L'AI Act, il regolamento (UE) 2024/1689, divide i sistemi di intelligenza artificiale per livello di rischio.
Alcune pratiche sono vietate, i sistemi ad alto rischio hanno obblighi pesanti, altri devono solo dichiarare che sono IA.
Gli obblighi cambiano anche con il ruolo: chi sviluppa il sistema, chi lo usa, chi lo importa o lo distribuisce.
Strumento dello Studio Legale BCS · Date verificate su EUR-Lex il 6 ottobre 2026 · Le risposte restano nel tuo browser: nessun dato viene inviato o salvato
N° 01 - Il tuo esito
Che cosa comporta la tua fascia.
L'esito cambia mentre rispondi. Ogni obbligo rimanda all'articolo nel testo consolidato su EUR-Lex. Per l'analisi dei tuoi sistemi vedi le consulenze tech e la pagina su GDPR e AI Act per le imprese.
Esempio · Esito per il ruolo: Deployer
Alto rischio
Il sistema è ad alto rischio: prima di essere immesso sul mercato o usato deve rispettare requisiti e controlli. Gli obblighi si applicano dal 2 dicembre 2027.
In vigore2 febbraio 2025Alfabetizzazione in materia di IA art. 113, lett. a)
In vigore10 ottobre 2025Legge 132/2025: informazione ai lavoratori sull'uso dell'IA art. 11 legge 132/2025
In vigore30 settembre 2026Reato dell'art. 437-bis del codice penale d.lgs. 160/2026
Da applicare2 dicembre 2027Obblighi per i sistemi ad alto rischio dell'allegato III art. 113, lett. c), punto i)
Cosa devi fare
Usare il sistema secondo le istruzioni del fornitore, con misure tecniche e organizzative adeguate. art. 26, par. 1
Affidare la sorveglianza umana a persone con competenza, formazione e autorità adeguate. art. 26, par. 2
Se controlli i dati di input, verificare che siano pertinenti e sufficientemente rappresentativi. art. 26, par. 4
Monitorare il funzionamento; se emerge un rischio, sospendere l'uso e avvisare fornitore e autorità; segnalare subito gli incidenti gravi. art. 26, par. 5
Conservare i log sotto il tuo controllo per almeno sei mesi. art. 26, par. 6
Se lo usi sul luogo di lavoro, informare prima i rappresentanti dei lavoratori e i lavoratori interessati. art. 26, par. 7
Usare le informazioni del fornitore per la valutazione d'impatto sulla protezione dei dati, quando è dovuta. art. 26, par. 9
Informare le persone su cui il sistema prende o aiuta a prendere decisioni. art. 26, par. 11
Spiegare, a chi lo chiede, il ruolo del sistema nella decisione che lo riguarda. art. 86
Adottare misure per sostenere l'alfabetizzazione in materia di IA del personale che usa il sistema. art. 4
Da sapere
Sanzione per la violazione degli obblighi di operatori e trasparenza: fino a 15 milioni di euro o al 3% del fatturato mondiale annuo, se superiore; per PMI e piccole imprese a media capitalizzazione vale l'importo minore. art. 99, parr. 4, 6 e 6 bis
Un sistema già sul mercato o in servizio prima di quelle date resta fuori dal regolamento finché non subisce modifiche significative della progettazione; i sistemi destinati alle autorità pubbliche vanno adeguati entro il 2 agosto 2030. art. 111, par. 2
Se metti il tuo nome o marchio su un sistema ad alto rischio, lo modifichi in modo sostanziale o ne cambi la finalità fino a renderlo ad alto rischio, diventi tu il fornitore. art. 25, par. 1
In Italia
Se usi l'IA nel rapporto di lavoro devi informare il lavoratore nei casi e con le modalità dell'art. 1-bis del d.lgs. 152/1997. art. 11, comma 2, legge 132/2025
Dal 30 settembre 2026 è reato anche per l'utilizzatore professionale omettere intenzionalmente la sorveglianza umana su un sistema ad alto rischio, se ne deriva un pericolo per la vita o l'incolumità. art. 437-bis c.p. (d.lgs. 160/2026)
Le autorità nazionali per l'IA sono l'Agenzia per l'Italia digitale (AgID) e l'Agenzia per la cybersicurezza nazionale (ACN), che vigila e sanziona; per il settore finanziario restano Banca d'Italia, CONSOB e IVASS. art. 20, legge 132/2025
Il test dà un orientamento generale, non un parere. Per classificare un sistema servono la finalità prevista, i contratti con fornitori e clienti e i processi in cui lo usi.
Le regole che il test applica, una per scheda. I link portano al testo consolidato su EUR-Lex, aggiornato al 27 luglio 2026.
Divieti
Quali pratiche sono vietate?
Dal 2 febbraio 2025 sono vietate otto pratiche: manipolazione e sfruttamento delle vulnerabilità con danno significativo, punteggio sociale, previsione dei reati basata solo sulla profilazione, scraping di volti per banche dati, deduzione delle emozioni al lavoro e a scuola, categorizzazione biometrica per dati sensibili e identificazione biometrica «in tempo reale» per attività di polizia, salvo eccezioni (art. 5). Il regolamento (UE) 2026/1744 ne ha aggiunte due, che si applicano dal 2 dicembre 2026: i sistemi che creano immagini intime o sessualmente esplicite di persone riconoscibili senza consenso e quelli che generano materiale pedopornografico.
Alto rischio
Quando un sistema è ad alto rischio?
In due casi (art. 6). Il primo: è un componente di sicurezza di un prodotto regolato dalle norme UE dell'allegato I, o è esso stesso quel prodotto, e il prodotto richiede la valutazione di conformità di un organismo terzo. Il secondo: è destinato a uno dei settori dell'allegato III, dalla biometria alla giustizia. Un sistema dell'allegato III sfugge all'alto rischio se svolge solo compiti procedurali limitati, migliorativi o preparatori e non influenza in modo rilevante le decisioni. La deroga non vale mai se il sistema profila persone (art. 6, par. 3).
Trasparenza
Quali sistemi devono dichiararsi?
Dal 2 agosto 2026 chi fornisce un chatbot deve far sapere alle persone che parlano con un'IA, e chi fornisce un sistema generativo deve marcarne gli output in modo leggibile dalle macchine. Chi usa il riconoscimento delle emozioni o la categorizzazione biometrica deve informare le persone esposte. Chi crea un deep fake con l'IA, o pubblica un testo di interesse pubblico generato dall'IA senza revisione editoriale, deve dichiararlo (art. 50).
Rischio minimo
E tutti gli altri sistemi?
Non hanno obblighi specifici. Fornitori e deployer devono però adottare misure per sostenere l'alfabetizzazione in materia di IA del personale (art. 4) e possono aderire a codici di condotta volontari (art. 95). Le norme su protezione dei dati, consumatori e sicurezza dei prodotti restano applicabili (art. 2).
Modelli
E i modelli per finalità generali?
Chi fornisce un modello per finalità generali, come un grande modello linguistico, ha obblighi propri dal 2 agosto 2025: documentazione tecnica, informazioni a chi integra il modello, politica sul diritto d'autore e sintesi dei contenuti usati per l'addestramento (art. 53). Se il modello ha un rischio sistemico, per esempio perché è stato addestrato con più di 1025 operazioni in virgola mobile, si aggiungono valutazione e attenuazione dei rischi, segnalazione degli incidenti e cibersicurezza (artt. 51 e 55).
Ruolo
Perché conta il ruolo?
Fornitore, deployer, importatore e distributore hanno obblighi diversi (art. 3). Chi mette il proprio nome su un sistema ad alto rischio, lo modifica in modo sostanziale o ne cambia la finalità fino a renderlo ad alto rischio diventa fornitore (art. 25). La persona che usa l'IA per scopi puramente personali non ha gli obblighi del deployer (art. 2, par. 10).
N° 03 - Le date
Il calendario in vigore al 6 ottobre 2026.
Il regolamento si applica a scaglioni (art. 113). Il regolamento (UE) 2026/1744 ha spostato in avanti l'alto rischio e aggiunto due divieti.
Date di applicazione verificate il 6 ottobre 2026 su EUR-Lex
Nuovi divieti dell'art. 5, par. 1, lettere b bis) e b ter); marcatura dei contenuti per i sistemi generativi immessi sul mercato prima del 2 agosto 2026
La proposta della Commissione del 19 novembre 2025 (COM(2025) 836) è diventata il regolamento (UE) 2026/1744 dell'8 luglio 2026, pubblicato nella Gazzetta ufficiale dell'Unione europea il 24 luglio 2026 e in vigore dal 27 luglio 2026. Ha riscritto l'art. 113: gli obblighi per i sistemi ad alto rischio non partono più il 2 agosto 2026 (allegato III) e il 2 agosto 2027 (allegato I), ma il 2 dicembre 2027 e il 2 agosto 2028.
Un sistema ad alto rischio già sul mercato prima di quelle date resta fuori dal regolamento finché non subisce modifiche significative della progettazione; quelli destinati alle autorità pubbliche vanno adeguati entro il 2 agosto 2030 (art. 111, par. 2).
Controllo del 6 ottobre 2026 su EUR-Lex: la scheda del regolamento (UE) 2024/1689 non elenca altre modifiche; il testo consolidato è aggiornato al 27 luglio 2026.
N° 04 - Quattro esempi
Tizio, Caio, Sempronio e Mevio.
Quattro casi inventati. Sono gli stessi esiti che restituisce il test.
Quattro esempi di classificazione
Caso
Ruolo
Fascia
Da quando
Tizio S.r.l. usa un software di IA che filtra e ordina i curriculum dei candidati.
Deployer
Alto rischio: allegato III, punto 4. Il sistema profila i candidati, quindi la deroga non vale.
2 dicembre 2027
Caio pubblica uno spot con il volto e la voce di un testimonial ricreati con l'IA.
Deployer
Obblighi di trasparenza: deve dichiarare che il contenuto è generato artificialmente (art. 50, par. 4).
2 agosto 2026, già in vigore
Sempronio sviluppa e vende alle finanziarie un sistema che valuta il merito di credito dei clienti.
Fornitore
Alto rischio: allegato III, punto 5, lettera b). Il sistema profila i clienti, quindi la deroga non vale.
2 dicembre 2027
Mevio, commercialista, usa un assistente di IA per riassumere i documenti dei clienti.
Deployer
Rischio minimo: alfabetizzazione del personale (art. 4) e informazione ai clienti sull'uso dell'IA (art. 13 legge 132/2025).
Art. 4: 2 febbraio 2025. Legge 132/2025: 10 ottobre 2025
N° 05 - Domande frequenti
Le domande più comuni sull'AI Act.
Da quando si applicano gli obblighi per i sistemi ad alto rischio?
Dal 2 dicembre 2027 per i sistemi dell'allegato III e dal 2 agosto 2028 per quelli dell'allegato I. Le date sono state fissate dal regolamento (UE) 2026/1744, che ha modificato l'art. 113 dell'AI Act: prima erano il 2 agosto 2026 e il 2 agosto 2027.
Se in azienda usiamo un assistente di IA generativa, che obblighi abbiamo?
L'azienda è un deployer, cioè chi usa un sistema di IA sotto la propria autorità (art. 3, n. 4). Di regola l'uso rientra nel rischio minimo e resta l'alfabetizzazione del personale (art. 4). Se create deep fake, o pubblicate testi di interesse pubblico generati dall'IA senza revisione editoriale, dovete dichiararlo (art. 50, par. 4). Se usate l'assistente per selezionare candidati o valutare il credito, potete diventare voi il fornitore di un sistema ad alto rischio (art. 25, par. 1, lett. c).
L'alfabetizzazione in materia di IA è ancora obbligatoria?
Sì. Il regolamento (UE) 2026/1744 ha riscritto l'art. 4 ma ha lasciato l'obbligo a fornitori e deployer: devono adottare misure per sostenere l'alfabetizzazione del personale che usa i sistemi, senza un livello specifico da garantire. L'obbligo si applica dal 2 febbraio 2025.
Che cosa cambia per chi genera contenuti con l'IA?
Dal 2 agosto 2026 il fornitore di un sistema generativo deve marcare gli output in modo leggibile dalle macchine (art. 50, par. 2). Per i sistemi immessi sul mercato prima di quella data il termine è il 2 dicembre 2026 (art. 111, par. 4). Chi usa l'IA per creare un deep fake deve dichiarare che il contenuto è generato o manipolato artificialmente (art. 50, par. 4).
Quali sanzioni prevede l'AI Act?
Fino a 35 milioni di euro o al 7% del fatturato mondiale annuo per le pratiche vietate; fino a 15 milioni o al 3% per gli obblighi di operatori e di trasparenza; fino a 7,5 milioni o all'1% per informazioni inesatte alle autorità. Vale l'importo più alto, ma per PMI e start-up vale il più basso; per le piccole imprese a media capitalizzazione il più basso vale solo nelle ultime due fasce (art. 99).
Chi controlla l'applicazione dell'AI Act in Italia?
La legge 132/2025 designa come autorità nazionali per l'IA l'Agenzia per l'Italia digitale (AgID) e l'Agenzia per la cybersicurezza nazionale (ACN), che ha la vigilanza, comprese ispezioni e sanzioni. Banca d'Italia, CONSOB e IVASS restano autorità di vigilanza del mercato per il settore finanziario (art. 20).
N° 06 - Fonti e letture
Le norme e gli approfondimenti.
Valutazioni sui sistemi di IA, privacy e contratti con i fornitori sono nella pagina dello studio sulle consulenze tech.
Legge 23 settembre 2025, n. 132 Disposizioni e deleghe al Governo in materia di intelligenza artificiale, in vigore dal 10 ottobre 2025: lavoro (art. 11), professioni intellettuali (art. 13), autorità nazionali (art. 20), reati (art. 26).
Decreto legislativo 9 settembre 2026, n. 160 Adeguamento all'AI Act su polizia e responsabilità civile e penale, in vigore dal 30 settembre 2026: tra l'altro introduce l'art. 437-bis del codice penale.
Un test non classifica un sistema che decide su persone.
Ruolo, finalità prevista e deroghe si leggono sui contratti e sui processi reali. Se vuoi verificare con noi i sistemi che sviluppi o usi, richiedi una consulenza.
