Regolamento sull'IA dell'UE: la guida completa alla conformità (2026)

Il regolamento sull'IA è una legge basata sul rischio. Anziché trattare tutta l'IA allo stesso modo, classifica i sistemi in categorie e impone obblighi proporzionati al rischio che ciascuno presenta per la salute, la sicurezza e i diritti fondamentali. È extraterritoriale: se persone nell'UE utilizzano il vostro sistema di IA, o se il suo output è utilizzato nell'UE, rientrate nell'ambito di applicazione anche se stabiliti al di fuori dell'UE.

Ogni sistema di IA rientra in una delle quattro categorie:

• Vietato (art. 5) — pratiche vietate come il punteggio sociale o determinate applicazioni manipolative.
• Alto rischio (allegato III) — sistemi utilizzati in ambiti come l'occupazione, l'istruzione, i servizi essenziali, l'attività di contrasto e la biometria. Comportano gli obblighi più gravosi.
• Rischio limitato (art. 50) — i sistemi che interagiscono con le persone (chatbot) o generano contenuti sintetici sono soggetti a obblighi di trasparenza.
• Rischio minimo — tutto il resto, senza obblighi vincolanti.

Gli obblighi dipendono dal vostro ruolo: fornitore (art. 16), deployer (art. 26), importatore (art. 23) o distributore (art. 24). Chiunque immetta sul mercato un sistema ad alto rischio con il proprio nome o lo modifichi sostanzialmente diventa fornitore (art. 25) — con l'intero insieme di obblighi, compresa la valutazione della conformità.

I fornitori di IA ad alto rischio devono in particolare garantire:

• un sistema di gestione dei rischi (art. 9)
• la governance dei dati e il controllo delle distorsioni (art. 10)
• la documentazione tecnica — allegato IV (art. 11)
• la conservazione delle registrazioni (art. 12)
• la sorveglianza umana (art. 14)
• l'accuratezza, la robustezza e la cibersicurezza (art. 15)
• la valutazione della conformità (art. 43), la marcatura CE (art. 48) e la registrazione nella banca dati dell'UE (art. 49)

Il regolamento si applica in modo scaglionato:

• 2 febbraio 2025 — divieto delle pratiche vietate + alfabetizzazione in materia di IA (art. 4)
• 2 agosto 2025 — obblighi per i fornitori di modelli di IA per finalità generali (GPAI)
• 2 agosto 2026 — la maggior parte degli obblighi ad alto rischio (allegato III) e di trasparenza (art. 50)
• 2 agosto 2027 — sistemi ad alto rischio che sono componenti di sicurezza di prodotti regolamentati

Il regolamento prevede sanzioni graduate: fino a 35 milioni di EUR o al 7 % del fatturato annuo mondiale per le violazioni delle pratiche vietate (art. 5), e fino a 15 milioni di EUR o al 3 % per la maggior parte delle altre violazioni. Per le PMI e le start-up si applica il minore dei due importi.