Dal 2 agosto 2026 l'AI Act, la prima legge completa al mondo sull'intelligenza artificiale, si applica quasi per intero in tutta l'Unione Europea. Le pratiche più pericolose sono già vietate da tempo, e ora toccano gli obblighi di trasparenza: dire quando si parla con un'AI, rendere riconoscibile il contenuto generato, etichettare i deepfake. Vale per 27 paesi, e raggiunge anche le aziende di fuori che vendono o operano nel mercato europeo.
Il 2 agosto, mentre gran parte dell’Europa era in vacanza, è scattata la scadenza più importante nella breve storia dell’intelligenza artificiale: da quel giorno l’AI Act, il regolamento europeo sull’intelligenza artificiale, si applica quasi per intero. Non è una legge nuova: era entrata in vigore due anni fa, il 1 agosto 2024, ma le regole arrivavano a ondate. Quella di agosto è l’ondata che completa quasi tutto il quadro.
Se non hai seguito la storia, te la racconto senza linguaggio da avvocato. E se non sei europeo, ti conviene leggerla lo stesso: questa legge, molto probabilmente, riguarda anche te.
Una sola legge, ventisette paesi
È la prima legge completa al mondo sull’intelligenza artificiale. L’Europa ha fatto quello che nessun altro grande blocco ha ancora fatto: prendere l’AI di ogni tipo, dai chatbot ai sistemi che selezionano curriculum, e dargli un’unica cornice di regole. Gli Stati Uniti ci provano stato per stato, la Cina regola i singoli servizi, ma un disegno organico esiste solo lì, per ora.
Il punto di forza è anche il punto pratico più importante: essendo un regolamento UE, vale direttamente nei 27 paesi dell’Unione, Italia, Germania, Francia, Spagna e via dicendo, senza passaggi nazionali. Una sola legge per un mercato di circa 450 milioni di persone. Per chi lavora con la tecnologia è una rarità: di solito ogni paese fa i fatti suoi, qui no.
L’idea di fondo la capisce chiunque in una frase: l’AI non si regola in sé, ma in base al rischio di quello che fa.
Le regole seguono il rischio
Invece di chiedersi “è AI o non è AI?”, la legge chiede “quanto può fare danni?”. La risposta divide tutto in quattro fasce:
| Fascia | Cosa prevede |
|---|---|
| 1 · Vietato | Le pratiche inaccettabili sono fuori legge da febbraio 2025. Manipolazione dannosa, punteggio sociale sui cittadini, raccolta indiscriminata di volti dal web e dalle telecamere, riconoscimento delle emozioni sul posto di lavoro e a scuola. Vietato punto, non “regolato”: chi le usa commette un’illegalità. |
| 2 · Alto rischio | Sistemi che toccano diritti e sicurezza: lavoro, istruzione, biometria, infrastrutture critiche, giustizia. Devono essere documentati, controllati, supervisionati da esseri umani, e passano controlli di conformità prima di essere venduti. È la parte più pesante della legge, e la cui scadenza è stata spostata (ne parlo sotto). |
| 3 · Trasparenza | L’AI che incontra il pubblico: chatbot, immagini, voci e video generati. Devono dichiararsi. Chi parla con un assistente deve sapere che è un assistente, i deepfake vanno etichettati, i contenuti generati devono essere riconoscibili come tali. È la fascia che da agosto riguarda milioni di creator e aziende. |
| 4 · Libera | Tutto il resto: i filtri antispam, l’AI nei videogiochi, gli strumenti quotidiani senza rischio particolare. Nessun obbligo specifico. La maggior parte dell’AI che tocchi ogni giorno sta qui e non ti chiede niente di nuovo. |
Questa struttura è il motivo per cui la legge non è “l’Europa contro l’AI”. Un filtro antispam e un sistema che decide se prendi un mutuo non possono avere lo stesso peso di regole: la piramide del rischio serve esattamente a questo.
Quattro date che spiegano tutto
Il percorso era a gradini, e l’ordine dei gradini spiega cosa è già attivo:
- Febbraio 2025: le pratiche vietate diventano illegali e arriva l’obbligo di alfabetizzazione all’AI per le aziende.
- Agosto 2025: le regole per i modelli generalisti, i motori tipo GPT, Gemini e simili, più la struttura di sorveglianza europea.
- Agosto 2026: il resto del quadro. Trasparenza, vigilanza delle autorità nazionali, sistema delle sanzioni.
- Dicembre 2027: gli obblighi pieni per i sistemi ad alto rischio standalone (la data originale era agosto 2026, poi spostata).
Nella pratica, la novità di agosto per chiunque usi l’AI davanti al pubblico sono le regole di trasparenza. Se il tuo sito ha un chatbot, il visitatore deve sapere che parla con un’AI. Se pubblichi un video con una voce o un volto che non esistono, va etichettato come contenuto artificiale. Se un testo generato dall’AI viene usato per informare il pubblico, anche l’AI va dichiarata. Niente divieti: solo chiarezza su cosa è reale e cosa no.
C’è poi chi ha ottenuto più tempo: ai modelli generalisti già sul mercato prima di agosto 2025 è concesso fino ad agosto 2027 per allinearsi del tutto.
Rinviato non significa cancellato
Se hai letto da qualche parte che “l’Europa rinuncia alle regole sull’AI”, è da qui che nasce la confusione. A novembre 2025 la Commissione ha proposto, e poi il Parlamento ha approvato, il cosiddetto Digital Omnibus: il pacchetto che sposta gli obblighi dei sistemi ad alto rischio standalone dal 2 agosto 2026 al 2 dicembre 2027.
Le ragioni sono due. La prima tecnica: gli standard armonizzati, cioè le istruzioni operative per dimostrare la conformità, non erano pronti, e chiedere compliance con regole incomplete avrebbe generato solo contenzioso. La seconda politica: forte pressione dalle grandi aziende tecnologiche, che da mesi chiedevano tempo. Su questo il dibattito è acceso: c’è chi vede una scelta realista e chi un regalo al big tech.
Quello che è utile capire è che le regole non sono state cancellate, solo spostate. L’alto rischio, l’AI che tocca lavoro, scuola, biometria, arriva a dicembre 2027. Più tardi del previsto, ma arriva.
La domanda non è dove sei
E poi c’è la parte che quasi tutti sottovalutano. L’AI Act, come il GDPR per la privacy, ha una portata che esce dai confini europei: si applica a chiunque metta un sistema di AI sul mercato europeo o lo usi in Europa. Azienda americana, cinese, giapponese, brasiliana: se il tuo prodotto entra nell’UE, la legge ti raggiunge lì dove sei.
Non è colonialismo giuridico, è geometria del mercato. L’Europa non può controllare cosa succede dentro altri paesi, ma può decidere le condizioni per accedere ai suoi 450 milioni di consumatori. E siccome per molte aziende l’Europa è troppo grande per rinunciarci, la regola europea diventa di fatto lo standard globale: fa comodo applicarla ovunque piuttosto che gestire due sistemi paralleli. È già successo con la privacy: il GDPR ha cambiato come tutto il mondo maneggia i dati, a prescindere da dove sta il server. Con l’AI si prepara il bis.
La domanda non è “sono europeo?”. È: “l’AI che uso, vendo o compro passa dal mercato europeo?”. Se sì, la legge è affare tuo.
Chi vende, chi compra, chi multa
Per chi di mestiere fa business, da qualsiasi parte del pianeta, la domanda è una: cosa significa, in concreto, muoversi dentro il mercato europeo adesso?
Se vendi AI o servizi che usano AI in Europa: la prima cosa da capire è in quale fascia di rischio cadono i tuoi strumenti. La gran parte dei servizi creativi e di marketing sta nella fascia trasparenza: il costo di conformità è basso, si tratta di dichiarare l’AI dove il pubblico la incontra. Se invece vendi sistemi che toccano selezione del personale, istruzione, biometria, sei nell’alto rischio: hai tempo fino a dicembre 2027 per documentazione, supervisione umana e valutazioni, ma conviene partire per tempo, perché non è carta che si prepara in una settimana. E da agosto, con il sistema delle sanzioni attivo, il rischio di ignorare la questione è concreto.
Le multe, per capirne il peso: fino a 35 milioni di euro o il 7% del fatturato mondiale annuo (la cifra più alta tra le due) per le pratiche vietate. Fino a 15 milioni o il 3% per alto rischio e trasparenza. Fino a 7,5 milioni o l’1% per chi dà informazioni sbagliate alle autorità. Numeri pensati per farsi prendere sul serio anche dai colossi.
Se compri AI per la tua attività in Europa: la legge ti dà più di quanto ti chieda. Hai il diritto di sapere quando stai interagendo con un’AI invece che con una persona, e di ricevere contenuti artificiali etichettati come tali. Se acquisti strumenti per ambiti sensibili, nei contratti comincerai a vedere garanzie e documentazione che prima nessuno chiedeva: i fornitori extra-europei se le vedranno arrivare dai clienti europei, e questo estende di fatto la regola ben oltre i confini UE.
Se ci vedi un’opportunità: è reale. Chi si adegua per primo, con trasparenza vera e non di facciata, costruisce la cosa più rara di questo momento: fiducia. In un mercato dove tutti sospettano di tutto ciò che è sintetico, poter dire “il mio lavoro con l’AI è dichiarato, controllabile e a norma” è un vantaggio competitivo, non un costo. Il ritardo dell’alto rischio al 2027, poi, regala ai fornitori B2B una finestra per prepararsi con calma invece di correre.
Io l’AI la dichiaro già
Io con questi strumenti ci lavoro ogni giorno: immagini, video, voci. E la mia reazione a queste regole è di quelle impopolari: mi stanno bene. Non perché ami la burocrazia, ma perché il problema vero dell’AI generativa non è che esiste, è che nessuno sa più cos’è reale. Quando tutto può essere finto, l’unica cosa che vale la pena dichiarare è cosa non lo è.
Per un creatore, la versione pratica è semplice: dichiara l’AI quando il pubblico la incontra, non nasconderla come un vizio. Se generi immagini per il tuo lavoro, gli strumenti per farlo non cambiano: cambia solo che dirlo diventa regola, non cortesia. Chi ha già l’abitudine di essere trasparente, come cerco di essere io, non deve fare niente di nuovo.
Ed è qui che il discorso torna utile anche fuori dall’Europa: il pubblico di qualunque paese sta sviluppando la stessa allergia ai contenuti artificiali spacciati per veri. Le regole europee anticipano quello che gli utenti chiederanno ovunque, prima o poi, legge o non legge.
La lista è più corta di quanto pensi
Se vuoi essere pronto senza leggere 400 pagine di regolamento, basta questo:
- Sapere dove sta la tua AI. Fai l’inventario degli strumenti che usi e in quale fascia di rischio cadono. Nella gran parte dei casi scoprirai che sei nella fascia libera o trasparenza, e il peso è minimo.
- Dichiararla dove il pubblico la incontra. Chatbot che si presenta come AI, contenuti generati riconoscibili, deepfake etichettati. È l’obbligo attivo da agosto.
- Se vendi in Europa, mettilo per iscritto. Contratti e pagine che dicano chiaramente dove c’è AI nel tuo servizio. I clienti europei cominceranno a chiederlo, se non lo fanno già.
- Se sei nell’alto rischio, usa i 16 mesi. Documentazione, supervisione umana, valutazioni: dicembre 2027 sembra lontano finché non inizia a lavorarci.
- Se compri strumenti per ambiti sensibili, esigi la documentazione. È il tuo diritto nel mercato europeo, e fornisce anche un ottimo selezionatore di fornitori seri.
Si può discutere sui dettagli, sui tempi, sulle pressioni ricevute. Ma la direzione è quella: l’AI esce dal far west, e l’Europa è entrata per prima, come già fece con la privacy. Chi la usa per lavorare, me compresa, di una cosa ha bisogno più che di tutto il resto: che la gente si fidi di quello che vede.
Se usi l’AI nel tuo lavoro e vuoi farlo bene, senza paura e senza ritrovarti scoperto quando le regole bussano, è esattamente il mio mestiere: vedi come lavoro.
Fonti
- European Commission, Digital Strategy - “AI Act”
- EU AI Act, Article 99 - Penalties
- Reuters - “EU to delay ‘high risk’ AI rules until 2027 after Big Tech pushback”
- European Parliament - “MEPs support postponement of certain rules on artificial intelligence”
- Morgan Lewis - “EU Approves Delays and Other Amendments to Certain EU AI Act Obligations”
Lascia un commento
I commenti vengono letti e approvati prima della pubblicazione.