Cluster · AI Act quando entra in vigore
AI Act: quando entra in vigore e cosa cambia
Il calendario dell'AI Act spiegato: cosa è già operativo, cosa arriva dopo e cosa deve fare un'azienda italiana adesso.
Tempo di lettura: 8 min
Guida operativa · AI Act e conformità
L'AI Act non è scattato tutto in un giorno. L'applicazione è scaglionata: prima i divieti, poi le regole sui modelli di uso generale, infine gli obblighi pieni per i sistemi ad alto rischio. La logica è semplice — dove basta smettere di fare una cosa il tempo non serve, dove bisogna costruire una struttura di conformità il tempo serve eccome.
Per un'azienda italiana la domanda pratica non è «quando entra in vigore», ma «c'è una data che riguarda me?». Nella maggior parte dei casi la risposta è no, e questo articolo serve a stabilirlo in dieci minuti invece che restare nel dubbio per mesi.
In sintesi
- Il regolamento è vigente; ad applicarsi per fasi sono i singoli gruppi di obblighi.
- I divieti sulle pratiche inaccettabili sono la prima fascia a diventare operativa.
- Le regole sui modelli di uso generale riguardano soprattutto chi li produce, non chi li usa.
- Gli obblighi per l'alto rischio hanno i tempi più lunghi, perché richiedono strutture reali.
- Se i tuoi sistemi sono a rischio minimo, non hai scadenze da rispettare.
- Le date sono state oggetto di revisioni: verifica sempre la fonte ufficiale europea.
Perché l'applicazione è a fasi
Un regolamento europeo può entrare in vigore subito e applicarsi dopo. È esattamente quello che succede qui, e non è un cavillo: è una scelta di proporzionalità.
Vietare il social scoring o la manipolazione dannosa non richiede preparazione. Un'organizzazione che fa quelle cose deve smettere, e il periodo transitorio servirebbe solo a prolungare il danno.
Costruire un sistema di gestione del rischio per un dispositivo ad alto rischio è tutt'altro lavoro: significa documentazione tecnica, tracciabilità dei dati di addestramento, procedure di sorveglianza umana, registrazione degli eventi, valutazione di conformità. Sono mesi di lavoro e competenze che molte organizzazioni stanno ancora costruendo.
L'ordine delle fasi
| Fase | Cosa riguarda | Chi tocca davvero |
|---|---|---|
| Divieti | Pratiche a rischio inaccettabile | Chiunque, ma raramente una PMI normale |
| Modelli di uso generale | Obblighi per chi produce modelli general purpose | I grandi fornitori di modelli, non chi li usa |
| Alto rischio | Obblighi pieni di conformità | Fornitori e utilizzatori di sistemi in aree sensibili |
| Trasparenza | Dichiarare che è AI | Chi ha chatbot, agenti, contenuti generati |
Il punto che le aziende faticano a mettere a fuoco è il secondo. Quando si legge «obblighi per i modelli di uso generale» si pensa a sé stessi perché si usa un assistente generico. Ma quegli obblighi ricadono su chi il modello lo produce e lo immette sul mercato, non su chi apre l'app e scrive un prompt.
Cosa deve fare un'azienda italiana, e quando
Il percorso pratico dipende interamente dalla fascia in cui ricadono i tuoi sistemi — argomento trattato in i quattro livelli di rischio.
Hai scadenze se…
- Sviluppi o rivendi sistemi AI col tuo marchio
- Usi l'AI per decidere su assunzioni, credito, valutazione di persone
- Operi in settori elencati come alto rischio
Non hai scadenze se…
- Usi assistenti generici per attività interne
- Automatizzi processi che non decidono su persone
- I tuoi sistemi ricadono nel rischio minimo
Nella colonna di destra ci finisce la maggior parte delle PMI italiane. Non significa «non fare niente»: significa che il lavoro da fare non ha una scadenza normativa, e puoi organizzarlo con calma.
Esempi pratici
Studio professionale che usa assistenti AI per bozze e riassunti. Nessuna scadenza AI Act. Il lavoro utile è un'altra cosa: capire quali documenti finiscono in strumenti esterni, perché lì il tema è il GDPR — vedi GDPR e AI in azienda.
E-commerce con assistente clienti attivo da un anno. L'obbligo di trasparenza va sistemato, e richiede quindici minuti: una riga che dichiara la natura automatica dell'assistente e un percorso verso un operatore. Non c'è motivo di aspettare una data per farlo.
Software house che vende un modulo di scoring ai clienti. Qui le scadenze contano sul serio. Il modulo incide su decisioni relative a persone, l'azienda è fornitore, e la conformità richiede mesi di preparazione. Questo è il caso in cui mettere le date a calendario e costruire un piano, non leggere un articolo.
Cosa conviene fare adesso, a prescindere dalle date
C'è una parte di lavoro che ha senso a prescindere dal calendario, perché serve all'azienda prima che al legislatore. È anche la parte che, se fatta ora, rende irrilevante qualunque revisione delle scadenze.
- Censire gli strumenti realmente in uso, compresi quelli che nessuno ha autorizzato. È il passaggio che rivela la situazione vera.
- Verificare i piani attivi dei servizi usati: le condizioni sui dati cambiano molto tra versione gratuita e business.
- Sistemare la trasparenza dove l'AI parla con clienti o candidati. Costa quindici minuti.
- Scrivere due pagine di policy interna con le regole essenziali.
- Annotare chi controlla cosa nei processi dove l'AI supporta decisioni.
Nessuno di questi punti dipende da una data. Tutti riducono il rischio reale — che, come visto in sanzioni dell'AI Act, per una PMI si manifesta più spesso come contratto perso che come multa.
Perché il calendario è stato oggetto di discussione
Vale la pena saperlo, perché spiega perché le fonti divergono. L'applicazione dell'AI Act ha generato un dibattito ampio sulla sostenibilità delle scadenze, in particolare per gli obblighi che richiedono standard tecnici e linee guida non ancora completamente disponibili al momento in cui gli obblighi maturano.
Questo ha prodotto due effetti pratici per chi cerca informazioni:
Fonti affidabili
- Testo del regolamento in Gazzetta ufficiale dell'Unione
- Comunicazioni ufficiali della Commissione
- Documenti delle autorità nazionali competenti
Fonti da verificare
- Infografiche con date, spesso non aggiornate
- Articoli divulgativi senza riferimento normativo
- Materiali commerciali che vendono adempimenti
Il criterio pratico resta quello di sempre: prima capisci in che fascia sei, poi guardi se esiste una data che ti riguarda. Nella maggior parte dei casi il primo passaggio chiude la questione, come spiegato in obblighi AI Act per le PMI e in AI per aziende: guida completa.
Errori da evitare
- Fidarsi di infografiche con date. Alcune scadenze sono state discusse e riviste: la fonte primaria è l'unica affidabile.
- Pensare che gli obblighi sui modelli general purpose riguardino chi li usa. Riguardano chi li produce.
- Aspettare la scadenza per fare l'inventario. L'inventario costa poche ore e nella maggior parte dei casi chiude la questione con esito tranquillizzante.
- Comprare pacchetti di conformità senza aver classificato. È il modo più efficace per pagare adempimenti che non ti competono.
- Ignorare i regimi transitori se hai sistemi già operativi ad alto rischio. È l'area più tecnica e quella dove serve davvero un parere.
Come applicarlo in azienda
Tre passaggi, in quest'ordine:
- Inventario dei sistemi AI realmente usati, comprese le abitudini informali dei collaboratori.
- Classificazione di ciascuno per fascia di rischio. Se escono tutti «minimo», non hai scadenze e puoi archiviare il tema.
- Calendario solo per quelli che risultano ad alto rischio, con un piano vero dietro ogni data.
Il passaggio 2 è quello che risolve. La sensazione diffusa di «dover fare qualcosa entro una data» quasi sempre si dissolve appena si guarda cosa si usa davvero. Il metodo completo è in AI Act: la guida per le aziende e in come valutare i rischi di un sistema AI.
Chi deve tenere davvero un calendario
Vale la pena chiudere il cerchio su chi, concretamente, ha bisogno di date a calendario invece che di un semplice inventario.
Sono tre profili. Le aziende che sviluppano e vendono sistemi AI ad altri, perché gli obblighi da fornitore richiedono mesi di preparazione e vanno pianificati. Le aziende che usano l'AI in aree elencate come alto rischio, tipicamente selezione del personale, valutazione creditizia, gestione di servizi essenziali. Le aziende che partecipano a gare o forniture verso soggetti strutturati, dove la conformità viene chiesta contrattualmente prima ancora che dalla norma.
Chi non rientra in nessuno di questi tre profili non ha bisogno di un calendario: ha bisogno di sapere cosa usa. Ed è un lavoro che si fa in un pomeriggio, senza consulenze, seguendo il metodo descritto in come valutare i rischi di un sistema AI.
Conclusione
L'AI Act arriva per gradi, e i gradi che pesano davvero riguardano chi costruisce sistemi che incidono sulle persone. Per tutti gli altri il calendario è meno drammatico di come viene raccontato: nessuna scadenza, e un lavoro di chiarezza interna che conviene fare comunque.
La regola pratica: prima classifica, poi guarda le date. Farlo nell'ordine inverso produce solo ansia e preventivi inutili.
Se vuoi capire quali processi della tua azienda possono essere automatizzati con l'AI, Giallo Studio può aiutarti a trasformare il problema in un workflow reale.
Schema consigliato: Article + FAQPage + BreadcrumbList
Risorse correlate
FAQ
L'AI Act è già in vigore?
Il regolamento è entrato in vigore ed è pienamente vigente come atto normativo. Quello che avviene per fasi è l'applicazione dei singoli capi: prima i divieti sulle pratiche inaccettabili, poi le regole sui modelli di uso generale, infine gli obblighi per i sistemi ad alto rischio. Verifica sempre il calendario ufficiale aggiornato, perché sono previsti atti attuativi e linee guida in evoluzione.
Perché l'applicazione è scaglionata?
Perché gli obblighi hanno peso molto diverso. Vietare una pratica dannosa non richiede preparazione: si smette. Costruire un sistema di gestione del rischio con documentazione tecnica e audit richiede mesi di lavoro e strutture che molte organizzazioni non hanno ancora. Il legislatore ha dato tempo dove il tempo serve davvero.
La mia azienda deve fare qualcosa entro una data precisa?
Dipende dalla fascia di rischio dei tuoi sistemi. Se usi strumenti a rischio minimo, non hai scadenze da rispettare. Se hai sistemi che parlano con i clienti, l'obbligo di trasparenza è di quelli semplici e conviene sistemarlo subito. Se hai sistemi ad alto rischio, quelle sì sono scadenze da mettere a calendario con un piano dietro.
Cosa succede ai sistemi già in uso prima delle scadenze?
Il regolamento prevede regimi transitori differenziati a seconda del tipo di sistema e del momento in cui è stato immesso sul mercato. È uno degli aspetti più tecnici e con maggiori rinvii ad atti successivi: se hai sistemi ad alto rischio già operativi, è il punto su cui conviene un parere specifico invece di una lettura fai da te.
Conviene aspettare le scadenze per muoversi?
No, ma non per motivi sanzionatori. Il lavoro utile — sapere quali sistemi AI usi, su quali dati, con che finalità — serve comunque, richiede poche ore e nella maggior parte dei casi si chiude scoprendo di essere tranquilli. Aspettare significa solo scoprire tardi se invece c'è qualcosa da sistemare.
Dove trovo il calendario ufficiale aggiornato?
Sui canali istituzionali europei, in particolare il testo del regolamento pubblicato in Gazzetta ufficiale dell'Unione e le comunicazioni della Commissione. Diffida delle infografiche di seconda mano: le date sono state oggetto di discussione e alcune previsioni sono state riviste, quindi la fonte primaria è l'unica affidabile.