Un software che seleziona candidature, assegna priorità a richieste di credito o riconosce un volto non è più soltanto uno strumento informatico: può rientrare in obblighi specifici. Per molte organizzazioni, le AI Act: prossime scadenze coincidono soprattutto con il 2 agosto 2026, data da cui diventa applicabile la parte più ampia del regolamento europeo sull’intelligenza artificiale.

L’AI Act non vieta l’uso dell’IA in generale e non impone gli stessi doveri a chiunque. Stabilisce invece regole proporzionate al rischio: un assistente che riordina appunti e un sistema che incide su un’assunzione non producono conseguenze comparabili. Capire quale caso riguarda la propria attività è il primo passo per evitare sia sottovalutazioni sia costosi eccessi di prudenza.

AI Act: prossime scadenze da conoscere

Il regolamento è entrato in vigore il 1° agosto 2024, ma la sua applicazione è distribuita nel tempo. Alcune regole sono già efficaci, altre arrivano nell’estate del 2026 e una parte relativa ai prodotti regolamentati slitta al 2027.

Dal 2 febbraio 2025 sono vietate alcune pratiche considerate inaccettabili. Tra queste rientrano, con condizioni e definizioni precise, sistemi di manipolazione dannosa, valutazione sociale delle persone, alcune forme di riconoscimento delle emozioni in contesti lavorativi o scolastici e la raccolta indiscriminata di immagini facciali da internet o da riprese televisive per creare banche dati. Nella stessa fase è diventato necessario promuovere un livello sufficiente di alfabetizzazione sull’IA per il personale che utilizza tali strumenti.

Dal 2 agosto 2025 si applicano le norme per i modelli di IA per finalità generali, cioè modelli riutilizzabili per molti compiti, come la scrittura, l’analisi di testi o la generazione di codice. Gli obblighi ricadono soprattutto sui fornitori dei modelli, non automaticamente su ogni azienda che usa un chatbot. Tuttavia, chi integra questi modelli in un servizio proprio deve capire quali istruzioni, limiti d’uso e informazioni tecniche riceve dal fornitore.

La data centrale è il 2 agosto 2026. Da quel giorno si applica la maggior parte delle disposizioni: requisiti per molti sistemi ad alto rischio, obblighi di trasparenza per determinate interazioni con l’IA, sorveglianza del mercato e sanzioni. Per i sistemi ad alto rischio che sono componenti di sicurezza o parti di prodotti soggetti a specifiche norme europee, il termine generale è invece il 2 agosto 2027.

Queste date non significano che si possa aspettare l’ultimo giorno. Un sistema ad alto rischio richiede documentazione, test, procedure di controllo e spesso modifiche contrattuali. Preparare tutto in poche settimane è poco realistico, specialmente se il software è acquistato da terzi e coinvolge più reparti.

Che cosa cambia il 2 agosto 2026

La domanda utile non è soltanto: “Usiamo l’intelligenza artificiale?”. Conviene chiedersi se il sistema prende o supporta decisioni che incidono in modo rilevante sulle persone, se rientra nelle categorie individuate dal regolamento e quale ruolo ha l’organizzazione nella catena di fornitura.

Sistemi ad alto rischio: non tutti, ma alcuni sì

Un sistema può essere classificato ad alto rischio, per esempio, se utilizzato in aree come selezione e gestione dei lavoratori, istruzione, accesso a servizi essenziali, valutazione dell’affidabilità creditizia, amministrazione di servizi pubblici o ambiti in cui un errore può produrre effetti seri sui diritti o sulle opportunità di una persona.

Non basta però l’etichetta commerciale del prodotto. Un software definito “AI per HR” non è automaticamente ad alto rischio in ogni impiego; allo stesso modo, un normale strumento analitico può diventarlo se usato per decidere chi ammettere a una selezione. Contano la funzione concreta, il contesto e l’impatto della decisione.

Per i sistemi ad alto rischio, il regolamento richiede, tra gli altri elementi, una gestione dei rischi, adeguata qualità dei dati, documentazione tecnica, registrazione degli eventi rilevanti, istruzioni per l’uso, supervisione umana e livelli appropriati di accuratezza, robustezza e sicurezza informatica. Il fornitore ha obblighi più estesi, ma anche chi utilizza il sistema deve seguire le istruzioni, controllarne il funzionamento e intervenire quando emergono anomalie.

Un controllo umano puramente formale non basta. Se un addetto può teoricamente annullare il risultato dell’algoritmo, ma non ha tempo, competenze o informazioni per farlo, la supervisione rischia di essere inefficace. La procedura dovrebbe chiarire chi può fermare il sistema, quando farlo e come registrare la decisione.

Trasparenza: quando occorre avvisare le persone

Dal 2 agosto 2026 entrano in gioco anche vari obblighi di trasparenza. Chi interagisce con un chatbot deve poter capire, salvo casi particolari, che sta parlando con un sistema di IA. I contenuti artificialmente generati o manipolati, come determinate immagini, audio e video realistici, possono richiedere un’indicazione leggibile che ne segnali la natura.

Lo scopo non è aggiungere avvisi incomprensibili ovunque. L’informazione deve essere utile nel momento in cui una persona può ragionevolmente confondere un contenuto sintetico con uno reale o attribuire a un operatore umano una risposta automatica. Un messaggio chiaro nella schermata iniziale di un assistente virtuale è spesso più efficace di una nota nascosta nelle condizioni d’uso.

Chi deve fare cosa

L’AI Act distingue ruoli diversi. Il fornitore sviluppa un sistema o lo immette sul mercato con il proprio nome. Il deployer, spesso chiamato utilizzatore, impiega il sistema nella propria attività. Esistono poi importatori, distributori e soggetti che modificano in modo sostanziale un prodotto.

La distinzione è decisiva. Un’azienda che acquista un servizio esterno non deve replicare l’intera documentazione del produttore, ma non può limitarsi a fidarsi di una brochure. Se modifica profondamente il sistema, cambia la sua finalità prevista o lo commercializza con il proprio marchio, potrebbe assumere responsabilità assimilabili a quelle di un fornitore.

Come prepararsi senza trasformare la conformità in burocrazia

Per una piccola impresa, un professionista o un ente con risorse limitate, il percorso più utile parte da una mappa concreta degli strumenti già presenti. Non serve censire ogni funzione automatica marginale: è più sensato individuare i sistemi che generano, classificano, raccomandano, prevedono o decidono qualcosa con effetti su clienti, lavoratori, utenti o processi rilevanti.

Per ogni sistema è utile annotare finalità, fornitore, dati trattati, persone coinvolte, grado di autonomia e conseguenze di un eventuale errore. Questa ricognizione permette di separare i casi ordinari da quelli che meritano un’analisi approfondita. Un generatore di bozze interne, ad esempio, pone rischi diversi da uno strumento che assegna punteggi ai candidati.

La fase successiva riguarda contratti e documentazione. A chi fornisce il sistema si possono chiedere istruzioni d’uso, limiti dichiarati, informazioni sui controlli, modalità di gestione degli incidenti e supporto per gli obblighi applicabili. Le risposte non devono essere necessariamente lunghe, ma devono consentire a chi utilizza il prodotto di capire cosa sta adottando e come usarlo correttamente.

Anche la formazione merita attenzione. L’alfabetizzazione sull’IA non richiede che tutti diventino tecnici o giuristi. Chi usa un sistema dovrebbe sapere quali dati non inserire, quando verificare un risultato, a chi segnalare un comportamento inatteso e quali decisioni non delegare automaticamente. Una breve istruzione operativa, aggiornata quando cambia lo strumento, può essere più utile di una lezione generica.

Infine, occorre coordinare l’AI Act con gli altri obblighi già esistenti, in particolare quelli su protezione dei dati, sicurezza e rapporti di lavoro. Sono materie distinte: rispettare una non dimostra automaticamente di rispettare l’altra. Tuttavia, valutazioni, registri e procedure possono essere organizzati insieme, evitando duplicazioni.

Errori da evitare nelle prossime scadenze dell’AI Act

Il primo errore è pensare che il regolamento riguardi soltanto le grandi piattaforme. Molte organizzazioni non sviluppano modelli, ma usano strumenti che incidono su persone e processi sensibili. Il secondo è fare l’opposto: trattare ogni automazione come un sistema ad alto rischio. Questa scelta può bloccare progetti innocui e spostare risorse lontano dai problemi reali.

Un altro errore frequente è affidarsi esclusivamente al fornitore. Il fornitore deve contribuire con documenti e garanzie coerenti con il proprio ruolo, ma chi impiega un sistema conosce il contesto concreto: sa se un punteggio viene solo consultato o se determina l’esito di una richiesta. È proprio questa differenza a cambiare il livello di attenzione necessario.

Vale anche la pena evitare promesse assolute, come “l’algoritmo è imparziale” o “non commette errori”. I sistemi di IA possono essere utili senza essere infallibili. Una comunicazione accurata descrive finalità, limiti e controlli disponibili, invece di trasformare una previsione statistica in una certezza.

Il 2 agosto 2026 è quindi una scadenza operativa, non un semplice appuntamento normativo. Cominciare con un inventario essenziale, scegliere i casi davvero rilevanti e attribuire responsabilità chiare consente di usare l’IA con maggiore consapevolezza. La domanda da mantenere aperta non è se la tecnologia sia buona o cattiva, ma quale effetto produce qui, per queste persone, quando il risultato è sbagliato.