L'AI Act europeo è legge, e le sue scadenze smettono di essere un tema da convegni per diventare adempimenti con date precise. Per le aziende IT (e per chiunque usi o commerciali sistemi di intelligenza artificiale in Europa) questo articolo è la mappa operativa: cosa scade, cosa rischia chi non si adegua e come trasformare l'obbligo in vantaggio.
Un ripasso in trenta secondi: le quattro fasce di rischio
L'AI Act classifica i sistemi in base al rischio: rischio inaccettabile (vietati: social scoring, sfruttamento di vulnerabilità), alto rischio (obblighi rigorosi prima dell'immissione sul mercato: AI in selezione del personale, credito, dispositivi medici, infrastrutture critiche), rischio limitato (obblighi di trasparenza: l'utente deve sapere che parla con un'AI), rischio minimo (nessun obbligo specifico: la stragrande maggioranza degli usi). La prima mossa di ogni azienda resta quindi l'inventario: quali sistemi AI usiamo, dove, con quale impatto su persone.
Le scadenze: cosa diventa obbligatorio e quando
Il calendario dell'AI Act arriva a scaglioni. Dopo le prime applicazioni (divieti e alfabetizzazione AI), entrano ormai in pieno vigore gli obblighi per i sistemi ad alto rischio nelle aree regolamentate: gestione del rischio, qualità dei dati, documentazione tecnica, tracciabilità, supervisione umana e robustezza cybersecurity. In parallelo si applicano pienamente le regole per i modelli di AI generica (GPAI): documentazione dei dati di addestramento, trasparenza verso chi integra i modelli e (per i modelli con rischio sistemico) valutazioni più severe.
Per le aziende IT la conseguenza pratica è immediata: chi sviluppa o integra soluzioni AI per clienti deve poter dimostrare la conformità del sistema, non solo dichiararla. E chi usa AI "chiavi in mano" deve chiedere al fornitore la documentazione giusta, perché una parte degli obblighi ricade su chi integra.
Le sanzioni: perché il tema è passato dai convegni ai CdA
Le violazioni più gravi sono puniti fino a 35 milioni di euro o il 7% del fatturato mondiale. Non è uno scenario da avvocati: bastano un sistema ad alto rischio messo sul mercato senza le misure richieste o una documentazione inesistente. La governance conta: l'AI Act, come il GDPR, premia chi può esibire processi e documenti, e penalizza chi scopre gli obblighi dopo.
I cinque passi concreti per chi usa o vende AI
- Inventario AI: elenca ogni sistema che usa intelligenza artificiale, interno o acquistato, e classificalo per rischio.
- Ruolo e responsabile: una figura (o un team) che possiede il tema, con il supporto di chi conosce la norma.
- Documentazione: per ogni sistema, schede con finalità, dati, limiti, supervisione umana. La documentazione è la difesa.
- Fornitori sotto controllo: chiedi dichiarazioni e documentazione a chi ti fornisce componenti AI; i contratti vanno aggiornati.
- Sicurezza dei sistemi AI: prompt injection, esfiltrazione di dati e abusi sono rischi concreti, protezioni e monitoraggio sono parte della conformità.
Alfabetizzazione AI: l'obbligo che tutti dimenticano
Un adempimento trasversale e spesso ignorato è la formazione: chi gestisce o usa sistemi AI nell'azienda deve avere competenze adeguate al ruolo. In pratica: policy chiare sull'uso dell'AI generativa, formazione per il personale, regole su quali dati possono entrare negli strumenti. È anche il modo più rapido per raccogliere vantaggi reali dall'AI senza esporre l'azienda.
L'opportunità: il marchio "AI affidabile"
Chi si adegua presto non solo dorme tranquillo: comunica. Potersi presentare al cliente con sistemi AI conformi, documentati e sicuri è un vantaggio competitivo misurabile, in un mercato dove la diffidenza verso l'AI è alta e la fiducia si vince con le prove. Come per il GDPR nel suo primo decennio, i primi adeguati saranno i referenti di settore; gli ultimi pagheranno corsi accelerati in atmosfera d'emergenza.
Conclusione: la mappa è pronta, il percorso si fa in compagnia
L'AI Act non è un muro: è una sequenza di passi chiari, inventario, classificazione, documentazione, sicurezza, formazione. B2B Driven accompagna le aziende IT su tutto il percorso, dall'analisi dei sistemi alla policy d'uso, fino alle misure di sicurezza dei modelli. Contattaci per un assessment AI: saprai esattamente dove sei e cosa ti manca, prima che lo dica un audit.