AI Act: i primi adempimenti per chi usa l'intelligenza artificiale

Il Regolamento (UE) 2024/1689 è in vigore dal 1° agosto 2024 e da allora un solo atto l'ha modificato: il regolamento (UE) 2026/1744, il cosiddetto Digital Omnibus sull'IA, in vigore dal 27 luglio 2026. Ha spostato alcune date di applicazione, senza creare obblighi nuovi, senza sopprimerne e senza introdurre esenzioni per settore o dimensione. Letto come una proroga generalista, produce esattamente il piano di conformità sbagliato.

Il calendario, come sta davvero

• Dal 2 febbraio 2025 si applicano i divieti dell'art. 5 e l'obbligo di alfabetizzazione in materia di IA previsto dall'art. 4.
• Dal 2 agosto 2025 gli obblighi per i modelli di IA per finalità generali: documentazione tecnica, politica sul diritto d'autore, sintesi dei contenuti di addestramento.
• Dal 2 agosto 2026 l'applicazione generale del regolamento, con gli obblighi di trasparenza dell'art. 50 verso chi interagisce con un sistema di IA o è esposto a contenuti sintetici, e con l'impianto di governance e sanzionatorio.
• Dal 2 dicembre 2026 i nuovi divieti aggiunti e la marcatura leggibile da macchina degli output per i sistemi generativi già immessi sul mercato prima del 2 agosto 2026.
• Dal 2 dicembre 2027 per i sistemi ad alto rischio dell'Allegato III e dal 2 agosto 2028 per quelli dell'Allegato I, la parte centrale sui requisiti di alto rischio, rinviata dal Digital Omnibus.

Il rinvio non riguarda chi l'IA la usa

Chi acquista o integra un sistema di IA è, di norma, un utilizzatore (deployer). Gli obblighi che lo riguardano non sono quelli rinviati: sono la trasparenza verso gli utenti, l'alfabetizzazione del personale, la corretta attribuzione dei ruoli nella filiera, la governance dei dati personali che entrano ed escono dal modello. Aspettare il 2027 per mettere in ordine questi punti significa esporsi a una disciplina già applicabile e già azionabile.

I quattro punti da chiudere adesso

1. Mappare i casi d'uso, non gli strumenti

La domanda utile non è quale modello sia in abbonamento, ma quale decisione supporti. Un sistema che filtra candidature, che attribuisce priorità a richieste di clienti o che produce risposte automatiche verso il pubblico non è lo stesso sistema di un tool che riscrive bozze interne: la classificazione segue l'uso, non il nome del prodotto.

2. Una scheda con data e responsabile per ogni sistema

Ruolo ricoperto (fornitore, utilizzatore, integratore), classificazione, regola applicabile, data di applicazione, misura adottata ed evidenza che la dimostra. È il documento che regge qualsiasi verifica, interna o esterna, ed è anche ciò che manca quasi sempre quando arriva una richiesta di chiarimenti.

3. Governare i dati che entrano nel modello

Ogni conferimento di dati personali a un sistema di IA è un trattamento: serve una base giuridica, va verificata la reale necessità, vanno lette le condizioni del fornitore su conservazione dei contenuti e loro eventuale utilizzo per l'addestramento. Dove il rischio è elevato — profili su larga scala, decisioni che riguardano persone, dati particolari — la valutazione d'impatto non è un adempimento facoltativo.

4. Dire la verità a chi usa i servizi

Se un assistente virtuale conversa con un cliente, deve poterlo capire. Se un contenuto sintetico viene diffuso, deve essere riconoscibile. Sono obblighi di trasparenza già operativi, e sono anche la parte che i clienti e i partner percepiscono immediatamente.

Il riferimento nazionale

In Italia la legge n. 132/2025 affida la vigilanza all'Agenzia per la Cybersicurezza Nazionale e assegna all'AgID le funzioni di notifica: il perimetro delle autorità con cui confrontarsi esiste, e conviene conoscerlo prima di una verifica.

La domanda giusta non è se l'AI Act sia già in vigore, ma quale obbligo riguardi questo specifico sistema e da quale data.

Se vuoi una classificazione dei casi d'uso aziendali e una scheda di conformità per ciascun sistema, scrivi a info@adpo.it o chiama il +39 347 046 6287.