L’AI Act alla prova dell’attuazione: come sta cambiando il rapporto tra intelligenza artificiale e società

Quando un sistema contribuisce a stabilire chi può accedere a un lavoro, a una prestazione sociale o a un servizio pubblico non è più soltanto uno strumento tecnico: interviene attivamente nel dare forma alla società. È ciò che accade con l’intelligenza artificiale, sempre più integrata nei processi decisionali di imprese, amministrazioni e organizzazioni.

L’AI Act

Di fronte a questa trasformazione, l’Unione europea ha approvato l’AI Act, il primo quadro giuridico organico dedicato all’intelligenza artificiale. È un regolamento direttamente applicabile negli Stati membri, che introduce regole armonizzate per lo sviluppo, l’immissione sul mercato e l’utilizzo professionale dei sistemi di IA, distribuendo le responsabilità tra i soggetti coinvolti lungo il loro ciclo di vita. Più che disciplinare una tecnologia in astratto, interviene sui modi in cui viene progettata e impiegata, prevedendo obblighi e garanzie più rigorosi per gli utilizzi che comportano rischi maggiori. Il testo mira espressamente a «promuovere la diffusione di un’intelligenza artificiale antropocentrica e affidabile», sostenendo l’innovazione e garantendo un’elevata protezione di salute, sicurezza e diritti fondamentali (Regolamento UE 2024/1689, art. 1).

Il Regolamento è entrato in vigore il 1° agosto 2024, ma la sua applicazione è articolata in più fasi. I divieti sugli impieghi più pericolosi e gli obblighi di alfabetizzazione sull’IA sono applicabili dal 2 febbraio 2025; le regole di governance e gli obblighi per i modelli di IA per finalità generali dal 2 agosto 2025; dal 2 agosto 2026 sono operative anche, tra le altre, le disposizioni sulla trasparenza. A seguito delle modifiche approvate nel 2026, gli obblighi per i sistemi ad alto rischio entreranno invece in applicazione dal 2 dicembre 2027 per i casi d’uso dell’allegato III e dal 2 agosto 2028 per i sistemi integrati in prodotti regolamentati (European Commission, 2026a).

Come funziona l’AI Act: rischi, obblighi e tutele

Nei suoi tredici capitoli, il regolamento segue i sistemi AI dalla progettazione all’impiego, stabilendo quando l’AI non può essere utilizzata e quali responsabilità devono accompagnarne la diffusione grazie anche ad un sistema di vigilanza, strumenti di ricorso e un regime sanzionatorio.

Quattro livelli di rischio

Il principio alla base è semplice: poiché non tutte le applicazioni producono le stesse conseguenze, non devono essere sottoposte agli stessi obblighi. Un filtro antispam non può essere trattato come un sistema utilizzato per valutare l’accesso a una prestazione sociale o a selezionare il personale di un’azienda; il regolamento distingue pertanto quattro categorie: rischio inaccettabile, alto rischio, rischio di trasparenza e rischio minimo o nullo (Regolamento UE 2024/1689, artt. 5–6 e 50).

La categoria del rischio inaccettabile comprende gli impieghi vietati perché incompatibili con i valori europei, tra cui alcune tecniche manipolative, il social scoring, determinate forme di polizia predittiva e alcuni utilizzi del riconoscimento biometrico o delle emozioni. Il legislatore stabilisce così una linea rossa, affermando che alcuni utilizzi non possono essere giustificati neppure dai vantaggi in termini di efficienza.

I sistemi ad alto rischio sono invece ammessi, ma sottoposti a requisiti rigorosi, soprattutto quando vengono impiegati nell’istruzione, nel lavoro, nell’accesso ai servizi essenziali, nelle infrastrutture critiche, nella migrazione e nella giustizia. Per questi sistemi sono richiesti una gestione continuativa dei rischi, dati sufficientemente affidabili e rappresentativi, documentazione e tracciabilità, supervisione umana, accuratezza e sicurezza informatica; la conformità deve inoltre essere verificata prima dell’utilizzo e monitorata nel tempo, perché gli effetti possono cambiare insieme ai dati, al contesto o alla popolazione a cui il sistema viene applicato.

La categoria del rischio di trasparenza riguarda sistemi il cui impiego deve essere riconoscibile, affinché le persone sappiano quando interagiscono con un sistema automatico. I deepfake devono essere segnalati e determinati contenuti artificiali devono contenere marcature che ne consentano l’identificazione; anche i testi prodotti dall’IA su questioni di interesse pubblico devono essere indicati come tali quando non siano stati sottoposti a un’effettiva revisione umana o responsabilità editoriale (Regolamento UE 2024/1689, art. 50; European Commission, 2026b).

Per i sistemi a rischio minimo o nullo non sono previsti obblighi specifici, sebbene il regolamento incoraggi codici di condotta volontari e continuino ad applicarsi le altre normative pertinenti, dalla protezione dei dati personali alla tutela dei consumatori.

Modelli per finalità generali e impatto ambientale

La classificazione per rischio non esaurisce l’AI Act, che disciplina anche i modelli di AI per finalità generali, adattabili a numerosi compiti. I fornitori devono documentarli, informare gli operatori e adottare politiche sul diritto d’autore; per i modelli più avanzati si aggiungono obblighi di valutazione, mitigazione e sicurezza (Regolamento UE 2024/1689, artt. 51–55).

La disciplina dei modelli per finalità generali evidenzia anche una conseguenza materiale: l’impatto ambientale. Addestrare e utilizzare modelli avanzati può richiedere energia e acqua per il raffreddamento delle infrastrutture. Su questo fronte, l’AI Act promuove lo sviluppo di standard tecnici europei orientati all’efficienza energetica e richiede che la documentazione riporti i consumi noti o stimati. Molte misure restano tuttavia affidate a standard e codici volontari: manca ancora un meccanismo organico per misurare, rendere pubblici e ridurre gli impatti ambientali lungo l’intero ciclo di vita di un sistema IA (Regolamento UE 2024/1689, artt. 40, 53 e 95; Pagallo, 2025). Per PA e Terzo settore, la sostenibilità non è quindi un tema separato, ma un criterio da integrare negli acquisti e nella valutazione dell’utilità sociale, insieme a costi, prestazioni e tutela dei diritti.

Responsabilità, controllo e sostegno all’innovazione

Una responsabilità distribuita lungo la filiera

L’AI Act non attribuisce ogni responsabilità a chi sviluppa la tecnologia, ma coinvolge fornitori, importatori, distributori, produttori e organizzazioni che utilizzano professionalmente i sistemi, definiti deployer; può applicarsi anche a imprese ed enti con sede fuori dall’Unione europea quando offrono sistemi o modelli di IA nel mercato europeo oppure quando i risultati vengono utilizzati al suo interno.

Questa responsabilità distribuita riconosce che i rischi possono emergere in fasi diverse, poiché anche un sistema corretto può essere usato in un contesto inadeguato, con dati poco rappresentativi o senza reale supervisione umana. Il regolamento prevede quindi monitoraggio, segnalazione degli incidenti, reclami e, in determinate circostanze, spiegazioni sulle decisioni individuali supportate dall’IA.

Vigilanza, sperimentazione e sanzioni

La vigilanza è affidata alle autorità nazionali, all’AI Office della Commissione e ad altri organismi europei, chiamati ad assicurare interpretazioni sufficientemente uniformi e ad aggiornare le modalità di applicazione alla luce dell’evoluzione tecnologica.

Accanto ai controlli sono previsti spazi di sperimentazione regolamentare, nei quali imprese e organizzazioni possono testare nuovi sistemi sotto la supervisione delle autorità competenti. Una particolare attenzione è riservata alle PMI e alle start-up, affinché i costi e la complessità legati al rispetto dell’AI Act non impediscano alle realtà più piccole di sviluppare e sperimentare nuove soluzioni.

Le sanzioni dipendono dalla gravità della violazione. Per un’impresa possono raggiungere 35 milioni di euro o il 7% del fatturato globale annuo dell’esercizio precedente per le pratiche vietate e per la violazione di determinati requisiti sui dati; 15 milioni o il 3% per l’inosservanza degli altri obblighi; 7,5 milioni o l’1% per informazioni inesatte, incomplete o fuorvianti fornite alle autorità. Per le PMI, a differenza che per le altre aziende, si applica il limite più basso tra importo fisso e percentuale; gli Stati membri decidono invece in quale misura sanzionare le proprie autorità pubbliche (Regolamento UE 2024/1689, art. 99).

Oltre la conformità: che cosa cambia per PA e Terzo settore?

Prima ancora di chiedersi come rispettare gli obblighi previsti dall’AI Act, pubbliche amministrazioni ed enti del Terzo settore devono interrogarsi su quali parti di una decisione sia opportuno affidare a un sistema automatico. Nel welfare, nella sanità, nell’istruzione, nell’orientamento al lavoro o nei servizi rivolti a persone vulnerabili, l’intelligenza artificiale può velocizzare alcune attività, aiutare a individuare esigenze ricorrenti e supportare gli operatori nel gestire molte informazioni; può però anche rendere meno visibili i criteri decisionali o riprodurre le disuguaglianze presenti nei dati.

Governance, acquisti e diritti fondamentali

Acquistare un sistema di IA non significa trasferire al fornitore la responsabilità per il suo impiego. Pubbliche amministrazioni ed enti del Terzo settore devono sapere quali sistemi utilizzano, quali dati trattano, chi ne verifica i risultati e come questi incidono sulle persone. Anche la scelta del fornitore e della tipologia di contratto rientra quindi a pieno titolo nella governance IA di un’organizzazione.

Quando entreranno in applicazione le disposizioni relative ai sistemi ad alto rischio, le amministrazioni e i soggetti privati che erogano servizi pubblici dovranno inoltre, prima di utilizzare alcuni di questi sistemi, valutarne l’impatto sui diritti fondamentali, verificando se possano produrre discriminazioni o escludere alcune persone dall’accesso a servizi e opportunità (Regolamento UE 2024/1689, art. 27).

Alfabetizzazione e capacità di valutazione

Nella stessa ottica, l’alfabetizzazione sull’IA assume un significato ampio perché non riguarda soltanto gli specialisti informatici: dirigenti, responsabili degli acquisti, operatori sociali, educatori, ricercatori e valutatori devono saper interpretare i risultati dei sistemi IA, riconoscerne i limiti e comprendere quando sia necessario non utilizzarli.

Per chi lavora nell’innovazione sociale, l’AI Act può quindi favorire una cultura nella quale innovazione e valutazione procedano insieme, poiché non basta chiedersi se una tecnologia renda un servizio più efficiente: occorre osservare chi ne beneficia, chi rischia di esserne escluso e quali asimmetrie può generare.

Dal quadro europeo alla regolazione internazionale

L’AI Act si inserisce in un percorso internazionale già avviato dai Principi OCSE sull’intelligenza artificiale, adottati nel 2019 e aggiornati nel 2024, e dalla Raccomandazione UNESCO sull’etica dell’IA del 2021. Si tratta di riferimenti centrali in materia di trasparenza, sicurezza, responsabilità e diritti; rispetto a questi strumenti prevalentemente orientativi, il regolamento europeo introduce però obblighi direttamente applicabili, autorità di vigilanza e sanzioni.

Un confronto più calzante è quello con la Convenzione quadro del Consiglio d’Europa sull’intelligenza artificiale, i diritti umani, la democrazia e lo Stato di diritto (2024), primo trattato internazionale giuridicamente vincolante nel settore, che impegna gli Stati aderenti a rendere il ciclo di vita dei sistemi compatibile con i tre elementi richiamati nel titolo.

La convenzione e il regolamento europeo rimangono però due strumenti complementari: il primo stabilisce i principi che gli Stati membri devono garantire nelle norme prodotte in materia di IA,  mentre il secondo prova a trasformare alcuni di quei principi in obblighi operativi.

Un punto di partenza, non di arrivo

Come già avvenuto con il GDPR, l’AI Act potrebbe produrre un vero e proprio “effetto Bruxelles”, inducendo imprese e sviluppatori extra-UE ad adeguarsi alle sue regole per accedere al mercato europeo, con ricadute su standard e pratiche anche oltre i confini dell’Unione. Questo risultato, però, non è scontato: dipenderà più dalla qualità della sua attuazione che dall’ambizione del testo.

Perché l’AI Act funzioni, occorre anzitutto che sappia stare al passo con un’innovazione più veloce delle norme, ampliando categorie di rischio e fattispecie man mano che emergono nuovi utilizzi dell’IA, anche dialogando con normative già esistenti come il GDPR sulla protezione dei dati al Digital Services Act sulle piattaforme online. Serve inoltre che vigilanza e sanzioni non restino previsioni sulla carta, ma vengano applicate con risorse adeguate, evitando che una vigilanza distribuita tra più autorità produca tutele disomogenee tra Stati membri. Allo stesso modo, l’impatto ambientale dell’IA dovrà diventare un criterio misurabile, mentre le comunità più coinvolte dovranno essere consultate, perché le regole riflettano gli effetti reali sulle persone.

In questo percorso, PA ed enti del Terzo settore hanno una responsabilità specifica: dimostrare che l’intelligenza artificiale può rendere i servizi non solo più rapidi, ma anche più equi, senza generare nuove esclusioni. È su questa capacità di tradurre principi in tutele verificabili che si misurerà la credibilità dell’AI Act come modello europeo e internazionale.

Bibliografia e sitografia

Council of Europe. (2024). Council of Europe Framework Convention on Artificial Intelligence and Human Rights, Democracy and the Rule of Law (CETS No. 225). https://www.coe.int/en/web/artificial-intelligence/the-framework-convention-on-artificial-intelligence

European Commission. (2026a). Navigating the AI Act. Shaping Europe’s Digital Future. https://digital-strategy.ec.europa.eu/en/faqs/navigating-ai-act

European Commission. (2026b, July 20). Guidelines on transparency obligations for providers and deployers of AI systems. Shaping Europe’s Digital Future. https://digital-strategy.ec.europa.eu/en/library/guidelines-transparency-obligations-providers-and-deployers-ai-systems

European Parliament & Council of the European Union. (2024). Regulation (EU) 2024/1689 of 13 June 2024 laying down harmonised rules on artificial intelligence (Artificial Intelligence Act). Official Journal of the European Union, L 2024/1689, 12 July 2024. https://eur-lex.europa.eu/eli/reg/2024/1689/oj

Organisation for Economic Co-operation and Development. (2024). Revised Recommendation of the Council on Artificial Intelligence (C/MIN(2024)16/FINAL). https://one.oecd.org/document/C/MIN%282024%2916/FINAL/en/pdf

Pagallo, U. (2025). On twelve shades of green: Assessing the levels of environmental protection in the Artificial Intelligence Act. Minds and Machines, 35, Article 10. https://doi.org/10.1007/s11023-025-09713-4

United Nations Educational, Scientific and Cultural Organization. (2021). Recommendation on the Ethics of Artificial Intelligence. https://www.unesco.org/en/legal-affairs/recommendation-ethics-artificial-intelligence