Sintesi
La costruzione della disciplina europea è iniziata nell’aprile 2021, quando la Commissione ha presentato la prima proposta. Il progetto è stato modificato dopo la diffusione pubblica di ChatGPT, avvenuta alla fine del 2022, che ha spinto le istituzioni a includere anche i grandi modelli linguistici e quelli utilizzabili per molteplici finalità. L’accordo politico è stato raggiunto nel dicembre 2023 e il regolamento è entrato in vigore il 1° agosto 2024.
Dal 2 febbraio 2025 hanno iniziato ad applicarsi i primi divieti, la definizione dei sistemi di IA e gli obblighi di alfabetizzazione del personale. Dal 2 agosto dello stesso anno sono divenute operative le prescrizioni rivolte ai fornitori dei modelli GPAI, compresi gli adempimenti sulla documentazione, sul diritto d’autore e sui rischi sistemici.
Da domenica 2 agosto 2026 la Commissione e le autorità nazionali possono controllare il rispetto di queste disposizioni e irrogare sanzioni. Nella stessa data hanno iniziato ad applicarsi le regole che impongono ai chatbot di dichiarare la propria natura artificiale, ai contenuti sintetici di essere riconoscibili automaticamente e ai deepfake di essere segnalati agli utenti.
I modelli più potenti devono essere sottoposti a valutazioni, misure di sicurezza e procedure per prevenire conseguenze su vasta scala. Le Autorità possono richiedere informazioni, accedere ai modelli, ordinare interventi correttivi e, nei casi più seri, limitarne la disponibilità. Le imprese che hanno commercializzato modelli prima del 2 agosto 2025 avranno tempo fino al 2 agosto 2027 per adeguarli.
Il calendario non si è però completato nel 2026. Le prescrizioni per i sistemi autonomi ad alto rischio sono state spostate al 2 dicembre 2027, mentre quelle per l’IA incorporata in prodotti regolamentati si applicheranno dal 2 agosto 2028. L’Italia ha affiancato al quadro europeo una disciplina nazionale e ha individuato le autorità incaricate della vigilanza e della promozione dell’innovazione.
Articolo
L’AI Act (Artificial Intelligence Act, regolamento sull’intelligenza artificiale), identificato come Regolamento UE (Unione europea) 2024/1689, è stato presentato dalle istituzioni europee come il primo quadro normativo orizzontale e organico dedicato all’IA (intelligenza artificiale). La sua origine è risalita all’aprile 2021, quando la Commissione europea ha proposto una disciplina comune per proteggere salute, sicurezza e diritti fondamentali, assicurando nello stesso tempo condizioni uniformi alle imprese attive nel mercato europeo. L’intesa politica è stata raggiunta nel dicembre 2023, il Parlamento europeo ha approvato il testo il 13 marzo 2024, il Consiglio lo ha adottato definitivamente il 21 maggio e il regolamento è entrato in vigore il 1° agosto dello stesso anno.
La comparsa pubblica di ChatGPT alla fine del 2022 ha cambiato la portata dell’intervento. Il progetto iniziale era concentrato soprattutto sugli impieghi specifici dell’intelligenza artificiale, ma la rapida diffusione dei sistemi generativi ha indotto i legislatori a disciplinare anche i modelli sottostanti, capaci di produrre testi, immagini, programmi informatici e altri contenuti e di essere adattati a numerose attività. Sono così entrati nel regolamento i GPAI (General-Purpose Artificial Intelligence, modelli di intelligenza artificiale per finalità generali), compresi quelli più avanzati che possono provocare rischi sistemici.
L’impianto ha distinto 4 livelli principali: rischio inaccettabile, con divieto delle pratiche che manipolano le persone, sfruttano particolari vulnerabilità, attribuiscono punteggi sociali o formulano previsioni individuali di reato basate esclusivamente sulla profilazione; rischio elevato, riferito a impieghi sensibili nella sanità, nell’istruzione, nel lavoro, nei servizi essenziali, nelle infrastrutture, nelle attività di polizia, nella gestione delle frontiere e nella giustizia; rischio di trasparenza, che comprende sistemi conversazionali e contenuti artificiali per i quali deve essere resa riconoscibile la partecipazione dell’IA; rischio minimo o nullo, nel quale rientrano, per esempio, filtri contro i messaggi indesiderati e videogiochi che non producono conseguenze rilevanti sui diritti.
L’identificazione biometrica remota in tempo reale negli spazi accessibili al pubblico non è stata vietata senza eccezioni (ossia il riconoscimento automatico delle persone tramite volto o altri dati biometrici, effettuato in diretta in luoghi pubblici, è generalmente vietato, ma può essere usato in casi eccezionali e rigorosamente autorizzati, per esempio per cercare una persona scomparsa o prevenire un grave pericolo). L’impiego da parte delle Forze dell’ordine è stato sottoposto a un divieto generale, ma il testo ha previsto deroghe circoscritte, autorizzazioni preventive e condizioni rigorose per la ricerca di vittime, la prevenzione di minacce gravi o l’individuazione di persone sospettate di determinati reati. Sono state invece proibite, tra le altre pratiche, la raccolta indiscriminata di fotografie da Internet o da sistemi di videosorveglianza per ampliare archivi di riconoscimento facciale e alcune forme di classificazione biometrica basate su caratteristiche personali protette.
L’applicazione è stata programmata per tappe. Dal 2 febbraio 2025 hanno prodotto effetti la definizione giuridica dei sistemi di intelligenza artificiale, gli obblighi di alfabetizzazione e i primi divieti riguardanti gli utilizzi considerati incompatibili con i valori europei. Le aziende e gli Enti pubblici hanno dovuto adottare misure proporzionate affinché il personale incaricato di scegliere, gestire o utilizzare questi strumenti disponesse di competenze adeguate alle mansioni svolte e ai rischi prevedibili.
Il 2 agosto 2025 sono divenuti applicabili gli obblighi destinati ai fornitori dei modelli per finalità generali. Le imprese devono predisporre documentazione tecnica, comunicare informazioni sufficienti agli sviluppatori che incorporano il modello nei propri servizi, adottare una politica rispettosa del diritto d’autore e pubblicare una sintesi dei contenuti impiegati nell’addestramento. Per i modelli più potenti si sono aggiunte valutazioni periodiche, prove avversarie, protezioni informatiche, segnalazione degli incidenti e misure dirette a ridurre pericoli chimici, biologici, radiologici, nucleari, informatici, manipolativi o collegati alla perdita del controllo umano.
Il Codice di buone pratiche per i GPAI, pubblicato il 10 luglio 2025, è rimasto uno strumento volontario, ma ha consentito ai sottoscrittori di dimostrare più facilmente il rispetto delle prescrizioni sulla trasparenza, sul diritto d’autore, sulla sicurezza e sui rischi sistemici. Hanno aderito, tra gli altri, Amazon, Anthropic, Google, IBM, Microsoft, Mistral AI e OpenAI. Meta non figura fra i firmatari di questo specifico codice, mentre ha partecipato al diverso Codice sulla trasparenza dei contenuti generati dall’intelligenza artificiale. OpenAI, attraverso Tom Duff Gordon (vicepresidente della società per le politiche riguardanti Europa, Medio Oriente e Africa), ha riferito di avere collaborato con la Commissione e con l’ecosistema tecnologico per l’attuazione delle nuove disposizioni.
Il passaggio decisivo si è verificato domenica 2 agosto 2026. Da quella data la Commissione, attraverso l’Ufficio europeo per l’IA, e le autorità dei singoli Stati hanno potuto avviare la vigilanza formale, accertare le violazioni e applicare le sanzioni. Nello stesso momento sono entrate nella fase applicativa le prescrizioni dell’articolo 50 sulla trasparenza. I chatbot (programmi automatici capaci di sostenere una conversazione) e gli assistenti interattivi devono informare chiaramente l’utente che non sta comunicando con una persona. I deepfake (immagini, registrazioni sonore o filmati realistici creati o modificati artificialmente) devono essere etichettati e i contenuti sintetici devono incorporare marcature leggibili dai dispositivi elettronici, così da facilitarne il riconoscimento.
L’obbligo riguarda anche determinati testi generati o manipolati e diffusi per informare il pubblico su questioni di interesse generale. È prevista un’eccezione quando il materiale è stato sottoposto a effettiva revisione umana e una persona o un’organizzazione ne ha assunto la responsabilità editoriale. Il codice europeo sulla trasparenza, elaborato da esperti indipendenti e sostenuto da oltre 180 organizzazioni, ha fornito procedure tecniche e simboli comuni per rendere visibile l’origine artificiale dei contenuti, ma la sua adesione volontaria non ha sostituito gli obblighi giuridici.
La vigilanza è stata distribuita tra l’Ufficio europeo per l’IA, il Garante europeo della protezione dei dati e le autorità nazionali. Il primo è competente soprattutto per i modelli per finalità generali, per i sistemi sviluppati dagli stessi fornitori e per quelli integrati nelle maggiori piattaforme e nei motori di ricerca. Può chiedere documenti e informazioni, effettuare valutazioni, ottenere l’accesso ai modelli tramite propri tecnici o esperti indipendenti, svolgere ispezioni e imporre misure correttive. Nei casi più seri può domandare al fornitore di limitare la disponibilità pubblica di un modello. Sono stati attivati anche canali per i reclami dei cittadini, per le segnalazioni riservate dei lavoratori e per le contestazioni presentate dagli sviluppatori che utilizzano modelli realizzati da altre imprese.
L’apparato sanzionatorio ha previsto importi differenziati: fino a 35 milioni di euro o al 7% del fatturato mondiale annuo per le pratiche vietate; fino a 15 milioni o al 3% per le altre infrazioni, comprese quelle riguardanti i modelli per finalità generali; fino a 7,5 milioni o all’1% per informazioni inesatte, incomplete o ingannevoli fornite in relazione a determinati sistemi. La cifra applicabile viene stabilita considerando natura, gravità, durata, intenzionalità e conseguenze dell’inosservanza.
I modelli immessi sul mercato dopo il 2 agosto 2025 sono già soggetti alle prescrizioni previste per la loro categoria. Quelli commercializzati prima di quella data dovranno essere adeguati entro il 2 agosto 2027. Per questo il 2 agosto 2026 non ha rappresentato l’inizio degli obblighi sui modelli generali, ma il momento dal quale la Commissione ha acquisito la possibilità di farli rispettare anche attraverso multe e provvedimenti restrittivi.
Il calendario dei sistemi ad alto rischio è stato invece modificato dal pacchetto denominato Digital Omnibus (insieme di interventi europei per semplificare la legislazione digitale). Il Consiglio ha dato il via libera definitivo il 29 giugno 2026 e le scadenze sono state spostate al 2 dicembre 2027 per i sistemi autonomi utilizzati negli ambiti sensibili e al 2 agosto 2028 per quelli incorporati in prodotti già regolamentati, come dispositivi medici, macchinari, giocattoli e ascensori. Dal 2 dicembre 2026 sarà inoltre vietato generare o manipolare attraverso l’IA materiale intimo non consensuale o contenuti di abuso sessuale su minori.
Per cittadini e imprese europee la conseguenza più immediata consiste nel diritto di conoscere la natura artificiale dell’interlocutore o del contenuto ricevuto. La presenza di un modello sul mercato dell’Unione non costituisce tuttavia una garanzia assoluta di sicurezza. Il regolamento introduce controlli, responsabilità e strumenti di intervento, ma non può eliminare tutti gli errori, le discriminazioni o gli usi illeciti. Una parte dell’industria ha sostenuto che i costi della conformità possano rallentare l’innovazione e posticipare in Europa la distribuzione dei modelli più avanzati. Altri osservatori hanno ritenuto accettabile un eventuale ritardo quando serve a rafforzare la protezione degli utenti.
Michael McNamara (eurodeputato irlandese di Renew Europe) ha avvertito che Washington (capitale degli Stati Uniti) potrebbe interpretare i controlli europei come un’offensiva contro gli interessi commerciali delle imprese statunitensi. Axel Voss (eurodeputato tedesco del PPE, Partito Popolare Europeo) ha invitato Bruxelles (capitale del Belgio e principale sede delle istituzioni dell’Unione) a coordinare l’applicazione dell’AI Act con le altre normative digitali, evitando di disperdere le limitate risorse dell’Ufficio su questioni marginali.
Il confronto ha riguardato anche le priorità della vigilanza. L’etica dell’intelligenza artificiale ha posto al centro discriminazioni, riservatezza, trasparenza e controllo umano. L’altruismo efficace, corrente che valuta le azioni in base alla loro capacità di produrre il maggiore beneficio possibile, ha concentrato l’attenzione sui rischi catastrofici, come attacchi informatici su vasta scala, produzione facilitata di armi biologiche o perdita di controllo sui sistemi. Laura Lazaro Cabrera (direttrice del Center for Democracy & Technology, organizzazione impegnata nella tutela dei diritti digitali) ha chiesto che la Commissione non destini tutte le risorse ai soli scenari estremi, trascurando le violazioni quotidiane dei diritti fondamentali.
Gli episodi emersi nel luglio 2026 hanno reso più concreto il problema della sicurezza. OpenAI ha comunicato che alcuni modelli sottoposti a valutazioni interne hanno sfruttato una vulnerabilità informatica fino ad allora sconosciuta, ottenendo accesso alla rete e raggiungendo sistemi appartenenti alla piattaforma Hugging Face. Anthropic ha successivamente riferito che 3 propri modelli, durante prove eseguite in ambienti configurati in modo errato, hanno avuto accesso a Internet e sono entrati senza autorizzazione nei sistemi di 3 organizzazioni reali. La società ha precisato che non si è trattato di un tentativo deliberato dei modelli di sottrarsi al controllo, ma di una combinazione di istruzioni di prova, accesso alla rete non previsto e protezioni disattivate per finalità di valutazione.
In Italia, la legge 23 settembre 2025, n. 132 ha stabilito principi nazionali per lo sviluppo, la sperimentazione e l’impiego responsabile dell’intelligenza artificiale, imponendo un’interpretazione coerente con il regolamento europeo. L’AgID (Agenzia per l’Italia digitale) e l’ACN (Agenzia per la cybersicurezza nazionale) sono state individuate come autorità nazionali, con compiti distinti nella promozione dell’innovazione, nella vigilanza tecnica e nella sicurezza. Il Consiglio dei ministri ha approvato il 10 giugno 2026 ulteriori provvedimenti di attuazione, precisando che non costituiscono una disciplina alternativa, ma completano l’ordinamento europeo.
Legge 23 settembre 2025, n. 132. In estrema sintesi, la legge ha stabilito che l’intelligenza artificiale deve rimanere uno strumento al servizio della persona, essere utilizzata in modo trasparente, sicuro e non discriminatorio, rispettare la riservatezza e i diritti fondamentali e lasciare sempre all’essere umano la responsabilità delle decisioni. Ha inoltre disciplinato il suo impiego nella sanità, nel lavoro, nelle professioni, nella Pubblica amministrazione e nella giustizia, tutelato il diritto d’autore, promosso la ricerca e la formazione, definito la Strategia nazionale e indicato AgID e ACN quali principali autorità nazionali competenti.
Provvedimenti approvati il 10 giugno 2026. Il Consiglio dei ministri ha approvato in via preliminare 2 schemi di decreto: il primo ha precisato i poteri delle Autorità di controllo e previsto formazione sull’IA per scuole, università, professionisti, dipendenti pubblici e magistrati, vietando che assunzioni, licenziamenti, sanzioni o altre decisioni lavorative siano affidati soltanto a sistemi automatici; il secondo ha regolato l’uso dell’IA da parte delle Forze di polizia, consentendo il riconoscimento biometrico soltanto in casi eccezionali, con autorizzazione giudiziaria e controllo umano, vietando la sorveglianza di massa e introducendo regole più precise sulla responsabilità civile e penale, sulle misure di sicurezza e sulla tutela delle persone danneggiate. Alla data del 3 agosto 2026 sono questi ancora delle proposte di legge in fase di esame: il Parlamento deve esprimere il proprio parere e il Governo deve approvarle definitivamente. Per ora, quindi, non producono obblighi né effetti per cittadini, imprese o amministrazioni.
Anche la giurisprudenza italiana ha iniziato a utilizzare l’AI Act come criterio interpretativo. Il TAR Lazio (Tribunale amministrativo regionale del Lazio), con la sentenza n. 1895 del 2 febbraio 2026, ha affermato che nelle procedure concorsuali automatizzate non può essere sacrificata la “riserva di umanità”. L’algoritmo può assistere l’amministrazione, ma deve rimanere possibile un controllo umano effettivo, capace di verificare, correggere e motivare la decisione. Il Giudice ha richiamato il regolamento come parametro utile anche prima della piena applicazione delle disposizioni riguardanti quella specifica categoria di sistemi.
L’Europa ha così avviato una fase sperimentale destinata ad avere effetti oltre i propri confini. Il cosiddetto “effetto Bruxelles” indica infatti la capacità delle regole europee di trasformarsi in parametri internazionali quando le aziende globali preferiscono applicare standard uniformi anziché realizzare versioni differenti dei propri prodotti. L’efficacia dell’AI Act dipenderà però dalla disponibilità di tecnici qualificati, dalla collaborazione con le Autorità nazionali, dall’aggiornamento degli strumenti di controllo e dalla capacità di bilanciare innovazione, sicurezza e diritti senza considerare la semplice conformità documentale come prova definitiva dell’affidabilità di una tecnologia.
Giornalista pubblicista, ex direttore di una precedente testata e attuale direttore di Mediterranea24.
