L'AI Act europeo è legge, e le sue scadenze smettono di essere un tema da convegni per diventare adempimenti con date precise. Per le aziende IT — e per chiunque usi o commerciali sistemi di intelligenza artificiale in Europa — questo articolo è la mappa operativa: cosa scade, cosa rischia chi non si adegua e come trasformare l'obbligo in vantaggio.

Un ripasso in trenta secondi: le quattro fasce di rischio

L'AI Act classifica i sistemi in base al rischio: rischio inaccettabile (vietati: social scoring, sfruttamento di vulnerabilità), alto rischio (obblighi rigorosi prima dell'immissione sul mercato: AI in selezione del personale, credito, dispositivi medici, infrastrutture critiche), rischio limitato (obblighi di trasparenza: l'utente deve sapere che parla con un'AI), rischio minimo (nessun obbligo specifico: la stragrande maggioranza degli usi). La prima mossa di ogni azienda resta quindi l'inventario: quali sistemi AI usiamo, dove, con quale impatto su persone.

Le scadenze: cosa diventa obbligatorio e quando

Il calendario dell'AI Act arriva a scaglioni. Dopo le prime applicazioni (divieti e alfabetizzazione AI), entrano ormai in pieno vigore gli obblighi per i sistemi ad alto rischio nelle aree regolamentate: gestione del rischio, qualità dei dati, documentazione tecnica, tracciabilità, supervisione umana e robustezza cybersecurity. In parallelo si applicano pienamente le regole per i modelli di AI generica (GPAI): documentazione dei dati di addestramento, trasparenza verso chi integra i modelli e — per i modelli con rischio sistemico — valutazioni più severe.

Per le aziende IT la conseguenza pratica è immediata: chi sviluppa o integra soluzioni AI per clienti deve poter dimostrare la conformità del sistema, non solo dichiararla. E chi usa AI "chiavi in mano" deve chiedere al fornitore la documentazione giusta, perché una parte degli obblighi ricade su chi integra.

Le sanzioni: perché il tema è passato dai convegni ai CdA

Le violazioni più gravi sono puniti fino a 35 milioni di euro o il 7% del fatturato mondiale. Non è uno scenario da avvocati: bastano un sistema ad alto rischio messo sul mercato senza le misure richieste o una documentazione inesistente. La governance conta: l'AI Act, come il GDPR, premia chi può esibire processi e documenti, e penalizza chi scopre gli obblighi dopo.

I cinque passi concreti per chi usa o vende AI

  1. Inventario AI: elenca ogni sistema che usa intelligenza artificiale, interno o acquistato, e classificalo per rischio.
  2. Ruolo e responsabile: una figura (o un team) che possiede il tema, con il supporto di chi conosce la norma.
  3. Documentazione: per ogni sistema, schede con finalità, dati, limiti, supervisione umana. La documentazione è la difesa.
  4. Fornitori sotto controllo: chiedi dichiarazioni e documentazione a chi ti fornisce componenti AI; i contratti vanno aggiornati.
  5. Sicurezza dei sistemi AI: prompt injection, esfiltrazione di dati e abusi sono rischi concreti — protezioni e monitoraggio sono parte della conformità.

Alfabetizzazione AI: l'obbligo che tutti dimenticano

Un adempimento trasversale e spesso ignorato è la formazione: chi gestisce o usa sistemi AI nell'azienda deve avere competenze adeguate al ruolo. In pratica: policy chiare sull'uso dell'AI generativa, formazione per il personale, regole su quali dati possono entrare negli strumenti. È anche il modo più rapido per raccogliere vantaggi reali dall'AI senza esporre l'azienda.

L'opportunità: il marchio "AI affidabile"

Chi si adegua presto non solo dorme tranquillo: comunica. Potersi presentare al cliente con sistemi AI conformi, documentati e sicuri è un vantaggio competitivo misurabile, in un mercato dove la diffidenza verso l'AI è alta e la fiducia si vince con le prove. Come per il GDPR nel suo primo decennio, i primi adeguati saranno i referenti di settore; gli ultimi pagheranno corsi accelerati in atmosfera d'emergenza.

Conclusione: la mappa è pronta, il percorso si fa in compagnia

L'AI Act non è un muro: è una sequenza di passi chiari — inventario, classificazione, documentazione, sicurezza, formazione. B2B Driven accompagna le aziende IT su tutto il percorso, dall'analisi dei sistemi alla policy d'uso, fino alle misure di sicurezza dei modelli. Contattaci per un assessment AI: saprai esattamente dove sei e cosa ti manca, prima che lo dica un audit.