AI Act: la guida per chi sviluppa software e SaaS

L'AI Act — Regolamento (UE) 2024/1689 — è la prima legge organica al mondo sull'intelligenza artificiale. È stato pubblicato in Gazzetta ufficiale dell'Unione europea il 12 luglio 2024 ed è entrato in vigore il 1° agosto 2024, ma non si applica tutto insieme: le sue parti entrano in funzione in momenti diversi.

Se sviluppi software, gestisci un SaaS o hai integrato un modello di terzi nel tuo prodotto, questa è la sintesi delle cose che ti riguardano davvero.

Indice dei contenuti:

Il calendario di applicazione
Fornitore o utilizzatore: cambia tutto
Le quattro categorie di rischio
Le pratiche vietate
Gli obblighi di trasparenza
Le sanzioni
Cosa fare in concreto

Il calendario di applicazione

L'art. 113 stabilisce che il regolamento «si applica a decorrere dal 2 agosto 2026», con alcune eccezioni già scattate:

2 febbraio 2025 — si applicano i capi I e II: le definizioni, l'obbligo di alfabetizzazione in materia di IA (art. 4) e soprattutto le pratiche vietate (art. 5).
2 agosto 2025 — obblighi per i modelli di IA per finalità generali, governance, riservatezza e sanzioni.
2 agosto 2026 — si applica il resto del regolamento, compresi gli obblighi di trasparenza dell'art. 50.
2 agosto 2027 — l'art. 6, paragrafo 1, sui sistemi ad alto rischio incorporati in prodotti già regolati da normative settoriali.

Attenzione, il calendario è cambiato. Il 19 novembre 2025 la Commissione ha proposto un pacchetto di semplificazione noto come Digital Omnibus on AI. Dopo l'accordo del 7 maggio 2026, il Parlamento europeo lo ha approvato il 16 giugno 2026 (423 voti favorevoli, 57 contrari, 174 astensioni) e il Consiglio lo ha adottato il 29 giugno 2026.

Il testo rinvia gli obblighi più pesanti:

sistemi ad alto rischio autonomi (allegato III): al 2 dicembre 2027;
sistemi ad alto rischio incorporati in prodotti (allegato I): al 2 agosto 2028;
obbligo di marcatura dei contenuti per i sistemi immessi sul mercato prima del 2 agosto 2026: al 2 dicembre 2026.

Introduce inoltre nuovi divieti, fra cui le applicazioni che generano contenuti intimi non consensuali e materiale pedopornografico. Alla data di pubblicazione di questo articolo mancano la firma dei presidenti delle due istituzioni e la pubblicazione in Gazzetta ufficiale: prima di prendere decisioni conviene verificare lo stato definitivo sulle fonti che trovi in fondo.

Quello che non è stato rinviato è la parte che riguarda più da vicino chi fa siti, app e SaaS: gli obblighi di trasparenza.

Fornitore o utilizzatore: cambia tutto

L'AI Act distingue fra il fornitore, che sviluppa un sistema di IA o lo fa sviluppare e lo immette sul mercato con il proprio nome, e il deployer (in italiano “utilizzatore”), che usa un sistema di IA sotto la propria autorità nell'esercizio della sua attività.

La differenza è sostanziale. Se integri le API di un modello di terzi nel tuo prodotto, nella maggior parte dei casi sei un utilizzatore, e i tuoi obblighi sono molto più leggeri di quelli di chi il modello lo costruisce. Ma attenzione: se metti il tuo marchio su un sistema, o ne modifichi la finalità prevista, puoi diventare tu il fornitore, con tutto quello che ne consegue.

Le quattro categorie di rischio

Il regolamento non tratta tutti i sistemi allo stesso modo, ma li gradua in base al rischio:

Rischio inaccettabile: pratiche vietate, punto. Non c'è modo di metterle a norma.
Alto rischio: consentiti, ma con obblighi pesanti — gestione del rischio, governance dei dati, documentazione tecnica, registrazione degli eventi, trasparenza, sorveglianza umana, accuratezza e cibersicurezza.
Rischio limitato: obblighi di trasparenza (art. 50). È la categoria in cui ricade la gran parte dei prodotti che usano l'IA.
Rischio minimo: nessun obbligo specifico.

Le pratiche vietate

L'art. 5, in vigore dal 2 febbraio 2025, vieta fra l'altro i sistemi che usano tecniche subliminali o manipolative per distorcere il comportamento causando un danno significativo, quelli che sfruttano le vulnerabilità legate a età, disabilità o situazione sociale, il punteggio sociale, alcuni usi della polizia predittiva individuale, la creazione di banche dati di riconoscimento facciale mediante scraping non mirato, il riconoscimento delle emozioni sul posto di lavoro e nelle scuole, e — salvo eccezioni tassative — l'identificazione biometrica remota in tempo reale in spazi accessibili al pubblico a fini di attività di contrasto.

Gli obblighi di trasparenza

È la parte che tocca più da vicino chi realizza siti web e software. L'art. 50 stabilisce che i sistemi destinati a interagire direttamente con le persone devono essere progettati in modo che l'utente sia informato di stare interagendo con un sistema di IA, a meno che non sia evidente per una persona ragionevolmente informata e attenta.

In pratica, se sul tuo sito c'è un assistente conversazionale, l'utente deve sapere che non è una persona.

Lo stesso articolo prevede che i contenuti sintetici — testo, immagini, audio, video — siano marcati in modo leggibile automaticamente e riconoscibili come generati artificialmente, e che i deepfake siano dichiarati come tali.

Le sanzioni

L'art. 99 prevede tre livelli:

fino a 35 milioni di euro o al 7% del fatturato mondiale annuo, se superiore, per le pratiche vietate dall'art. 5;
fino a 15 milioni di euro o al 3% del fatturato, per la violazione degli altri obblighi;
fino a 7,5 milioni di euro o all'1%, per informazioni inesatte o fuorvianti fornite alle autorità.

Per le PMI e le start-up il regolamento prevede che si applichi il minore fra la percentuale e l'importo fisso: un correttivo che evita che una sanzione pensata per le grandi piattaforme travolga un'azienda piccola.

Cosa fare in concreto

Se hai un prodotto che usa l'intelligenza artificiale, il percorso minimo è questo:

Fai l'inventario: quali funzioni del tuo prodotto usano l'IA, con quali modelli e di chi.
Stabilisci il tuo ruolo: fornitore o utilizzatore, per ciascun sistema.
Classifica il rischio: la maggior parte dei prodotti ricade nel rischio limitato, ma va verificato rispetto all'allegato III.
Dichiara l'IA all'utente dove serve, e marca i contenuti generati.
Forma le persone: l'art. 4 chiede un livello sufficiente di alfabetizzazione in materia di IA per chi la usa per conto dell'organizzazione.
Documenta: come per il GDPR, conta poter dimostrare quello che si è fatto.

L'AI Act si intreccia con il GDPR: se il tuo sistema tratta dati personali, valgono entrambi. Ne abbiamo scritto in questa guida al GDPR per i siti web.

Questo è un riassunto: il regolamento ha 113 articoli e 13 allegati. Il testo integrale è su EUR-Lex, il portale ufficiale del diritto dell'Unione europea: Regolamento (UE) 2024/1689 — testo completo in italiano.

Parliamo del tuo prodotto