Regolamento UE sull'IA: Panoramica Completa della Normativa Europea sull'Intelligenza Artificiale

Il Regolamento UE sull'IA (Regolamento 2024/1689) è il primo quadro giuridico organico al mondo per l'intelligenza artificiale. Adottato dal Parlamento europeo il 13 marzo 2024 e pubblicato nella Gazzetta ufficiale dell'Unione europea il 12 luglio 2024, stabilisce norme armonizzate per lo sviluppo, la diffusione e l'uso dei sistemi di IA in tutta l'Unione europea.

Questo regolamento segna un cambio di paradigma nell'approccio dei governi all'intelligenza artificiale. Anziché affidarsi a linee guida volontarie o a norme settoriali, l'UE ha creato un quadro normativo orizzontale, basato sul rischio, che si applica a tutti i settori e a tutti i casi d'uso.

Il Regolamento UE sull'IA è entrato in vigore il 1° agosto 2024, con un calendario di attuazione progressiva che, dopo la modifica di luglio 2026, si estende ora fino al 2 agosto 2028. Le diverse disposizioni si applicano in date differenti, concedendo alle organizzazioni il tempo necessario per prepararsi.

Cosa è cambiato a luglio 2026

Il 27 luglio 2026 è entrato in vigore il Regolamento (UE) 2026/1744 ("Digital Omnibus sull'IA"), primo atto di modifica del Regolamento sull'IA. Il suo effetto principale è il differimento del regime relativo ai sistemi ad alto rischio disciplinato dal Capo III, Sezioni 1, 2 e 3:

i sistemi ad alto rischio ai sensi dell'Articolo 6, paragrafo 2, e dell'Allegato III (casi d'uso autonomi) si applicano dal 2 dicembre 2027, anziché dal 2 agosto 2026;
i sistemi ad alto rischio ai sensi dell'Articolo 6, paragrafo 1, e dell'Allegato I (componenti di sicurezza di prodotti) si applicano dal 2 agosto 2028, anziché dal 2 agosto 2027;
il termine dell'Articolo 57 per rendere operativi gli spazi di sperimentazione normativa nazionali passa dal 2 agosto 2026 al 2 agosto 2027.

Il differimento è incondizionato. Il meccanismo di "stop-the-clock" contenuto nella proposta della Commissione, che avrebbe legato le nuove date a una decisione sulla disponibilità delle norme armonizzate, è stato eliminato dai colegislatori: nel testo adottato non figura alcun criterio di attivazione basato sullo stato della normazione, né alcun ulteriore rinvio automatico.

Altrettanto rilevante è ciò che non è cambiato. Il 2 agosto 2026 è rimasto la data di applicazione generale del regolamento e da tale data l'Ufficio per l'IA e le autorità nazionali hanno avviato l'attività di applicazione. Gli obblighi di trasparenza dell'Articolo 50 — informativa sui chatbot, etichettatura dei deepfake e marcatura leggibile dalla macchina dei contenuti sintetici — non sono stati differiti e sono pienamente esigibili oggi. Anche la registrazione ai sensi dell'Articolo 49 continua ad applicarsi dal 2 agosto 2026.

Il Regolamento (UE) 2026/1744 introduce inoltre due nuovi divieti all'Articolo 5, applicabili dal 2 dicembre 2026, e un periodo transitorio ai sensi del nuovo Articolo 111, paragrafo 4: i sistemi di IA generativa immessi sul mercato prima del 2 agosto 2026 devono soddisfare l'obbligo di marcatura leggibile dalla macchina dell'Articolo 50, paragrafo 2, entro la stessa data del 2 dicembre 2026.

Perché il Regolamento UE sull'IA è importante

Il Regolamento UE sull'IA è rilevante ben oltre i confini europei. Analogamente al Regolamento generale sulla protezione dei dati (GDPR), il Regolamento sull'IA è destinato a stabilire uno standard globale per la governance dell'IA. Vi sono diversi motivi per cui questa normativa merita l'attenzione di qualsiasi organizzazione che operi con l'intelligenza artificiale.

Portata globale attraverso l'applicazione extraterritoriale

L'Articolo 2 del Regolamento sull'IA stabilisce un ampio ambito di applicazione territoriale. Il regolamento si applica non solo ai fornitori e ai deployer stabiliti all'interno dell'UE, ma anche ai fornitori e ai deployer in Paesi terzi quando l'output del loro sistema di IA viene utilizzato all'interno dell'Unione. Ciò significa che un'impresa con sede negli Stati Uniti, in Giappone o in qualsiasi altro Paese deve conformarsi se il suo sistema di IA produce risultati che riguardano persone nell'UE.

Definizione dello standard globale

L'UE vanta una comprovata capacità di esportare i propri standard normativi. Il cosiddetto "Effetto Bruxelles" comporta che le imprese multinazionali spesso adottano gli standard europei a livello globale piuttosto che mantenere regimi di conformità separati. È previsto che il Regolamento sull'IA segua questo modello, diventando di fatto il riferimento di base per la governance dell'IA a livello mondiale.

Tutela dei diritti fondamentali

A differenza di approcci incentrati principalmente sull'innovazione o sulle considerazioni economiche, il Regolamento UE sull'IA pone i diritti fondamentali al centro. Il Considerando 1 afferma esplicitamente che lo scopo del regolamento è migliorare il funzionamento del mercato interno, promuovendo al contempo la diffusione di un'IA antropocentrica e affidabile e garantendo un elevato livello di protezione della salute, della sicurezza e dei diritti fondamentali.

A chi si applica il Regolamento UE sull'IA?

Il Regolamento sull'IA definisce diverse categorie di soggetti all'interno della catena del valore dell'IA. Comprendere quale ruolo riveste la propria organizzazione è il primo passo verso la conformità.

Fornitori

Un fornitore è qualsiasi persona fisica o giuridica che sviluppa un sistema di IA o un modello di IA per finalità generali e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio (Articolo 3, paragrafo 3). I fornitori sopportano l'onere di conformità più gravoso, in particolare per i sistemi di IA ad alto rischio.

Deployer

Un deployer è qualsiasi persona fisica o giuridica che utilizza un sistema di IA sotto la propria autorità, eccetto quando il sistema di IA è utilizzato nel corso di un'attività personale di natura non professionale (Articolo 3, paragrafo 4). I deployer hanno una propria serie di obblighi, inclusa la conduzione di valutazioni d'impatto sui diritti fondamentali per determinati sistemi ad alto rischio.

Importatori e distributori

Gli importatori immettono sul mercato dell'UE sistemi di IA provenienti da Paesi terzi, mentre i distributori rendono disponibili sul mercato sistemi di IA senza modificarli. Entrambi hanno obblighi di verifica e documentazione ai sensi degli Articoli 26 e 27.

Rappresentanti autorizzati

I fornitori stabiliti al di fuori dell'UE devono nominare un rappresentante autorizzato all'interno dell'Unione prima di rendere disponibili i propri sistemi di IA ad alto rischio sul mercato dell'UE (Articolo 22).

Se la Vostra organizzazione modifica un sistema di IA ad alto rischio in modo da incidere sulla sua conformità, o se appone il proprio nome o marchio su di esso, potreste essere riclassificati come fornitori ai sensi dell'Articolo 25, con tutti gli obblighi corrispondenti.

L'approccio basato sul rischio

L'elemento cardine del Regolamento UE sull'IA è il suo sistema di classificazione basato sul rischio. Anziché imporre requisiti uniformi a tutti i sistemi di IA, il regolamento stabilisce quattro livelli di rischio, ciascuno con obblighi proporzionati.

Rischio inaccettabile (pratiche vietate)

L'Articolo 5 del Regolamento sull'IA elenca le pratiche di IA che sono del tutto vietate. Queste comprendono sistemi di IA che utilizzano tecniche subliminali, manipolative o ingannevoli per distorcere il comportamento, sistemi che sfruttano vulnerabilità legate all'età, alla disabilità o alla situazione socioeconomica, il social scoring da parte delle autorità pubbliche, l'identificazione biometrica remota in tempo reale negli spazi accessibili al pubblico da parte delle forze dell'ordine (con eccezioni limitate) e il riconoscimento delle emozioni nei luoghi di lavoro e negli istituti di istruzione. Questi divieti si applicano dal 2 febbraio 2025 e non sono stati modificati.

Il Regolamento (UE) 2026/1744 ha aggiunto due ulteriori pratiche vietate, applicabili dal 2 dicembre 2026: i sistemi di IA che generano o manipolano immagini intime realistiche di una persona identificabile senza il suo consenso (Articolo 5, paragrafo 1, lettera b bis) e i sistemi di IA che generano o manipolano materiale pedopornografico (Articolo 5, paragrafo 1, lettera b ter). L'ambito di applicazione è precisato dai nuovi paragrafi 1 bis e 1 ter dell'Articolo 5. Gli orientamenti della Commissione sulle pratiche vietate del 4 febbraio 2025 restano il riferimento operativo per l'Articolo 5, ma non trattano ancora questi due nuovi divieti.

Alto rischio

Gli Articoli 6 e 7, insieme agli Allegati I e III, definiscono i sistemi di IA ad alto rischio. Questi rientrano in due categorie: i sistemi di IA che sono componenti di sicurezza di prodotti già soggetti alla legislazione di armonizzazione dell'UE (come dispositivi medici, macchinari e veicoli) e i sistemi di IA autonomi utilizzati in ambiti sensibili elencati nell'Allegato III, tra cui identificazione biometrica, infrastrutture critiche, istruzione, occupazione, servizi essenziali, attività di contrasto, migrazione e amministrazione della giustizia.

I sistemi di IA ad alto rischio sono soggetti ai requisiti di conformità più estesi, dettagliati negli Articoli da 8 a 15. Tali requisiti si applicano dal 2 dicembre 2027 ai sistemi dell'Allegato III e dal 2 agosto 2028 ai sistemi dell'Allegato I. Fanno eccezione l'Articolo 6, paragrafo 5, e l'obbligo di registrazione dell'Articolo 49, che restano esclusi dal differimento. Si segnala inoltre che il Regolamento (UE) 2026/1744 ha modificato l'Allegato I, spostando i macchinari dalla Sezione A alla Sezione B; l'Allegato III non è stato modificato.

Ad oggi nessuna norma armonizzata è stata citata nella Gazzetta ufficiale, per cui non esiste ancora una presunzione di conformità ai sensi dell'Articolo 40; la richiesta di normazione M/613 ha scadenza il 28 febbraio 2027. Gli orientamenti della Commissione sulla classificazione ad alto rischio ai sensi dell'Articolo 6, paragrafo 5, pubblicati il 19 maggio 2026, sono tuttora una bozza: qualsiasi posizione desunta da tali documenti va trattata come interpretazione preliminare.

Rischio limitato

I sistemi di IA che presentano un rischio limitato sono soggetti a specifici obblighi di trasparenza ai sensi dell'Articolo 50. Ciò comprende i chatbot (che devono rivelare che l'utente sta interagendo con un'IA), i deepfake (che devono essere etichettati) e i contenuti generati dall'IA (che devono essere contrassegnati come tali).

L'Articolo 50 rientra nel Capo IV e non è stato interessato dal differimento del Capo III: si applica dal 2 agosto 2026 ed è già oggi pienamente esigibile. L'unica agevolazione riguarda i sistemi di IA generativa immessi sul mercato prima del 2 agosto 2026, che ai sensi dell'Articolo 111, paragrafo 4, hanno tempo fino al 2 dicembre 2026 per soddisfare l'obbligo di marcatura leggibile dalla macchina dell'Articolo 50, paragrafo 2.

Rischio minimo

I sistemi di IA che presentano un rischio minimo o nullo — la stragrande maggioranza delle applicazioni di IA — possono essere sviluppati e utilizzati senza obblighi aggiuntivi rispetto alla legislazione vigente. Il regolamento incoraggia, senza renderli obbligatori, lo sviluppo di codici di condotta volontari per questi sistemi.

Disposizioni e requisiti fondamentali

Oltre alla classificazione del rischio, il Regolamento sull'IA introduce diversi meccanismi e requisiti importanti.

Modelli di IA per finalità generali (GPAI)

Il Capo V del Regolamento sull'IA disciplina i modelli di IA per finalità generali, compresi i modelli linguistici di grandi dimensioni. Tutti i fornitori di modelli GPAI devono mantenere la documentazione tecnica, fornire informazioni ai fornitori a valle, rispettare la normativa sul diritto d'autore e pubblicare una sintesi sufficientemente dettagliata dei contenuti di addestramento.

I modelli GPAI con rischio sistemico — in genere quelli addestrati con più di 10^25 FLOP cumulativi di calcolo — sono soggetti a obblighi aggiuntivi tra cui valutazioni del modello, test avversariali, segnalazione degli incidenti e misure di cybersicurezza.

Il Capo V non è stato modificato nella sostanza dal Regolamento (UE) 2026/1744: la soglia di rischio sistemico dell'Articolo 51, paragrafo 2, resta invariata e i modelli GPAI immessi sul mercato prima del 2 agosto 2025 mantengono il termine del 2 agosto 2027 per conformarsi (Articolo 111, paragrafo 3).

Need auditable AI for compliance?

Ctrl AI provides full execution traces, expert verification, and trust-tagged outputs for every AI decision.

Learn About Ctrl AI

Struttura di governance dell'IA

Il Regolamento sull'IA istituisce una struttura di governance multilivello:

Ufficio per l'IA (Articolo 64): un organismo all'interno della Commissione europea responsabile della supervisione dei modelli GPAI e del supporto all'applicazione uniforme del regolamento.
Comitato europeo per l'intelligenza artificiale (Articolo 65): composto da rappresentanti di ciascuno Stato membro, il Comitato fornisce consulenza alla Commissione e facilita l'applicazione coerente in tutta l'UE.
Autorità nazionali competenti (Articolo 70): ciascuno Stato membro deve designare almeno un'autorità di notifica e un'autorità di vigilanza del mercato.
Forum consultivo (Articolo 67): un organismo di portatori di interesse che fornisce competenze tecniche al Comitato e alla Commissione.

Spazi di sperimentazione normativa

L'Articolo 57 impone a ciascuno Stato membro di istituire almeno uno spazio di sperimentazione normativa per l'IA. Il termine, originariamente fissato al 2 agosto 2026, è stato spostato al 2 agosto 2027 dal Regolamento (UE) 2026/1744. Questi ambienti controllati consentono di sviluppare e testare sistemi di IA innovativi sotto la supervisione delle autorità di regolamentazione, con certezza giuridica e sorveglianza strutturata.

Valutazione d'impatto sui diritti fondamentali

L'Articolo 27 impone ai deployer di sistemi di IA ad alto rischio che siano organismi di diritto pubblico, o soggetti privati che erogano servizi pubblici, di condurre una valutazione d'impatto sui diritti fondamentali prima di mettere in uso un sistema di IA ad alto rischio. Tale valutazione deve identificare i rischi per i diritti fondamentali e descrivere le misure adottate per mitigarli.

Sanzioni e applicazione

Il Regolamento UE sull'IA stabilisce un sistema sanzionatorio progressivo che riflette la gravità delle violazioni.

Sanzioni pecuniarie

Ai sensi dell'Articolo 99, le sanzioni amministrative pecuniarie massime sono:

Pratiche di IA vietate (Articolo 5): fino a 35 milioni di EUR o il 7% del fatturato mondiale totale annuo, se superiore.
Mancata conformità ai requisiti per i sistemi ad alto rischio: fino a 15 milioni di EUR o il 3% del fatturato mondiale totale annuo.
Fornitura di informazioni inesatte alle autorità: fino a 7,5 milioni di EUR o l'1% del fatturato mondiale totale annuo.

Per le PMI e le startup, si applica il minore tra i due importi, a garanzia di una certa proporzionalità per le organizzazioni di dimensioni minori.

Queste sanzioni sono calcolate sul fatturato mondiale totale annuo dell'esercizio finanziario precedente, non solo sui ricavi nell'UE. Per le grandi multinazionali, le sanzioni calcolate in percentuale possono tradursi in penalità di centinaia di milioni o persino miliardi di euro.

Vigilanza del mercato

Le autorità nazionali di vigilanza del mercato hanno il potere di effettuare ispezioni, richiedere azioni correttive e ritirare dal mercato i sistemi di IA non conformi. Il regolamento autorizza inoltre le persone fisiche a presentare reclami alle autorità di vigilanza del mercato.

Calendario di attuazione

Il Regolamento sull'IA segue un calendario di attuazione progressiva:

1° agosto 2024: entrata in vigore.
2 febbraio 2025: si applicano i divieti sulle pratiche di IA a rischio inaccettabile (Articolo 5).
2 agosto 2025: si applicano gli obblighi per i modelli GPAI. Entrano in vigore le disposizioni sulla struttura di governance.
27 luglio 2026: entra in vigore il Regolamento (UE) 2026/1744 ("Digital Omnibus sull'IA"). Gli Articoli da 102 a 110 del Regolamento sull'IA si applicano da questa data.
2 agosto 2026: data di applicazione generale del regolamento, invariata. Si applicano fra l'altro gli obblighi di trasparenza dell'Articolo 50 e la registrazione ai sensi dell'Articolo 49; ha inizio l'attività di applicazione da parte dell'Ufficio per l'IA e delle autorità nazionali.
2 dicembre 2026: si applicano i due nuovi divieti dell'Articolo 5 relativi alle immagini intime non consensuali e al materiale pedopornografico. Scade il periodo transitorio dell'Articolo 111, paragrafo 4, per la marcatura dei contenuti generati dai sistemi di IA generativa preesistenti.
2 agosto 2027: termine per rendere operativi gli spazi di sperimentazione normativa nazionali (Articolo 57) e per la conformità dei modelli GPAI immessi sul mercato prima del 2 agosto 2025 (Articolo 111, paragrafo 3).
2 dicembre 2027: si applicano i requisiti del Capo III, Sezioni 1, 2 e 3, ai sistemi di IA ad alto rischio elencati nell'Allegato III (Articolo 6, paragrafo 2).
28 gennaio 2028: termine entro il quale gli organismi notificati già notificati in virtù della legislazione settoriale dell'Allegato I, Sezione A, devono presentare domanda di designazione ai sensi del Capo III, Sezione 4 (Articolo 43, paragrafo 3).
2 agosto 2028: si applicano gli stessi requisiti ai sistemi di IA ad alto rischio che sono componenti di sicurezza di prodotti disciplinati dalla legislazione di armonizzazione dell'UE vigente (Articolo 6, paragrafo 1, e Allegato I).
2 agosto 2030: termine per i sistemi di IA ad alto rischio preesistenti utilizzati dalle autorità pubbliche.

Come prepararsi alla conformità

La preparazione al Regolamento UE sull'IA non è qualcosa che si possa realizzare dall'oggi al domani. Le organizzazioni dovrebbero iniziare fin da subito con un approccio strutturato.

Fase 1: Inventario dei sistemi di IA

Iniziate catalogando tutti i sistemi di IA che la vostra organizzazione sviluppa, implementa o utilizza. Per ciascun sistema, identificate il suo scopo, i dati che elabora, chi ne è interessato e quale ruolo riveste la vostra organizzazione (fornitore, deployer, importatore o distributore).

Fase 2: Classificazione del rischio

Mappate ciascun sistema di IA rispetto alle categorie di rischio definite negli Articoli 5 e 6 e nell'Allegato III. Determinate se qualcuno dei vostri sistemi rientra nelle categorie ad alto rischio o vietate.

Fase 3: Analisi delle lacune

Per i sistemi ad alto rischio, valutate le vostre prassi attuali rispetto ai requisiti previsti dagli Articoli da 8 a 15. Identificate le lacune nella gestione del rischio, nella governance dei dati, nella documentazione tecnica, nella tenuta dei registri, nella trasparenza, nella sorveglianza umana, nell'accuratezza e nella cybersicurezza.

Fase 4: Roadmap di conformità

Sviluppate una roadmap prioritaria per colmare le lacune identificate. Le priorità immediate sono gli obblighi già esigibili: le pratiche vietate dell'Articolo 5, gli obblighi relativi ai GPAI e la trasparenza dell'Articolo 50. Seguono i due nuovi divieti e la marcatura dei contenuti sintetici preesistenti (2 dicembre 2026) e, su un orizzonte più lungo, i requisiti per i sistemi ad alto rischio (2 dicembre 2027 per l'Allegato III, 2 agosto 2028 per l'Allegato I).

Fase 5: Monitoraggio continuo

La conformità al Regolamento sull'IA non è un esercizio una tantum. L'Articolo 9 richiede una gestione continua del rischio, e l'Articolo 72 impone la sorveglianza post-commercializzazione per i sistemi di IA ad alto rischio. Istituite processi per il monitoraggio e la documentazione continui della conformità.

Le organizzazioni che iniziano tempestivamente il percorso di conformità avranno un vantaggio significativo. Oltre a evitare sanzioni, dimostrare pratiche responsabili nell'uso dell'IA genera fiducia presso clienti, partner e autorità di regolamentazione.

Conclusione

Il Regolamento UE sull'IA rappresenta un cambiamento fondamentale nella regolamentazione dell'intelligenza artificiale. Il suo approccio basato sul rischio fornisce un quadro proporzionato che bilancia l'innovazione con la tutela dei diritti fondamentali. L'applicazione è ormai avviata: i divieti dell'Articolo 5, gli obblighi sui modelli GPAI e la trasparenza dell'Articolo 50 sono già esigibili. Il differimento del regime sui sistemi ad alto rischio concede tempo fino al 2 dicembre 2027 per l'Allegato III e fino al 2 agosto 2028 per l'Allegato I, ma si tratta di un margine per organizzarsi, non di una sospensione degli obblighi già in vigore.

Che siate un fornitore che sviluppa sistemi di IA, un deployer che li integra nelle proprie attività, o un'organizzazione che cerca di comprendere i propri obblighi, un approccio sistematico alla conformità è essenziale. Comprendere il regolamento, classificare i propri sistemi di IA e costruire processi di governance solidi posizionerà la vostra organizzazione non solo per la conformità, ma per uno sviluppo dell'IA sostenibile e affidabile.