Quando entra in vigore l'AI Act e quali sono le scadenze chiave?

Il Regolamento UE 2024/1689 è entrato in vigore il 1° agosto 2024 e si applica per fasi. Il testo consolidato al 27 luglio 2026 conferma l’applicazione generale dal 2 agosto 2026, ma rinvia le sezioni centrali sugli obblighi dei sistemi ad alto rischio: 2 dicembre 2027 per i sistemi dell’Allegato III e 2 agosto 2028 per quelli collegati ai prodotti dell’Allegato I. Divieti, alfabetizzazione IA, governance e regole GPAI seguono date proprie; ogni progetto va quindi verificato sulla disposizione specifica.

La mia azienda usa ChatGPT o un software con IA: devo essere conforme all'AI Act?

L’uso professionale di un modello di terzi non comporta automaticamente tutti gli obblighi previsti per i sistemi ad alto rischio. Occorre identificare sistema, finalità e ruolo effettivo: deployer, provider, importatore o distributore. Integrazione, modifica sostanziale o apposizione del proprio marchio possono cambiare la qualificazione. Vanno poi verificati obblighi di alfabetizzazione, trasparenza, istruzioni d’uso, supervisione e, se sono trattati dati personali, il distinto perimetro GDPR.

Quali sistemi di IA sono considerati "ad alto rischio" nell'AI Act?

L’AI Act considera ad alto rischio sia alcuni sistemi che sono prodotti o componenti di sicurezza disciplinati dall’Allegato I, sia gli usi elencati nell’Allegato III, tra cui biometria, infrastrutture critiche, istruzione, occupazione, accesso a servizi essenziali, attività di contrasto, migrazione e giustizia. La sola appartenenza a un settore non basta sempre: vanno verificati finalità prevista, eccezioni dell’art. 6 e condizioni concrete.

Quali sono le sanzioni per violazione dell'AI Act?

Il Regolamento prevede massimi diversi in funzione della violazione, inclusi fino a 35 milioni di euro o al 7% del fatturato mondiale annuo per alcune pratiche vietate. Importi e criterio percentuale vanno letti con le regole applicabili a imprese e PMI. In Italia la legge n. 132/2025 attribuisce funzioni nazionali ad AgID e ACN, ferme le competenze delle autorità settoriali e del Garante quando sono coinvolti dati personali.

Cos'è una valutazione FRIA (Fundamental Rights Impact Assessment) e quando è obbligatoria?

L’art. 27 richiede la valutazione per determinate categorie di deployer e sistemi ad alto rischio, tra cui organismi di diritto pubblico, soggetti privati che prestano servizi pubblici e specifici usi dell’Allegato III. Descrive processi, durata e frequenza d’uso, persone interessate, rischi, supervisione e mitigazioni. Non coincide con la DPIA GDPR, ma può richiamarne le parti che soddisfano già alcuni obblighi.

Quanto costa l'adeguamento all'AI Act per una PMI italiana?

Il compenso dipende da numero e ruolo dei sistemi, classificazione, filiera contrattuale, documentazione disponibile, integrazione con GDPR e cybersecurity e attività richieste. Una ricognizione di strumenti interni ha un perimetro diverso dalla governance di un sistema ad alto rischio sviluppato e commercializzato. La proposta indica fasi, documenti, tempi e criteri economici; non vengono promessi risultati autorizzativi o assenza di sanzioni.

Avvocato AI Act per Aziende e Startup

Di Avv. Antonino IngogliaAggiornato: agosto 2026

Il Regolamento (UE) 2024/1689 sull'intelligenza artificiale introduce un framework normativo basato sul rischio. Lo studio offre assistenza legale in materia di classificazione del rischio, compliance e documentazione tecnica, erogabile in videochiamata su tutto il territorio nazionale.

Risposta diretta

Cosa fa un avvocato AI Act per aziende?

L’assistenza in materia di AI Act parte dall’inventario dei sistemi e qualifica ruolo, rischio, uso previsto e filiera di ciascuno. Sulla base del testo consolidato del Regolamento (UE) 2024/1689, il lavoro può comprendere mappa degli obblighi, governance, contratti, trasparenza e coordinamento con GDPR e cybersecurity. Il perimetro dipende dal sistema concreto e non dalla sola presenza di una funzione denominata “AI”.

In concreto

Dalla mappa dei sistemi a un piano AI Act verificabile

Il primo risultato utile non è un fascicolo generico, ma una mappa di sistemi, finalità, ruoli e scadenze. Da questa qualificazione deriva il perimetro documentale e contrattuale.

Quando può essere utile

Aziende che acquistano o usano sistemi di IA nei processi interni.
Startup, software house e SaaS che integrano modelli o API in prodotti propri.
Organizzazioni che impiegano IA in HR, credito, sanità, servizi pubblici o altri ambiti sensibili.
Team che devono coordinare AI Act, GDPR, contratti e cybersecurity.

Attività e documenti concordabili

Inventario e ruoli

Sistemi, finalità, versioni, fornitori e qualificazione preliminare come provider, deployer o altro operatore.

Mappa degli obblighi

Classificazione motivata, date applicabili, dipendenze e priorità distinte per sistema.

Documenti e contratti

Policy, istruzioni, clausole e documentazione concordata, coordinata con privacy e sicurezza.

Governance operativa

Ruoli interni, approvazioni, supervisione, incidenti, monitoraggio e riesame dei sistemi.

Metodo di lavoro

FASE 1
Discovery tecnica e legale
Raccolta di use case, architettura, dati, fornitori, utenti e mercato di destinazione.
FASE 2
Qualificazione
Analisi di ruolo, rischio, eccezioni, trasparenza e norme che si sovrappongono.
FASE 3
Attuazione
Piano, documenti, clausole e confronto con le funzioni responsabili entro il perimetro concordato.

Tempi

La ricognizione iniziale può essere delimitata per sistemi o use case. Le fasi successive dipendono da accesso alla documentazione tecnica, ruolo nella filiera, rischio e scadenze applicabili.

Compenso

Il preventivo è definito per fasi e output, considerando numero di sistemi, ruolo dell’organizzazione, complessità tecnica e attività interdisciplinari. L’esito professionale e le valutazioni delle autorità non possono essere assicurati.

Perimetri distinti

Sette verifiche, non una checklist generica

L'AI Act non coincide con la sola trasparenza dei chatbot. L'incarico viene delimitato per sistema e può riguardare uno o più percorsi, ciascuno con un output verificabile.

AI literacy e pratiche vietate

Mappatura dei ruoli da formare, programma documentato e verifica preventiva degli usi vietati o soggetti a condizioni specifiche.

Output: Piano formativo, registro delle evidenze e lista degli usi non ammessi.

Trasparenza ex art. 50

Analisi distinta di interazione con persone, marcatura machine-readable, sistemi biometrici, deepfake e testi di interesse pubblico.

Output: Matrice art. 50, specifiche di disclosure o marcatura e remediation plan.

Classificazione ad alto rischio

Verifica di finalità prevista, Allegati I e III, condizioni dell’art. 6 ed eventuali esclusioni.

Output: Memoria di classificazione per sistema, versione e use case.

Provider, deployer e filiera

Qualificazione del ruolo rispetto a sistema, API, integrazioni, marchio, modifiche e uso sotto la propria autorità.

Output: Matrice dei ruoli e mappa delle responsabilità contrattuali.

DPIA e FRIA

Verifica separata dei trigger GDPR e AI Act, con riuso controllato delle evidenze comuni.

Output: Screening motivato, valutazioni applicabili e registro delle misure.

Governance e AI Policy

Regole per approvazione, supervisione, fornitori, incidenti, modifiche, monitoraggio e riesame degli strumenti AI.

Output: AI Policy, workflow decisionale e registro delle decisioni.

Calendario applicativo

Scadenze costruite per disposizione, categoria del sistema e ruolo, incluso il quadro modificato dal Regolamento (UE) 2026/1744.

Output: Roadmap con owner, dipendenze, priorità e date di riesame.

Per l'uso operativo di sistemi ad alto rischio, consulta anche la guida dedicata agli obblighi del deployer ai sensi dell'art. 26 AI Act.

Il Nuovo Framework Europeo sull'AI

Cos'è l'AI Act? Il Regolamento (UE) 2024/1689 disciplina operatori, modelli e sistemi di IA con obblighi che dipendono da ruolo, rischio e uso previsto. Distingue pratiche vietate, sistemi ad alto rischio, obblighi di trasparenza e regole per i modelli per finalità generali. La qualificazione va svolta sul sistema concreto: etichette commerciali come “chatbot” o “copilot” non determinano da sole gli obblighi.

Per separare correttamente i due perimetri è utile il confronto tra GDPR e AI Act; per prodotti digitali e startup, la guida alle architetture integrate di compliance collega ruoli, dati, contratti e documentazione tecnica.

Febbraio 2025

Divieto dei sistemi AI a rischio inaccettabile

Agosto 2025

Requisiti per modelli AI general-purpose

Agosto 2026

Applicazione generale; gli obblighi centrali dei sistemi ad alto rischio seguono le date rinviate del testo consolidato

A Chi Si Applica?

Fornitori di sistemi AI immessi sul mercato UE
Deployer (utilizzatori) di sistemi AI nell'UE
Importatori e distributori di sistemi AI
Produttori che integrano AI nei propri prodotti
Rappresentanti autorizzati di fornitori extra-UE

Approccio Basato sul Rischio

L'AI Act classifica i sistemi AI in base al livello di rischio per i diritti fondamentali e la sicurezza, applicando requisiti proporzionati.

Rischio Inaccettabile

Sistemi vietati: manipolazione subliminale, social scoring governativo, identificazione biometrica remota in tempo reale (con eccezioni).

Sistemi di scoring socialeManipolazione comportamentale

Rischio Alto

Sistemi soggetti a requisiti stringenti: valutazione conformità, gestione rischi, trasparenza, supervisione umana.

Selezione del personaleValutazione creditiziaSistemi critici in sanità

Rischio Limitato

Sistemi con obblighi di trasparenza: informare gli utenti che interagiscono con un sistema AI.

ChatbotDeepfakeSistemi di riconoscimento emozioni

Rischio Minimo

Sistemi liberamente utilizzabili, eventualmente con codici di condotta volontari.

Filtri spamRaccomandazioni contenutiVideogame

Livelli di Rischio AI Act: Obblighi e Sanzioni

Riepilogo degli obblighi e delle sanzioni previste dal Regolamento (UE) 2024/1689 per ciascun livello di rischio.

Livello di Rischio	Obblighi Principali	Sanzione Massima	Scadenza
Inaccettabile	Divieto assoluto di immissione sul mercato e utilizzo	Fino a 35 mln € o 7% del fatturato mondiale	Febbraio 2025
Alto	Valutazione conformità, gestione rischi, documentazione tecnica, supervisione umana, trasparenza	Fino a 15 mln € o 3% del fatturato mondiale	Dicembre 2027 (Allegato III) / agosto 2028 (Allegato I)
Limitato	Obblighi di trasparenza: informare gli utenti dell'interazione con AI	Fino a 15 mln € o 3% del fatturato mondiale	Agosto 2026
Minimo	Nessun obbligo specifico, codici di condotta volontari	Nessuna sanzione specifica	N/A

Scadenze verificate sul testo consolidato dell’AI Act al 27 luglio 2026. In Italia, AgID e ACN sono designate autorità nazionali dalla legge 23 settembre 2025, n. 132, ferme le competenze settoriali.

Ambiti di Assistenza

Le attività di consulenza comprendono i seguenti ambiti, dalla fase di assessment alla predisposizione della documentazione richiesta dal Regolamento. Nei prodotti software che integrano sistemi AI, anche i termini di servizio SaaS devono coordinare trasparenza, istruzioni d'uso e responsabilità.

Classificazione del Rischio

Analisi dei sistemi AI in uso o in fase di sviluppo per determinare la classe di rischio e gli obblighi applicabili.

Gap Analysis

Valutazione dello stato attuale rispetto ai requisiti dell'AI Act, identificazione delle aree di intervento.

Sistema di Gestione Rischi

Supporto per l'implementazione del sistema di gestione dei rischi richiesto per i sistemi ad alto rischio.

Documentazione Tecnica

Redazione della documentazione tecnica obbligatoria: descrizione sistema, dati training, testing, monitoraggio.

Governance AI

Definizione della governance interna: ruoli, responsabilità, procedure per lo sviluppo e l'utilizzo di sistemi AI.

Formazione

Sessioni formative per management, sviluppatori e utilizzatori sui requisiti dell'AI Act e le best practice.

Le Voci delle Istituzioni Europee

Cosa hanno dichiarato i protagonisti dell'AI Act al momento della sua approvazione.

“We finally have the world's first binding law on artificial intelligence, to reduce risks, create opportunities, combat discrimination, and bring transparency.”
On. Brando Benifei, Co-relatore AI Act al Parlamento Europeo·13 marzo 2024, voto in sessione plenaria

“L'Italia sostiene una via europea all'intelligenza artificiale, che si distacca dall'esasperato liberismo americano come dal sovranismo autarchico. La nostra è una via mediana, per la libertà, la democrazia e la dignità umana in Europa.”
Pasquale Stanzione, Presidente del Garante per la protezione dei dati personali·Relazione annuale al Parlamento, luglio 2025 (attività 2024)

Stato dell'Implementazione in Italia (aggiornato a marzo 2026)

Legge n. 132/2025 — L'Italia è il primo Stato membro ad aver adottato una legge nazionale sull'IA (23 settembre 2025)
ACN (Agenzia per la Cybersicurezza Nazionale) designata come autorità di vigilanza con poteri ispettivi e sanzionatori
AgID (Agenzia per l'Italia Digitale) designata come autorità di notifica per i sistemi AI
Gennaio 2026: l'EU AI Office ha avviato le prime richieste formali di informazioni verso fornitori di modelli general-purpose, tra cui X (Grok) e Meta

Approfondimenti informativi

Guide collegate a questo servizio

Contenuti di orientamento per comprendere presupposti, documenti e scelte operative prima di valutare il caso concreto.

Domande Frequenti

Quando entra in vigore l'AI Act e quali sono le scadenze chiave?: Il Regolamento UE 2024/1689 è entrato in vigore il 1° agosto 2024 e si applica per fasi. Il testo consolidato al 27 luglio 2026 conferma l’applicazione generale dal 2 agosto 2026, ma rinvia le sezioni centrali sugli obblighi dei sistemi ad alto rischio: 2 dicembre 2027 per i sistemi dell’Allegato III e 2 agosto 2028 per quelli collegati ai prodotti dell’Allegato I. Divieti, alfabetizzazione IA, governance e regole GPAI seguono date proprie; ogni progetto va quindi verificato sulla disposizione specifica.
La mia azienda usa ChatGPT o un software con IA: devo essere conforme all'AI Act?: L’uso professionale di un modello di terzi non comporta automaticamente tutti gli obblighi previsti per i sistemi ad alto rischio. Occorre identificare sistema, finalità e ruolo effettivo: deployer, provider, importatore o distributore. Integrazione, modifica sostanziale o apposizione del proprio marchio possono cambiare la qualificazione. Vanno poi verificati obblighi di alfabetizzazione, trasparenza, istruzioni d’uso, supervisione e, se sono trattati dati personali, il distinto perimetro GDPR.
Quali sistemi di IA sono considerati "ad alto rischio" nell'AI Act?: L’AI Act considera ad alto rischio sia alcuni sistemi che sono prodotti o componenti di sicurezza disciplinati dall’Allegato I, sia gli usi elencati nell’Allegato III, tra cui biometria, infrastrutture critiche, istruzione, occupazione, accesso a servizi essenziali, attività di contrasto, migrazione e giustizia. La sola appartenenza a un settore non basta sempre: vanno verificati finalità prevista, eccezioni dell’art. 6 e condizioni concrete.
Quali sono le sanzioni per violazione dell'AI Act?: Il Regolamento prevede massimi diversi in funzione della violazione, inclusi fino a 35 milioni di euro o al 7% del fatturato mondiale annuo per alcune pratiche vietate. Importi e criterio percentuale vanno letti con le regole applicabili a imprese e PMI. In Italia la legge n. 132/2025 attribuisce funzioni nazionali ad AgID e ACN, ferme le competenze delle autorità settoriali e del Garante quando sono coinvolti dati personali.
Cos'è una valutazione FRIA (Fundamental Rights Impact Assessment) e quando è obbligatoria?: L’art. 27 richiede la valutazione per determinate categorie di deployer e sistemi ad alto rischio, tra cui organismi di diritto pubblico, soggetti privati che prestano servizi pubblici e specifici usi dell’Allegato III. Descrive processi, durata e frequenza d’uso, persone interessate, rischi, supervisione e mitigazioni. Non coincide con la DPIA GDPR, ma può richiamarne le parti che soddisfano già alcuni obblighi.
Quanto costa l'adeguamento all'AI Act per una PMI italiana?: Il compenso dipende da numero e ruolo dei sistemi, classificazione, filiera contrattuale, documentazione disponibile, integrazione con GDPR e cybersecurity e attività richieste. Una ricognizione di strumenti interni ha un perimetro diverso dalla governance di un sistema ad alto rischio sviluppato e commercializzato. La proposta indica fasi, documenti, tempi e criteri economici; non vengono promessi risultati autorizzativi o assenza di sanzioni.

Conformità AI Act

Per una valutazione della posizione della tua organizzazione rispetto agli obblighi del Regolamento (UE) 2024/1689, è possibile richiedere un colloquio conoscitivo.

L'invio di una richiesta non instaura il rapporto professionale