Punti chiave

• L'Act definisce quattro classi di rischio: inaccettabile (vietato), alto (regolamentato), limitato (obblighi di trasparenza) e minimo (volontario).
• Le regole sui sistemi AI ad alto rischio diventano pienamente applicabili il 2 agosto 2026, con obblighi importanti per i fornitori tra cui gestione del rischio, governance dei dati e valutazione di conformità.
• I modelli General-Purpose AI (GPAI) hanno regole dedicate. I modelli sopra una soglia di calcolo di circa 10^25 FLOPs si presume pongano un rischio sistemico e affrontano obblighi più stringenti.
• Sanzioni massime: 35 milioni di euro o il 7% del fatturato annuo globale per pratiche vietate; 15 milioni di euro o il 3% per non conformità ad alto rischio.
• L'infrastruttura AI sovrana on-premise affronta simultaneamente AI Act, GDPR Capo V e NIS2 — un'alternativa strutturalmente conforme agli LLM cloud USA.

A chi si rivolge questa guida

• CISO e CIO che valutano opzioni di deployment AI sotto il nuovo quadro normativo.
• DPO e responsabili compliance che mappano casi d'uso AI contro le quattro classi di rischio.
• Responsabili AI governance che progettano i processi di inventario, classificazione e documentazione.
• Team procurement che negoziano contratti con fornitori AI e valutano l'esposizione al rischio sistemico.

L'EU AI Act è la prima grande regolamentazione orizzontale sull'intelligenza artificiale al mondo. Si applica ai sistemi AI immessi sul mercato, messi in servizio o utilizzati all'interno dell'Unione Europea, indipendentemente da dove sia stabilito il fornitore. Come il GDPR, ha portata extraterritoriale esplicita.

Il regolamento adotta un approccio risk-based: invece di regolamentare l'AI in modo uniforme, classifica i sistemi in quattro livelli e impone requisiti proporzionati a ciascun livello. La maggior parte dell'uso AI aziendale ricade nelle categorie limitato o minimo con solo obblighi di trasparenza, ma un sottoinsieme significativo — qualsiasi cosa usata in occupazione, credito, istruzione, applicazione della legge, identificazione biometrica e diversi altri domini sensibili — attiva l'intero regime ad alto rischio.

Oltre ai livelli di rischio, l'Act introduce un capitolo dedicato separato per i modelli di AI a uso generale, riconoscendo che i foundation model presentano rischi non legati a un caso d'uso specifico ma alle capacità del modello stesso. I fornitori di modelli GPAI sopra una soglia di calcolo affrontano obblighi aggiuntivi di valutazione del modello, test avversariale e segnalazione incidenti.

La caratteristica distintiva dell'Act è la sua architettura risk-based. Ogni sistema AI in ambito deve essere classificato in uno dei quattro livelli, e gli obblighi scalano di conseguenza. Le cifre sotto sono ordini di grandezza illustrativi — la distribuzione effettiva varia per settore, ma il rischio minimo domina.

L'Articolo 5 dell'AI Act elenca categorie di sistemi AI completamente vietati in tutta l'Unione Europea. I divieti sono entrati in vigore il 2 febbraio 2025 e si applicano indipendentemente da qualsiasi beneficio commerciale o operativo. Non sono sistemi ad alto rischio con obblighi — sono categoricamente proibiti.

• Tecniche subliminali oltre la coscienza o tecniche intenzionalmente manipolatorie che distorcono materialmente il comportamento e causano danno.
• Sfruttamento di vulnerabilità di gruppi specifici (età, disabilità, situazione socio-economica) per distorcere materialmente il comportamento.
• Scoring sociale da parte di autorità pubbliche o per loro conto, che porta a trattamento detrimentale in contesti non correlati.
• Polizia predittiva basata esclusivamente sul profiling o valutazione di tratti della personalità.
• Scraping non mirato di immagini facciali da Internet o CCTV per costruire database di riconoscimento facciale.
• Riconoscimento delle emozioni in luoghi di lavoro e istituzioni educative, eccetto per ragioni mediche o di sicurezza.
• Sistemi di categorizzazione biometrica che inferiscono razza, opinioni politiche, appartenenza sindacale, convinzioni religiose o filosofiche, vita sessuale o orientamento sessuale.
• Identificazione biometrica remota in tempo reale in spazi accessibili al pubblico per applicazione della legge, con eccezioni strette e strettamente controllate.

I sistemi AI ad alto rischio sono elencati nell'Allegato III dell'Act. Coprono otto settori dove l'uso dell'AI comporta rischi significativi per salute, sicurezza o diritti fondamentali. Dal 2 agosto 2026, i fornitori di sistemi ad alto rischio devono conformarsi pienamente agli obblighi degli Articoli 8-15 prima di immetterli sul mercato UE.

I fornitori di sistemi ad alto rischio affrontano otto categorie di obblighi sostanziali. Non sono opzionali. Devono essere in atto prima che il sistema sia immesso sul mercato o messo in servizio, e devono essere mantenuti continuamente lungo tutto il ciclo di vita del sistema. La valutazione di conformità ai sensi dell'Articolo 43 verifica che gli obblighi siano soddisfatti.

L'AI Act crea un regime parallelo per i modelli General-Purpose AI (GPAI) — foundation model addestrati su grandi dataset con ampie capacità non legate a un caso d'uso specifico. Le regole si applicano ai fornitori dei modelli stessi, indipendentemente da come i deployer downstream li usino. Ci sono due livelli.

L'AI Act stabilisce una struttura sanzionatoria a tre livelli. Le autorità degli Stati Membri emettono sanzioni secondo il loro diritto nazionale, ma i massimi sono fissati a livello UE. Le sanzioni più alte colpiscono le pratiche vietate; la struttura rispecchia il GDPR ma i tetti sono più alti.

Per le organizzazioni che operano in Europa, l'AI Act non esiste in isolamento. Si sovrappone con GDPR (protezione dati), NIS2 (cybersicurezza) e il prossimo Cyber Resilience Act. Quando un sistema AI tratta dati personali tramite un cloud provider non-UE, il soggetto deve soddisfare tutti e quattro i regimi simultaneamente. L'AI sovrana on-premise è l'unica architettura che soddisfa tutti e quattro per costruzione.

La maggior parte delle imprese è ancora all'inizio del proprio percorso AI Act. Le fasi sotto descrivono cosa dovrebbe essere in atto oggi, cosa dovrebbe essere operativo entro agosto 2026 e come appare la pratica continua oltre.

Metis è una piattaforma di intelligenza artificiale generativa sovrana, on-premise, costruita attorno al triangolo di compliance europeo: AI Act, GDPR e NIS2. Mentre gli LLM cloud USA richiedono controlli contrattuali e tecnici continui per restare conformi, Metis è conforme per architettura.

Prossimi passi

1. Prenota una valutazione di prontezza all'AI Act con il nostro team compliance.
2. Richiedi una demo dell'appliance Metis on-premise e delle sue funzionalità di reportistica di compliance.
3. Ottieni una copia del nostro pacchetto di documentazione di sicurezza e compliance Metis.