EU AI Act 2026: Cos'è, Scadenze e Obblighi per le Aziende Italiane

Negarlo è impossibile: l'intelligenza artificiale è già da tempo nei nostri luoghi di lavoro, a prescindere dal settore: nei sistemi di sorveglianza, nella selezione del personale, negli strumenti di analisi predittiva dei rischi, nella creazione di contenuti e nel marketing. Per questo, dall'agosto 2024, è in vigore AI Act, Regolamento UE 2024/1689.

Eppure molte aziende ne sanno ancora poco. E quelle che ne hanno sentito parlare spesso si fermano a un dettaglio fuorviante: "hanno spostato le scadenze, c'è ancora tempo". Le scadenze per certi obblighi specifici sono effettivamente slittate. Ma i divieti assoluti sono in vigore dal febbraio 2025, le sanzioni - fino a 35 milioni di euro o il 7% del fatturato globale - sono operative dall'agosto 2025, e la legge italiana che integra l'EU AI Act nel contesto lavorativo è entrata in vigore lo scorso ottobre. Il quadro è già attivo, anche se non è ancora completo.

Questa guida serve a capire dove siamo, cosa è già richiesto oggi e cosa arriverà nei prossimi anni.

L'EU AI Act Stabilisce che chi sviluppa o usa sistemi IA ha responsabilità proporzionate al rischio che quel sistema comporta per le persone.

La classificazione è in quattro livelli. Al vertice ci sono i sistemi a rischio inaccettabile, vietati senza eccezioni:

• Il social scoring (valutare i cittadini in base al comportamento sociale)
• La manipolazione psicologica subliminale
• La sorveglianza biometrica di massa negli spazi pubblici
• La categorizzazione delle persone per etnia o orientamento politico tramite riconoscimento facciale.

Sotto ci sono i sistemi ad alto rischio: consentiti, ma con obblighi precisi di documentazione, valutazione di conformità e supervisione umana.

• Software usati per selezionare personale
• Valutare le performance dei lavoratori
• Gestire accessi a infrastrutture critiche
• Supportare decisioni in ambito sanitario o giudiziario.

I sistemi a rischio limitato richiedono principalmente trasparenza: un chatbot deve dichiarare di essere un chatbot, i contenuti generati da IA devono essere identificabili come tali.

Infine, la maggior parte dei sistemi rientra nella categoria a rischio minimo o nullo per cui non sono previsti obblighi aggiuntivi:

• Filtri antispam
• Correttori ortografici
• Sistemi di raccomandazione dei contenuti

• Agosto 2024. L'AI Act entra in vigore. Inizia il periodo transitorio, ma il regolamento è già legge.
• Febbraio 2025. Scattano i divieti assoluti. Da questa data usare un sistema di scoring sociale, di riconoscimento delle emozioni sul luogo di lavoro o di profilazione predittiva degli individui è illegale nell'Unione europea. Contemporaneamente entra in vigore l'obbligo di AI literacy: chiunque operi sistemi IA per conto di un'organizzazione deve avere una formazione adeguata su come funzionano e quali rischi comportano.
• Agosto 2025. Entrano in vigore le regole sui modelli di IA per finalità generali — i cosiddetti GPAI, ovvero i grandi modelli linguistici alla base di strumenti come GPT o Gemini. Da questa data sono operative anche le sanzioni. Vale la pena ripeterlo: il regime sanzionatorio dell'EU AI Act è attivo da quasi un anno.
• Ottobre 2025. L'Italia approva la Legge 132/2025, primo quadro normativo nazionale sull'intelligenza artificiale. La legge recepisce l'AI Act e aggiunge obblighi specifici per i luoghi di lavoro. Il datore di lavoro deve informare i lavoratori prima di introdurre sistemi IA che li riguardino — nella selezione, nella valutazione delle performance, nella gestione dei turni. I rischi derivanti dall'uso di algoritmi devono essere inclusi nel DVR. La legge introduce anche il reato di deepfake (art. 613-quater del Codice Penale) e aggiorna il perimetro del Modello 231.
• Agosto 2026. La data che concentra la maggior parte degli obblighi rimanenti. Entra in vigore la quasi totalità delle disposizioni dell'AI Act: gli obblighi completi per i sistemi ad alto rischio autonomi (documentazione tecnica, valutazione di conformità, registrazione nel database europeo, monitoraggio post-commercializzazione), le norme di trasparenza sui contenuti generati da IA, l'obbligo per ogni Stato membro di avere attivo almeno uno spazio di sperimentazione normativa.
• Dicembre 2026. Obbligo di etichettatura per immagini, video e audio generati da IA. Entra in vigore anche il divieto esplicito per i sistemi di nudificazione — applicazioni che creano contenuti sessuali sintetici di persone reali senza consenso.
• Dicembre 2027. Piena applicazione degli obblighi per i sistemi ad alto rischio nei settori più regolamentati: biometria, infrastrutture critiche, occupazione, controllo di frontiera.
• Agosto 2028. Gli obblighi si estendono ai sistemi IA integrati in prodotti soggetti a normativa europea di sicurezza — macchinari industriali, dispositivi medici, ascensori. Per molte aziende manifatturiere è la scadenza più concreta.

A giugno 2026 il Parlamento europeo ha approvato il pacchetto Digital Omnibus con 423 voti favorevoli. Si tratta di un intervento di semplificazione: non tocca i divieti, non tocca le sanzioni, non riduce gli obiettivi del Regolamento. Chiarisce che i produttori di macchinari con IA integrata non dovranno affrontare duplicazioni degli obblighi se la normativa settoriale già garantisce un livello equivalente di protezione. Sposta alcune scadenze per i sistemi ad alto rischio al 2027 e al 2028.

Il rischio di leggere male questa notizia è alto: spostare una scadenza non significa sospendere un obbligo, e non significa che i rischi pratici spariscano nell'attesa. Un sistema di selezione del personale basato su algoritmi che genera discriminazioni crea già oggi problemi legali, contrattuali e reputazionali, indipendentemente da quando scatterà formalmente l'obbligo di conformità.

Per chi opera nel settore della prevenzione, l'AI Act non è un tema astratto. I sistemi di riconoscimento facciale per la gestione degli accessi alle aree pericolose, i software di analisi predittiva degli infortuni, i dispositivi che verificano automaticamente l'uso corretto dei DPI: tutti rientrano nel perimetro del Regolamento e della Legge 132/2025.

Per questo noi di SA Sicurezza abbiamo sviluppato un corso online di 4 ore, rivolto ad aziende e privati che vogliono capire cosa richiede concretamente l'AI Act, come classificare i sistemi IA in uso, quali obblighi ricadono su chi li utilizza e come evitare sanzioni. Al termine viene rilasciato un attestato come prova dell'adempimento all'obbligo di AI literacy, valido in tutto il territorio nazionale.