La data che cambia tutto
Il 2 agosto 2026 è la data più importante nella governance AI globale dal GDPR del 2018. Oggi entrano in vigore gli obblighi più pesanti dell'EU AI Act: le regole per i sistemi AI high-risk (Allegato III), gli obblighi di trasparenza dell'Article 50, le conformity assessment, il CE marking, e i poteri di enforcement dell'AI Office europeo e delle autorità nazionali degli Stati membri.
La portata è enorme: chiunque metta sul mercato europeo o utilizzi un sistema AI classificato high-risk deve conformarsi agli Articoli 9-17 (requisiti dei provider) e 26 (requisiti dei deployer). Non c'è una soglia dimensionale: una piccola banca regionale con 800 milioni di asset e un modello AI per l'affidabilità mutui ha gli stessi obblighi di una grande banca universitaria.
Le penalty: più del GDPR
L'EU AI Act non usa mezzi termini sulle sanzioni. L'Article 99 prevede:
- Prohibited practices (Article 5): fino a 35 milioni di euro o 7% del fatturato globale annuo, a seconda di quale sia maggiore. Include manipulation, exploitation of vulnerabilities, social scoring, biometric categorisation non autorizzata.
- High-risk non-compliance: fino a 15 milioni di euro o 3% del fatturato globale, a seconda di quale sia maggiore.
- Misleading information: fino a 7,5 milioni di euro o 1% del fatturato.
Per contesto: il GDPR fissa un tetto del 4% del fatturato. L'EU AI Act arriva al 7%, superando deliberatamente il GDPR come deterrente. Per un'azienda con 1 miliardo di euro di ricavi, l'esposizione massima raggiunge 70 milioni di euro. Come nota Legalithm: "Non è un refuso. È una scelta politica."
Il 78% non è pronto
Secondo il 2026 EU AI Act Readiness Report di Vision Compliance, condotto su organizzazioni in otto settori europei — financial services, healthcare, technology, manufacturing, energy, retail, telecommunications, e transport — il 78% delle organizzazioni non ha compiuto passi significativi verso la compliance. Il problema più grave è la disinformazione: molte aziende credono di avere tempo fino a dicembre 2027 perché a giugno 2026 è circolata la notizia del "Digital Omnibus" che proponeva un rinvio.
Ma il rinvio non è stato approvato. Il Cloud Security Alliance conferma: "Nonostante la proposta della Commissione Europea di novembre 2025 di ritardare alcune deadline al 2027, questa estensione non è stata enacted in legge e le aziende dovrebbero trattare agosto 2026 come la deadline operativa."
Il numero più rivelatore: il 52% delle organizzazioni non riesce a produrre un inventario basilare dei sistemi AI che utilizza. Non sanno nemmeno cosa hanno. E non puoi conformare quello che non conosci.
Cosa sono i sistemi high-risk?
L'Article 6 dell'EU AI Act definisce due categorie di sistemi high-risk:
Article 6(1): Sistemi AI che sono componenti di sicurezza, o essi stessi prodotti, coperti dalle normative di armonizzazione UE elencate nell'Allegato I (es. medical devices, machinery, veicoli, ascensori) e che richiedono una conformity assessment di terze parti.
Article 6(2) e Allegato III: Sistemi AI in otto aree ad alto rischio:
- Biometria: identificazione e categorizzazione biometrica, riconoscimento facciale in spazi pubblici
- Infrastrutture critiche: gestione di reti di erogazione di acqua, energia, gas
- Educazione: sistemi di valutazione, ammissione, orientamento
- Employment: screening CV, valutazione prestazioni, promozioni
- Servizi essenziali: scoring creditizio, valutazione assicurativa, rischio sanitario
- Law enforcement: valutazione rischio criminalità, evidenza in tribunale
- Migrazione e asilo: controllo documenti, valutazione richiedenti asilo
- Giustizia: ricerca jurisprudenza, interpretazione legale
Cosa richiede la compliance?
Per i sistemi high-risk, gli obblighi coprono l'intero ciclo di vita e implicano entrambi i ruoli della catena del valore:
Provider (Articoli 9-17):
- Risk management system continuo per tutto il ciclo di vita
- Data governance: qualità, rappresentatività, prevenzione bias
- Documentazione tecnica completa e logging automatico degli eventi
- Trasparenza: istruzioni per l'uso ai deployer
- Human oversight: sistemi progettati per essere monitorati da umani
- Conformity assessment e CE marking prima della messa sul mercato
- Registrazione nel database UE
Deployer (Article 26):
- Uso secondo le istruzioni del provider
- Monitoraggio dell'output e segnalazione di incidenti
- Valutazione d'impatto sui diritti fondamentali (per alcuni settori)Supervisione umana effettiva
Inoltre, l'Article 50 impone obblighi di trasparenza per tutti i sistemi AI: informare gli utenti quando interagiscono con AI, etichettare i contenuti AI-generated in formato machine-readable, e disclosure specifiche per emotion recognition e biometric categorization.
Perché le aziende italiane sono particolarmente esposte
L'Italia è il quarto mercato manifatturiero d'Europa e ha una forte presenza nei settori high-risk dell'Allegato III: sistemi di valutazione del personale, scoring creditizio nel financial services, e sempre più AI nella sanità e nell'istruzione. Le aziende italiane devono valutare attentamente quattro fattori:
- Extra-territoriality: L'AI Act si applica quando l'output del sistema AI colpisce residenti UE. Un vendor americano che fornisce un modello high-risk a un'azienda italiana à soggetto all'AI Act.
- Responsabilità congiunta: Provider e deployer hanno obblighi diversi ma sovrapposti. Chi integra un'API di un modello high-risk interno è deployer; chi lo modella e lo vende è provider. Le aziende devono chiarire il loro ruolo per ogni sistema.
- Gap strumentale: Schellman rileva che il 94% delle organizzazioni operano in giurisdizioni con requisiti AI già in vigore, ma solo il 29% ha preparato AI Act compliance. Il gap non è di consapevolezza, ma di esecuzione.
- Tooling insufficiente: EchelonGraph nota che la maggior parte dei tool di compliance attuali (Vanta, Drata, OneTrust) tratta l'AI Act come template di policy: PDF da firmare. Ma la compliance richiede monitoraggio tecnico continuo, logging, e human oversight effettivi.
Cosa fare da oggi
Per le organizzazioni italiane che non hanno ancora iniziato, la prioritaria è un piano di compliance rapido strutturato in cinque passi:
- Inventory: Mappare tutti i sistemi AI in uso o in sviluppo. Senza questo, ogni passo successivo è cieco.
- Classificazione: Valutare ogni sistema secondo il framework di rischio dell'AI Act: prohibited, high-risk, limited, minimal.
- Gap analysis: Per i sistemi high-risk, confrontare lo stato attuale con i requisiti di Articoli 9-17 e 26.
- Remediation: Implementare risk management system, logging, human oversight, e documentazione tecnica.
- Conformity assessment: Avviare la valutazione di conformità e ottenere il CE marking prima di continuare a operare i sistemi high-risk.
Tempo e risorse sono limitati. Ma la vera domanda non è se possa fare la compliance in tempo — è se può permettersi di non farla. Con penalty fino al 7% del fatturato globale, l'inazione ha un costo calcolabile.
"Il GDPR ha colto molte aziende di sorpresa nel 2018. L'EU AI Act non avrà la stessa scusante: la data è conosciuta da due anni, e il 78% ha scelto di non agire."
Vuoi capire come l'EU AI Act impatta la tua organizzazione e quali sistemi sono classificati high-risk? Contatta AISAC per una consulenza personalizzata.