche la versione finale del Code of Practice sull’IA per finalità generali.

Un tassello estremamente importante in vista dell’applicazione, a partire dal 2 agosto 2025, degli obblighi previsti dall’AI Act per i fornitori di modelli di IA per finalità generali.

Definizione di Ai Act: cos’è e quali sono i suoi obiettivi*

Per coglierne l’importanza è bene riassumere i punti fondamentali.

Cos’è l’Ai Act

L’Ai Act è una proposta di regolamento presentata dalla Commissione Europea il 21 aprile 2021, con l’obiettivo di creare un quadro normativo armonizzato e proporzionato per l’intelligenza artificiale (IA) nell’Unione Europea.

L’Ai Act si basa sul principio che l’IA deve essere sviluppata e utilizzata in modo sicuro, etico e rispettoso dei diritti fondamentali e dei valori europei. Per questo motivo, la proposta prevede una classificazione dei sistemi di IA in base al loro livello di rischio per la sicurezza e i diritti delle persone, e stabilisce una serie di requisiti e obblighi per i fornitori e gli utenti di tali sistemi.

L’Ai Act è parte integrante della strategia digitale dell’UE, che mira a promuovere l’innovazione e la competitività nel settore dell’IA, garantendo al contempo la protezione dei consumatori, dei lavoratori e dei cittadini.

Quali sono gli obiettivi dell’Ai Act

L’Ai Act si propone di raggiungere i seguenti obiettivi principali:

• Creare un mercato unico per l’IA, facilitando la libera circolazione e il riconoscimento dei sistemi di IA conformi alle norme dell’UE.
• Aumentare la fiducia nell’IA, assicurando che i sistemi di IA siano affidabili, trasparenti e responsabili, e che rispettino i principi etici e i diritti fondamentali.
• Prevenire e mitigare i rischi dell’IA, vietando o limitando l’uso di sistemi di IA che presentano un rischio inaccettabile per la sicurezza, la salute, la dignità o l’autonomia delle persone, o che violano i valori democratici.
• Sostenere l’innovazione e l’eccellenza nell’IA, fornendo incentivi, finanziamenti e orientamenti per lo sviluppo e il dispiegamento di sistemi di IA sicuri ed etici, e promuovendo la cooperazione e il coordinamento tra gli Stati membri, le istituzioni e le parti interessate.

Sistemi di intelligenza artificiale: una regolamentazione basata sul rischio

L’intelligenza artificiale può trasformare profondamente la società e l’economia, con benefici potenziali per la società e l’economia. Allo stesso tempo, l’IA può anche presentare dei rischi per i diritti, la sicurezza e il buon funzionamento del mercato unico. Per trovare un equilibrio tra le due istanze – accompagnare l’Europa nell’adozione dell’IA e dei suoi benefici e farlo per l’interesse generale – l’AI Act è stato pensato con un approccio basato sul rischio.

Il quadro normativo sull’IA prevede quindi una classificazione dei sistemi di IA in base al livello di rischio che presentano per le persone e per la società. Il quadro distingue tra quattro categorie di rischio: inaccettabile, alto, limitato e minimo.

• – I sistemi di IA che presentano un rischio inaccettabile sono quelli che contraddicono i valori e i principi fondamentali dell’UE, come il rispetto della dignità umana, della democrazia e dello stato di diritto. Questi sistemi sono vietati o (nel caso della sorveglianza biometrica in tempo reale per motivi di sicurezza) soggetti a severe restrizioni. Ad esempio, sono proibiti i sistemi di IA che manipolano il comportamento umano in modo da eludere la volontà degli utenti, o che consentono lo “scoring sociale” da parte delle autorità pubbliche.
• – I sistemi di IA che presentano un rischio elevato sono quelli che possono avere un impatto “sistemico”, ossia significativo sui diritti fondamentali o sulla sicurezza delle persone. Questi sistemi sono soggetti a rigorosi obblighi e requisiti prima di poter essere immessi sul mercato o utilizzati. Ad esempio, rientrano in questa categoria i sistemi di IA utilizzati per la selezione e il reclutamento del personale, per l’ammissione all’istruzione, per l’erogazione di servizi sociali essenziali, come la Sanità, per la sorveglianza biometrica a distanza (non in tempo reale), per le applicazioni giudiziarie e di polizia, o per la gestione della sicurezza critica delle infrastrutture. Sono ad alto rischio in automatico i sistemi di intelligenza artificiale generativa dotati di potenza di calcolo superiore a 10^25 Flop.
• – I sistemi di IA che presentano un rischio limitato sono quelli che possono influenzare i diritti o le volontà degli utenti, ma in misura minore rispetto ai sistemi ad alto rischio. Questi sistemi sono soggetti a requisiti di trasparenza, che consentono agli utenti di essere consapevoli del fatto che interagiscono con un sistema di IA e di comprenderne le caratteristiche e le limitazioni. Ad esempio, rientrano in questa categoria i sistemi di IA utilizzati per generare o manipolare contenuti audiovisivi (come i deepfake), o per fornire suggerimenti personalizzati (come le chatbot). C’è il diritto a sapere di stare parlando con un bot (invece di un umano) e che quell’immagine è creata o artefatta dall’IA.
• – I sistemi di IA che presentano un rischio minimo o nullo sono quelli che non hanno alcun impatto diretto sui diritti fondamentali o sulla sicurezza delle persone, e che offrono ampi margini di scelta e controllo agli utenti. Questi sistemi sono liberi da qualsiasi obbligo normativo, al fine di incoraggiare l’innovazione e l’esperimentazione. Ad esempio, rientrano in questa categoria i sistemi di IA utilizzati per scopi ludici (come i videogiochi) o per scopi puramente estetici (come i filtri fotografici).

Obblighi e requisiti: per sviluppatori e utilizzatori di sistemi di IA

Gli obblighi cambiano a seconda del tipo di rischio, come si diceva.

I sistemi di IA ad alto rischio devono soddisfare una serie di obblighi e requisiti prima di essere immessi sul mercato o utilizzati. Questi riguardano, tra gli altri, la qualità dei dati, la documentazione tecnica, l’informazione agli utenti, la supervisione umana, la robustezza, la sicurezza e la precisione.

Non solo: gli sviluppatori e gli utilizzatori di tali sistemi sono tenuti a condurre una valutazione del rischio e a stabilire un sistema di gestione della qualità. La conformità ai requisiti sarà verificata da organismi indipendenti, che avranno il potere di rilasciare certificati o di ritirare quelli già emessi.

Gli sviluppatori e gli utilizzatori di sistemi di IA ad alto rischio saranno anche soggetti a obblighi di registrazione, tracciabilità e segnalazione.

I sistemi di IA a rischio limitato devono rispettare i requisiti di trasparenza, che implicano l’obbligo di comunicare agli utenti che stanno interagendo con un sistema di IA e di fornire loro informazioni pertinenti sulle sue caratteristiche e limitazioni. Questo consentirà agli utenti di esercitare il loro diritto di scegliere se affidarsi o meno al sistema di IA e di capire le possibili conseguenze delle loro scelte. Gli sviluppatori e gli utilizzatori di tali sistemi dovranno anche garantire che le informazioni fornite siano chiare, comprensibili e accessibili.

I sistemi di IA a rischio minimo o nullo non sono soggetti a nessun obbligo normativo specifico, ma devono comunque rispettare le leggi e i regolamenti generali applicabili all’IA, come quelli relativi alla protezione dei dati personali, alla concorrenza, alla responsabilità civile o ai diritti dei consumatori.

Impatto sull’innovazione: come l’Ai Act favorisce lo sviluppo responsabile dell’IA

L’Ai Act ha l’obiettivo di promuovere lo sviluppo responsabile e sostenibile dell’IA nell’Unione europea, in linea con i valori e i principi fondamentali dell’UE. Per raggiungere questo scopo, l’Ai Act prevede diverse misure di sostegno all’innovazione, tra cui:

• – La creazione di un quadro normativo armonizzato e proporzionato per l’IA, che riduca la frammentazione del mercato interno, aumenti la fiducia degli utenti e degli investitori, e favorisca la competitività globale dell’UE nel settore dell’IA.
• – Il sostegno alla ricerca e all’innovazione nell’ambito dell’IA, attraverso il finanziamento di progetti e iniziative che si concentrino sulla qualità, l’impatto sociale, l’interdisciplinarità e la collaborazione transnazionale. In particolare, l’Ai Act mira a incentivare lo sviluppo di un’IA di eccellenza, centrata sull’essere umano e rispettosa dei diritti fondamentali.
• – La diffusione delle migliori pratiche e delle conoscenze sull’IA, mediante la creazione di centri di competenza, di test e di innovazione, che forniscano servizi di supporto, formazione, consulenza e orientamento agli sviluppatori e agli utilizzatori di sistemi di IA, in particolare alle piccole e medie imprese e alle amministrazioni pubbliche.
• – L’istituzione di un comitato europeo per l’IA, composto da esperti indipendenti, che avrà il compito di assistere la Commissione europea e gli Stati membri nell’implementazione e nell’aggiornamento dell’Ai Act, nonché di formulare raccomandazioni e pareri sull’evoluzione e le sfide dell’IA.

Tutela dei diritti: come l’Ai Act garantisce la sicurezza e l’eticità dell’IA

L’Ai Act ha la finalità di garantire la sicurezza e l’eticità dell’IA, proteggendo i diritti e gli interessi delle persone e delle organizzazioni che ne sono interessate. Per conseguire questo obiettivo, l’Ai Act prevede diverse misure di tutela dei diritti, tra cui:

• – La definizione di una serie di requisiti e obblighi per i sistemi di IA ad alto rischio, che assicurino il rispetto dei diritti fondamentali, come il diritto alla dignità, alla non discriminazione, alla privacy, alla protezione dei dati, alla libertà di espressione e di informazione, al processo equo e alla presunzione di innocenza.
• – La previsione di meccanismi di supervisione umana adeguati ed efficaci, che permettano alle persone di monitorare, controllare e intervenire sui sistemi di IA, al fine di prevenire o correggere eventuali effetti negativi o dannosi sull’essere umano o sull’ambiente.
• – L’introduzione di un divieto o di una restrizione per i sistemi di IA che presentano un rischio inaccettabile, cioè che violano in modo flagrante i valori e i principi fondamentali dell’UE, come i sistemi di IA che manipolano il comportamento umano, le opinioni o le decisioni, o che sfruttano le vulnerabilità delle persone.
• – L’istituzione di un sistema di governance efficace e armonizzato per l’IA, che coinvolga tutte le parti interessate, tra cui le autorità nazionali competenti, la Commissione europea, il comitato europeo per l’IA, gli organismi di certificazione, i fornitori e gli utenti di sistemi di IA, e la società civile. Questo sistema prevede la cooperazione, il coordinamento, il monitoraggio, la revisione, l’informazione, la consulenza, l’ispezione, l’azione correttiva e sanzionatoria.
• – La promozione di una cultura dell’IA responsabile e consapevole, che incoraggi la partecipazione, il dialogo, la trasparenza, la responsabilità e l’educazione degli sviluppatori, degli utilizzatori e dei cittadini di sistemi di IA, al fine di rafforzare la fiducia, il rispetto e l’accettazione sociale dell’IA.

Sanzioni ed entrata in vigore

Gli obblighi e le relative sanzioni scattano dopo un certo periodo dalla data di pubblicazione dell’AI in Gazzetta Ufficiale:

L’Ai Act prevede un sistema di sanzioni in caso di violazione delle disposizioni previste. Le sanzioni possono variare a seconda della gravità e della natura dell’infrazione, e sono proporzionate alla dimensione e al fatturato dell’operatore economico responsabile. Le sanzioni possono includere:

• – Avvertimenti o diffide da parte delle autorità nazionali competenti, con la possibilità di adottare misure correttive

• Fino a 35 milioni di euro o al 7% del fatturato totale annuo a livello mondiale dell’esercizio finanziario precedente (a seconda di quale sia il valore più alto) per le violazioni relative alle pratiche vietate o alla non conformità ai requisiti sui dati;
• Fino a 15 milioni di euro o al 3% del fatturato totale annuo a livello mondiale dell’esercizio finanziario precedente per la mancata osservanza di uno qualsiasi degli altri requisiti o obblighi del regolamento, compresa la violazione delle norme sui modelli di IA per uso generale;
• fino a 7,5 milioni di euro o all’1,5% del fatturato mondiale annuo totale dell’esercizio precedente per la fornitura di informazioni inesatte, incomplete o fuorvianti agli organismi notificati e alle autorità nazionali competenti in risposta a una richiesta

Le sanzioni possono essere imposte dalle autorità nazionali competenti, che sono tenute a cooperare tra loro e con la Commissione europea, attraverso il Comitato europeo per l’intelligenza artificiale.

Gli Stati membri devono garantire che le persone colpite da una violazione dei diritti fondamentali a causa dell’uso dell’intelligenza artificiale abbiano accesso a vie di ricorso effettive e giusti rimedi. L’Ai Act si propone quindi di assicurare che chi opera nel settore dell’intelligenza artificiale sia soggetto a regole chiare e vincolanti, e che chi ne subisce le conseguenze negative possa ottenere giustizia e riparazione.

Approvazione dell’AI Act: un traguardo importante per l’Europa

Un traguardo importante, si diceva, raggiunto dopo diversi anni di lavoro delle istituzioni europee, alla ricerca del giusto equilibrio tra protezione dei diritti e delle libertà fondamentali e sostegno all’innovazione.

Esattamente come avvenuto all’epoca del GDPR, anche rispetto all’AI Act l’adeguamento preventivo e spontaneo sarà certamente fondamentale, tenendo conto che le norme del nuovo regolamento europeo entreranno in applicazione in momenti diversi (e in particolare dopo sei, dodici, ventiquattro e trentasei mesi).

Da qui l’idea di dare il via a una rubrica di approfondimento sui contenuti e gli impatti di questa nuova legge. L’obiettivo? Fornire a imprese, enti pubblici e professionisti una prima bussola per avvicinarsi a un regolamento dagli effetti innovativi e dirompenti.

La definizione di “sistema di IA” secondo l’AI Act

Pietra angolare dell’AI Act è innanzitutto la definizione di intelligenza artificiale adottata nel testo di legge. Si tratta di uno dei punti più discussi e divisivi nel corso dell’iter legislativo, a riprova della sua rilevante portata. È infatti scontato che tracciando i confini di questo concetto si determina cosa sia incluso nel perimetro della legge e cosa invece no.

Non potendo qui ripercorrere tutto il viaggio interistituzionale che ha interessato questo aspetto nodale della legge, possiamo richiamare il punto di partenza e quello di arrivo. Nella proposta della Commissione UE, la definizione di «sistema di IA» veniva impostata in modo flessibile e adeguabile, rimandando a tal fine a un allegato contenente un elenco di approcci e tecniche per lo sviluppo dell’IA. Tale soluzione è stata successivamente superata, e oggi l’AI Act – seguendo la proposta definitoria dell’OCSE – definisce il proprio oggetto come “un sistema automatizzato progettato per funzionare con diversi livelli di autonomia e che può mostrare capacità di adattamento dopo l’installazione e che, per obiettivi espliciti o impliciti, deduce, dagli input che riceve, come generare output quali previsioni, contenuti, raccomandazioni o decisioni che possono influenzare ambienti fisici o virtuali” (articolo 3).

Sarà dunque fondamentale comprendere tutte le sfumature tecniche e giuridiche di questa concettualizzazione, poiché essa rappresenta la prima porta di accesso al sistema di requisiti e obblighi posti dal regolamento europeo, con i relativi livelli di responsabilità. Ciò potrà essere fatto anche attraverso le linee guida che verranno adottate dalla Commissione europea proprio in relazione a tale definizione.

Chi sarà coinvolto dall’applicazione dell’AI Act

La seconda porta di accesso all’AI Act è l’articolo 2, dove viene definito e circoscritto l’ambito di applicazione del regolamento, identificando con ciò anche i diversi soggetti interessati all’adeguamento.

Le nuove regole – tese a governare l’immissione sul mercato, la messa in servizio e l’uso dei sistemi di IA nell’UE (articolo 1) – si applicheranno innanzitutto ai «fornitori» dei sistemi di intelligenza artificiale (sia pubblici che privati) che immettono sul mercato o mettono in servizio sistemi di IA nell’UE, indipendentemente da dove i fornitori stessi siano stabiliti, e a quelli situati in un paese terzo, laddove l’output prodotto dal sistema di IA sia utilizzato in Europa. Dovranno inoltre rispettare le norme dell’AI Act gli «operatori» che hanno sede o sono situati nell’UE e quelli situati in un paese terzo, sempre ove l’output prodotto dal sistema di intelligenza artificiale venga utilizzato in Europa. E’ questa una previsione analoga rispetto a quella del GDPR, che ha prodotto quell’effetto di applicazione globale del Regolamento sulla circolazione e protezione dei dati che ben conosciamo.

Il legislatore europeo intende cosi duplicare il successo del GDPR e porre al centro dei mercati mondiali le proprie innovative e sfidanti regole sull’AI. Il regolamento si applicherà altresì agli altri componenti della catena di valore dell’IA, quali importatori, distributori, fabbricanti e rappresentanti autorizzati.

A ognuno di questi soggetti l’articolo 3 riserva una specifica definizione. E così, ad esempio, viene qualificato come «fornitore» ogni persona fisica o giuridica, autorità pubblica, agenzia o altro organismo che sviluppa un sistema di IA o che lo fa sviluppare al fine di immetterlo sul mercato o metterlo in servizio con il proprio nome o marchio, a titolo oneroso o gratuito, mentre sarà considerato un «operatore» qualsiasi soggetto tra quelli elencati sopra che utilizza un sistema di IA sotto la propria autorità, tranne nel caso in cui il sistema di intelligenza artificiale sia utilizzato nel corso di un’attività personale non professionale.

Ambiti di applicazione dell’AI Act: le eccezioni previste

Lo stesso articolo 2 elenca gli ambiti esclusi dal perimetro dell’AI Act (e anche su alcune di queste eccezioni si è discusso molto negli ultimi mesi). Fatti salvi i settori che non rientrano nell’ambito di applicazione del diritto europeo, il regolamento non si applicherà ai sistemi di IA per scopi militari, di difesa o di sicurezza nazionale, a quelli per scopi di ricerca e sviluppo scientifico, o a quelli rilasciati con licenze free e open source (salvo sussista un rischio).

Esclusa dall’ambito di applicazione delle nuove norme anche l’attività di ricerca, prova e sviluppo relative a sistemi di intelligenza artificiale. È inoltre presente una household exemption applicabile agli operatori persone fisiche che utilizzano sistemi di AI durante un’attività non professionale puramente personale, anche qui viene ripreso un principio ed un meccanismo analogo a quello previsto dal GDPR.

Il codice di buone pratiche per i GPAI

Nell’attesa che tutte le disposizioni dell’AI Act diventino pienamente applicabili, il 10 luglio 2025 la Commissione europea ha pubblicato la versione finale del General-Purpose AI Code of Practice.

Si tratta di uno strumento giuridico ad adozione volontaria, elaborato in applicazione dell’AI Act da un gruppo di esperti indipendenti nell’ambito di un processo multi-stakeholder avviato a luglio 2024 e che ha coinvolto oltre 1400 partecipanti provenienti da industria, accademia, società civile e altri centri di interesse.

L’obiettivo di questo codice è quello di aiutare l’industria dei grandi modelli di intelligenza artificiale a rispettare i nuovi obblighi previsti dall’AI Act per i fornitori di modelli di IA per finalità generali (GPAI), applicabili a partire dal 2 agosto 2025.

All’interno di questo strumento di soft regulation – che ricorda e ci si augura possa replicare la fortunata esperienza dei codici di condotta adottati ai sensi del Regolamento Generale sulla Protezione dei Dati (GDPR) – sono descritte le modalità con cui i fornitori di questi grandi modelli di intelligenza artificiale possono dimostrare la conformità ai propri obblighi ai sensi della legge europea sull’IA.

Il codice, che non introduce nuovi obblighi da rispettare per gli aderenti, è composto da tre sezioni, ognuna dedicata a un’importante area di adempimenti previsti dall’AI Act per i fornitori di GPAI: la trasparenza, il diritto d’autore e la sicurezza. Il codice di buone pratiche fornisce quindi modelli e soluzioni per adempiere concretamente e correttamente agli obblighi dettati dal regolamento europeo.

Potranno beneficiare del regime di conformità semplificato previsto dal codice di buone pratiche – che dovrà ora essere approvato dagli Stati membri e dalla Commissione europea – tutti i fornitori di GPAI che decideranno di aderirvi. Si viene così a rafforzare il senso di responsabilizzazione degli operatori della catena di valore dell’IA.

Prime considerazioni sull’impatto dell’AI Act

Il pacchetto di norme messo insieme dal legislatore europeo è sicuramente ambizioso, e non a caso si tratta del primo progetto di legge trasversale sull’IA che vedrà la luce a livello mondiale. Il fatto di essere i primi ha sicuramente un peso e un’importanza, permettendo di definire a livello internazionale uno standard di riferimento per gli altri paesi (e in molti stanno già seguendo l’approccio europeo).

Il Brussels effect dell’AI Act: influenze a livello globale

Il vero valore del cosiddetto Brussels effect non sta tuttavia nel mero effetto emulativo. E la storia del GDPR ce lo insegna. La portata di queste norme e il relativo significato sul piano internazionale risiedono nel complesso e radicato sistema di protezione dei diritti fondamentali e di visione umanocentrica che sta a monte delle norme europee sulla data economy e che permea il sistema di regole a valle. E allora ecco che grazie al Brussels effect il riconoscimento di questi valori, e l’equilibrio identificato dal legislatore con le istanze di sostegno all’innovazione, rappresentano il vero prodotto di esportazione normativa dell’UE, prodotto e portato della nostra tradizione costituzionale.

Conclusioni

Dobbiamo essere tutti molto orgogliosi di questo traguardo importante. La legge non è la migliore possibile e, per certi versi, il GDPR ha avuto più coraggio. Ma dissento fortemente da chi considera patetico e di retroguardia l’atteggiamento dell’Unione Europea in tema di AI, che è invece coraggioso, ambizioso, innovativo ed estremamente tempestivo, mentre il resto del mondo, per ora, resta a guardare.

*Capitolo a cura della redazione