AI Act: cosa cambia davvero per chi lavora nel tech

Dal 2 agosto 2026 l’AI Act è entrato in una nuova fase applicativa: sono diventati operativi gli obblighi di trasparenza e sono iniziati i controlli da parte dell’AI Office e delle autorità nazionali.

Il Regolamento europeo è in vigore dal 1° agosto 2024, ma prevede un’applicazione progressiva. Alcuni divieti e gli obblighi di alfabetizzazione sono già validi dal febbraio 2025, mentre le disposizioni sui sistemi ad alto rischio entreranno in applicazione successivamente.

Per software house, system integrator e aziende che sviluppano tecnologie per la Pubblica Amministrazione, il punto non è soltanto conoscere le scadenze. L’AI Act introduce criteri che incidono sul modo in cui i sistemi vengono progettati, documentati, integrati e governati.

Il rischio dipende dall’utilizzo

Il Regolamento classifica i sistemi in base al rischio che il loro impiego può comportare per la sicurezza e i diritti delle persone. Non conta quindi soltanto quale tecnologia venga utilizzata, ma soprattutto per quale finalità e con quali effetti.

Ad esempio un assistente virtuale che fornisce informazioni su un servizio pubblico è soggetto principalmente a obblighi di trasparenza. Un sistema impiegato per determinare l’accesso a prestazioni essenziali, valutare candidati, orientare percorsi educativi o supportare decisioni che incidono sui cittadini può invece rientrare tra quelli ad alto rischio.

Utilizzare un modello sviluppato da terzi non colloca automaticamente il sistema in una fascia più bassa: è il servizio nel quale viene integrato a determinarne la classificazione. 

Sono inoltre già vietati alcuni impieghi considerati incompatibili con i diritti fondamentali, tra cui il social scoring, alcune forme di polizia predittiva e il riconoscimento delle emozioni nei luoghi di lavoro e nelle scuole, salvo specifiche eccezioni.

La trasparenza diventa un requisito del sistema

Dal 2 agosto per chi programma chatbot, agenti virtuali e avatar c’è l’obbligo di informare le persone, fin dal primo contatto, che stanno interagendo con un sistema di intelligenza artificiale, a meno che ciò non sia già evidente. L’informazione deve essere chiara e accessibile: non basta relegarla nei termini di utilizzo.

I sistemi che generano immagini, audio, video o testi devono inoltre predisporre marcature tecniche che rendano gli output rilevabili come artificiali. È un requisito che riguarda ovviamente chi sviluppa e mette in servizio la tecnologia, non un obbligo per l’operatore di aggiungere manualmente un’etichetta a qualsiasi contenuto.

A chi utilizza professionalmente questi sistemi spettano invece alcuni obblighi specifici, per esempio quando diffonde deepfake o pubblica testi generati dall’AI per informare il pubblico su temi di interesse generale.

Questo non significa dichiarare ogni contributo dell’AI alla scrittura. Se un testo è sottoposto a un’effettiva revisione o a un controllo editoriale e una persona o un’organizzazione se ne assume la responsabilità, l’etichettatura non è richiesta. Il punto non è quindi lo strumento utilizzato, ma l’esistenza di un controllo umano sostanziale.

È in questa diversa distribuzione dei compiti che assumono senso le definizioni di provider e deployer: chi sviluppa o mette in servizio il sistema con il proprio nome deve progettarne le misure di conformità; l’amministrazione o l’organizzazione che lo adotta deve governarne l’utilizzo. Nei progetti complessi, ruoli e responsabilità devono essere definiti anche nei contratti.

Alto rischio: più tempo per prepararsi

Il recente AI Omnibus ha rinviato al 2 dicembre 2027 l’applicazione delle regole per i sistemi ad alto rischio utilizzati in ambiti come occupazione, istruzione, servizi essenziali, biometria, migrazione e giustizia. Per i sistemi incorporati in prodotti regolamentati, compresi alcuni dispositivi medici e macchinari, la scadenza è il 2 agosto 2028.

Il rinvio non rappresenta però una zona franca. Requisiti come qualità e governo dei dati, documentazione tecnica, registrazione delle attività, supervisione umana, accuratezza, robustezza e cybersicurezza richiedono scelte che devono essere compiute già durante la progettazione.

Per le amministrazioni diventeranno centrali anche il monitoraggio del sistema, la conservazione dei log, l’individuazione di persone competenti per la supervisione e, nei casi previsti, la valutazione dell’impatto sui diritti fondamentali prima dell’adozione.

Anche le competenze fanno parte di questo percorso. L’AI Act richiede misure di alfabetizzazione calibrate sulle persone, sui sistemi utilizzati e sui rischi connessi, senza imporre un unico corso o un modello formativo standard.

La conformità dunque non come aggiunta di fine del progetto ma come un adempimento amministrativo. Deve entrare nel ciclo di vita del software, nelle interfacce, nei contratti, nella gestione dei dati e nei processi decisionali. È qui che l’AI Act diventa una questione di qualità dei sistemi e di affidabilità dei servizi pubblici digitali.

©️ Riproduzione riservata

Foto: iStock / WANAN YOSSINGKUM