Il Regolamento UE sull'IA (Regolamento 2024/1689) è il primo quadro giuridico completo sull'intelligenza artificiale al mondo. Si applica per livelli: pratiche vietate da febbraio 2025, norme GPAI da agosto 2025 e obblighi per i sistemi AI ad alto rischio da dicembre 2027 (Allegato III) e agosto 2028 (Allegato I) dopo le modifiche dell'omnibus 2026.
Cos'è il Regolamento UE sull'IA?
Il Regolamento UE sull'IA (Regolamento (UE) 2024/1689) è il primo quadro giuridico orizzontale completo al mondo per l'intelligenza artificiale. È entrato in vigore il 1° agosto 2024 e si applica progressivamente in quattro livelli di rischio.
Il Regolamento adotta un approccio basato sul rischio: più elevato è il danno potenziale, più severi sono gli obblighi. Non disciplina tutti i software — solo i sistemi che si qualificano come IA ai sensi della definizione di cui all'Art. 3(1) e all'Allegato I, che comprende l'apprendimento automatico, gli approcci basati sulla logica e sulla conoscenza e i modelli statistici.
Chi deve conformarsi?
Il Regolamento sull'IA si applica a quattro categorie di soggetti:
- Fornitori — organizzazioni che sviluppano sistemi AI o modelli di IA per uso generale e li immettono sul mercato UE o li mettono in servizio nell'UE
- Deployer — organizzazioni o persone fisiche che utilizzano sistemi AI sotto la propria responsabilità in un contesto professionale
- Importatori — soggetti stabiliti nell'UE che importano sistemi AI da paesi terzi
- Distributori — soggetti nella catena di approvvigionamento diversi dai fornitori e dagli importatori
Portata geografica: il Regolamento si applica ogni volta che l'output del sistema AI è utilizzato nell'UE, indipendentemente dall'ubicazione del fornitore. Un fornitore con sede negli USA il cui sistema AI è utilizzato da aziende europee rientra nell'ambito di applicazione.
I quattro livelli di rischio
| Livello di rischio | Ambito | Regola principale |
|---|---|---|
| Rischio inaccettabile | IA manipolativa, social scoring, identificazione biometrica in tempo reale, riconoscimento delle emozioni sul lavoro | Vietato — Art. 5 |
| Alto rischio | Allegato III (autonomo) e Allegato I (integrato in prodotti regolamentati) | Valutazione della conformità, SGQ, marcatura CE, registrazione |
| Rischio limitato | Chatbot, deepfake, contenuti generati dall'IA | Obblighi di trasparenza — gli utenti devono sapere |
| Rischio minimo | Filtri antispam, IA nei videogiochi, sistemi di raccomandazione | Nessun obbligo obbligatorio |
Cronologia di applicazione
| Obbligo | Si applica dal |
|---|---|
| Pratiche vietate (Art. 5) | 2 febbraio 2025 |
| Norme GPAI — Capitolo 5 | 2 agosto 2025 |
| Codici di condotta per GPAI | 2 agosto 2025 |
| IA ad alto rischio — Allegato III autonomo | 2 dicembre 2027 (prorogato dall'omnibus 2026) |
| IA ad alto rischio — Allegato I integrato | 2 agosto 2028 (prorogato dall'omnibus 2026) |
Il Digital Omnibus 2026 sull'IA ha prorogato le due scadenze per i sistemi AI ad alto rischio rispettivamente di 16 e 24 mesi, senza modificare gli obblighi stessi.
Sistemi AI ad alto rischio: cosa determina gli obblighi completi?
Un sistema AI è ad alto rischio ai sensi dell'Allegato III se rientra in uno di questi otto ambiti:
- Identificazione biometrica e categorizzazione
- Gestione delle infrastrutture critiche (energia, acqua, trasporti)
- Istruzione e formazione professionale (decisioni di accesso, valutazioni)
- Occupazione — assunzione, valutazione delle prestazioni, decisioni di promozione
- Servizi privati e pubblici essenziali (scoring creditizio, assicurazioni, servizi di emergenza)
- Attività di contrasto (valutazione del rischio, valutazione delle prove)
- Migrazione, asilo, controllo delle frontiere
- Amministrazione della giustizia e processi democratici
Si applica un filtro aggiuntivo (Art. 6(3)): i sistemi dell'Allegato III devono presentare un rischio significativo di danno per la salute, la sicurezza o i diritti fondamentali. Gli strumenti AI a basso rischio in questi settori possono essere esclusi.
Principali obblighi di conformità per i fornitori di IA ad alto rischio
- Sistema di gestione del rischio (Art. 9) — processo continuo durante l'intero ciclo di vita
- Governance dei dati (Art. 10) — i set di dati di addestramento, validazione e test devono essere adeguati
- Documentazione tecnica (Art. 11 + Allegato IV) — prima dell'immissione sul mercato
- Trasparenza e registrazione (Art. 12–13) — registrazione automatica, istruzioni per gli utenti
- Supervisione umana (Art. 14) — misure che consentono agli esseri umani di monitorare e intervenire
- Accuratezza, robustezza, sicurezza informatica (Art. 15)
- Sistema di gestione della qualità (Art. 17)
- Valutazione della conformità (Art. 43) — terza parte per alcune categorie
- Registrazione nella banca dati AI dell'UE (Art. 71)
- Marcatura CE (Art. 48) prima dell'immissione sul mercato
Convergenza con DORA e NIS2
Gli istituti finanziari affrontano obblighi sovrapposti tra il Regolamento sull'IA, DORA e NIS2. Il sistema di gestione del rischio del Regolamento sull'IA (Art. 9) si collega strettamente al quadro di gestione del rischio ICT di DORA (Art. 5–16). La documentazione a doppia mappatura riduce l'onere di conformità. Consultate la nostra analisi di convergenza →.
Official AI Act Compliance Deadline Calendar
Updated · Sources: Regulation (EU) 2024/1689 and the 2026 Digital Omnibus on AI.
| Obligation | Applies to | Original date | New date | Status | Countdown | Legal basis |
|---|---|---|---|---|---|---|
| Prohibited Practices (Art. 5) | All providers and deployers | active | — | AI Act Art. 5 | ||
| GPAI Rules (Chapter 5) | GPAI model providers | active | — | AI Act Art. 51-56 | ||
| High-risk AI — Annex III (standalone) | Providers of standalone Annex III systems | deferred | — | AI Omnibus 2026 Art. 6(2) | ||
| High-risk AI — Annex I (embedded) | AI embedded in Annex I regulated products | deferred | — | AI Omnibus 2026 Art. 6(1) | ||
| AI-Generated Content Marking | Providers of generative GPAI systems | active | — | AI Act Art. 50(2) | ||
| Regulatory Sandboxes | National competent authorities | active | — | AI Act Art. 57 |
⬇ Download JSON · CC BY 4.0
AI Act meets DORA and NIS2
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth — including what the AI Act adds on top of an existing DORA programme.
The AI Act for financial institutions ↗ Explore regulation-dora.eu ↗Frequently Asked Questions
Il Regolamento sull'IA si applica per livelli. Pratiche vietate (Art. 5): 2 febbraio 2025. Norme GPAI: 2 agosto 2025. Sistemi AI ad alto rischio autonomi (Allegato III): 2 dicembre 2027 (prorogato dall'omnibus 2026). Sistemi AI ad alto rischio integrati in prodotti regolamentati (Allegato I): 2 agosto 2028.
Il Regolamento sull'IA si applica ai fornitori (che sviluppano o immettono sistemi AI sul mercato UE), ai deployer (che utilizzano sistemi AI in contesti professionali), agli importatori e ai distributori. Si applica ogni volta che l'output del sistema AI è utilizzato nell'UE, indipendentemente da dove è stabilito il fornitore.
Le sanzioni variano in base alla violazione: fino a €35 milioni o 7% del fatturato annuo mondiale per le violazioni delle pratiche vietate; fino a €15 milioni o 3% per la maggior parte delle altre violazioni; fino a €7,5 milioni o 1,5% per la fornitura di informazioni non corrette.
Il Regolamento sull'IA e il GDPR sono normative distinte che interagiscono. Il GDPR disciplina il trattamento dei dati personali; il Regolamento sull'IA disciplina i sistemi AI indipendentemente dal fatto che trattino dati personali. Molti sistemi AI ad alto rischio che trattano dati personali devono rispettare entrambe le normative.
Stay ahead of AI Act changes
Get compliance alerts when deadlines or obligations change.
No spam. One-click unsubscribe.
Take compliance further with the AI Act Academy
Templates, training modules, and live Q&A — everything needed to implement AI Act compliance.