Maurice Müller
Senior Content Manager
Maurice Müller è un giornalista e content strategist con esperienza nei media di stampa e digitali. In Formalize, traduce argomenti complessi di compliance e normativa in contenuti chiari e pratici per professionisti di compliance, risk e security in tutta Europa.
Punti chiave
Gli obblighi relativi all’IA ad alto rischio per i sistemi autonomi sono rinviati da agosto 2026 a dicembre 2027. Per l’IA integrata in prodotti regolamentati, il termine è rinviato ad agosto 2028.
I modelli GPAI, i casi di utilizzo generalmente vietati e gli obblighi generali di trasparenza continuano ad applicarsi secondo la tempistica originaria. Sono stati modificati solo i requisiti di watermarking di cui all’art. 50, paragrafo 2, con un periodo di grazia fino al 2 dicembre 2026 per i sistemi già presenti sul mercato.
Solo il 5-15% dei sistemi di IA implementati nelle organizzazioni rientra nell’ambito di applicazione della legge UE sull’IA, ma le normative correlate come il GDPR, la direttiva NIS2 e DORA continuano ad applicarsi al resto.
Il rinvio riflette l’assenza di standard tecnici definitivi, non una riduzione delle aspettative normative.
L'inazione non è una strategia: le attività di inventario, classificazione e governance dovrebbero essere già avviate.
Che cos’è l'EU AI Act?
L'EU AI Act (Regolamento (UE) 2024/1689) è un regolamento sulla sicurezza dei prodotti che definisce requisiti specifici per i modelli e i sistemi di IA utilizzati in tutta l’UE. Si tratta del primo quadro normativo globale per l’IA in Europa e si applica direttamente in tutti gli Stati membri, a differenza di una direttiva che richiede il recepimento a livello nazionale.
Il Regolamento adotta un approccio basato sul rischio, suddividendo i sistemi di IA in quattro livelli: rischio inaccettabile (vietato), rischio elevato, rischio limitato e rischio minimo. La maggior parte degli obblighi di conformità riguarda la categoria ad alto rischio.
Uno degli errori più comuni commessi dalle organizzazioni è quello di considerare l'AI Act come un regolamento sulla cybersicurezza. In realtà non è così. Il regolamento è basato sulla legislazione in materia di sicurezza dei prodotti e include esplicite tutele dei diritti fondamentali. Questa distinzione è importante per definire l’approccio delle organizzazioni alla conformità e per stabilire quali team interni debbano guidarne l’attuazione. Un team dedicato alla cybersicurezza da solo non sarà sufficiente.
Che cos’è il Digital Omnibus sull’IA e quali modifiche ha apportato?
Il Digital Omnibus sull’IA è un insieme di emendamenti mirati all'EU AI Act, adottato formalmente nel luglio 2026. Faceva parte di un più ampio sforzo di semplificazione dell’UE, guidato in parte dalle preoccupazioni relative alla complessità normativa evidenziate nella relazione del 2024 di Mario Draghi sulla competitività dell’UE.
La motivazione principale dell’emendamento era di natura pratica: la maggior parte delle norme tecniche necessarie per rendere operativi gli standard della legge sull’IA relativi ai sistemi ad alto rischio non era stata ancora finalizzata. Senza tali standard, le organizzazioni non disponevano di un metodo chiaro per dimostrare la propria conformità. L’Omnibus ha prorogato le scadenze per allinearle con la data in cui si prevede che tali standard saranno disponibili.
Proroga delle scadenze per i sistemi di IA ad alto rischio
I sistemi di IA ad alto rischio autonomi elencati nell’Allegato III (che coprono casi d’uso quali strumenti di reclutamento, valutazione del credit scoring, forze dell’ordine, istruzione e controllo delle frontiere) devono ora conformarsi entro il 2 dicembre 2027, con una proroga dal 2 agosto 2026.
I sistemi di IA ad alto rischio integrati in prodotti regolamentati ai sensi dell’Allegato I (quali dispositivi medici, macchinari e veicoli) passano al 2 agosto 2028, con proroga dal 2 agosto 2027.
Nuovi divieti introdotti
L'Omnibus introduce nuove pratiche vietate in materia di IA che riguardano i sistemi che generano immagini intime senza consenso e materiale pedopornografico. Tali disposizioni hanno efficacia immediata.
Obblighi di trasparenza modificati
I requisiti relativi ai watermark e alla divulgazione dei contenuti sintetici di cui all'articolo 50, paragrafo 2, si applicano ora a partire dal 2 dicembre 2026 per i sistemi già presenti sul mercato. I nuovi sistemi devono conformarsi a tali requisiti a partire dalla data di immissione sul mercato.
Cosa rimane invariato
La struttura fondamentale dell’AI Act rimane invariata. Il framework di classificazione basato sul rischio, i quattro livelli, gli obblighi relativi ai modelli di IA per uso generale (GPAI) e il ruolo di supervisione dell’Ufficio per l’IA rimangono tutti in vigore. La proroga del termine non si applica agli obblighi relativi alla GPAI né ai casi generali di utilizzo vietato già in vigore.
A chi si applica l'EU AI Act?
L'AI Act distingue principalmente tra due ruoli lungo la catena del valore dell’IA.
I fornitori sono le organizzazioni che sviluppano un sistema di IA e lo immettono sul mercato o lo mettono in servizio a proprio nome o con il proprio marchio. Ciò include le organizzazioni che sviluppano sistemi di IA esclusivamente per uso interno: se si crea un sistema che non è mai stato immesso sul mercato prima e lo si implementa internamente, si è considerati fornitori ai sensi dell'AI Act.
I deployer sono le organizzazioni che utilizzano un sistema di IA in un contesto professionale. Se si utilizza uno strumento di IA realizzato da un fornitore, si è considerati deployer. I propri obblighi dipendono dalla classificazione di rischio del sistema e dalle responsabilità del fornitore previste dal contratto.
Un dettaglio fondamentale: se il deployer utilizza un sistema di IA in un modo che il fornitore non ha previsto o che ha esplicitamente vietato nei propri termini di servizio (ad esempio, applicando uno strumento generico a un caso d’uso ad alto rischio), il deployer può diventare automaticamente il fornitore di un sistema ad alto rischio.
Determinare il proprio ruolo per ogni sistema che si utilizza o si sviluppa è il primo passo in qualsiasi programma di conformità in materia di IA. La piattaforma di conformità dell'EU AI Act di Formalize è stata creata appositamente per i deployer , aiutando i team a mappare i sistemi di IA, classificare i casi d’uso e conservare la documentazione pronta per gli audit in un unico posto.
Quali sono gli step fondamentali per la conformità?
La proroga della scadenza non modifica il lavoro di conformità, ma cambia il momento in cui gli obblighi diventano vincolanti.
Creare e mantenere un inventario dei sistemi di IA
Documentate ogni sistema di IA che la vostra organizzazione fornisce o implementa. Per ciascun sistema, rispondete alle seguenti domande: costituisce un sistema di IA ai sensi del regolamento? Qual è il vostro ruolo (fornitore o deployer)? Siete in grado di documentare e difendere tale ragionamento di fronte a un auditor?
Classificare ciascun sistema
Determinate la classificazione di rischio per ciascun sistema di IA in base al relativo caso d’uso e contesto. La classificazione non è un’operazione una tantum. Se un sistema cambia finalità o viene utilizzato in un nuovo contesto, la sua classificazione potrebbe variare. Si noti che alcune linee guida nazionali sulla classificazione ai sensi dell'AI Act sono state criticate per averla trattata come un esercizio di cybersicurezza: le linee guida a livello europeo dell'AI Office dovrebbero costituire il riferimento primario.
Valutare i propri obblighi e concordare un RACI con i fornitori
Per ciascun sistema, determinare quali obblighi si applicano e chi è responsabile di cosa. Se si implementa un sistema di IA ad alto rischio realizzato da un fornitore, quest’ultimo dovrebbe essere in grado di illustrare la propria roadmap per la conformità in vista della scadenza di dicembre 2027.
Tradurre i requisiti in governance operativa
I requisiti devono diventare policy, processi, programmi di formazione e procedure di monitoraggio. Non si tratta di documentazione fine a se stessa, ma della base per la preparazione agli audit, la raccolta di prove e la supervisione continua.
Monitorare costantemente
La conformità non è un progetto con una data di scadenza. I sistemi di IA cambiano, i casi d’uso si evolvono e le linee guida normative si sviluppano. È necessario integrare il monitoraggio nelle operazioni standard, non limitarsi a sprint prima delle scadenze.
Una nota sulle PMI e le small mid-cap
Dato che la maggior parte delle imprese dell’UE sono PMI, il Digital Omnibus amplia anche le misure di semplificazione esistenti. Le PMI e le startup, non solo le microimprese come in precedenza, possono ora dimostrare la conformità a determinati elementi del sistema obbligatorio di gestione della qualità per i sistemi di IA ad alto rischio, in modo semplificato. Altre misure di sostegno sono state estese alla nuova categoria delle small mid-cap (SMC), definita come organizzazioni che non sono PMI, impiegano meno di 750 persone e hanno un fatturato annuo non superiore a 150 milioni di euro o un totale di bilancio annuo non superiore a 129 milioni di euro.
E per quanto riguarda i sistemi di IA non coperti dall'EU AI Act?
Questo è uno dei punti più importanti da comprendere. Secondo la valutazione d’impatto della stessa Commissione europea, solo il 5-15% dei sistemi di IA utilizzati dalle organizzazioni rientra nell’ambito di applicazione della legge dell’UE sull’IA.
Ciò non significa che il resto non sia regolamentato.
Il GDPR si applica a qualsiasi sistema di IA che tratti dati personali, il che comprende la maggior parte degli strumenti di IA utilizzati nelle operazioni aziendali quotidiane. Le organizzazioni sono responsabili, in qualità di titolari e/o responsabili del trattamento dei dati, di ciò che immettono nei sistemi di IA. Ciò richiede, come minimo, la definizione o l’aggiornamento delle politiche interne, dei criteri di classificazione dei dati e delle istruzioni per l’uso.
La direttiva NIS2 e il DORA si applicano alle organizzazioni che rientrano nei rispettivi ambiti di applicazione, e i sistemi di IA che riguardano le infrastrutture critiche, la gestione degli incidenti o i rischi legati a terzi sono probabilmente soggetti a tali obblighi di conformità obblighi di conformità, sebbene l’interazione tra le norme settoriali e l'AI Act possa essere complessa e dipenda dal contesto.
Anche le normative settoriali specifiche, come quelle relative ai dispositivi medici, ai servizi finanziari e alle infrastrutture critiche, possono imporre requisiti ai sistemi di IA che non rientrano nell’ambito di applicazione dell'AI Act.
Standard internazionali come la norma ISO 42001 e il NIST AI Risk Management Framework forniscono utili strutture di governance, ma non sono equivalenti alla conformità dell'EU AI Act. Un'organizzazione con un'implementazione avanzata della norma ISO 42001 troverà più agevole il percorso di conformità all'AI Act, ma i due framework hanno obiettivi diversi e non possono sostituirsi a vicenda.
In che modo la governance dell’IA si collega ai framework GRC esistenti?
Per le organizzazioni che già gestiscono NIS2, DORA, ISO 27001 o il GDPR, la governance dell’IA non è un programma a sé stante. Si tratta piuttosto di un’estensione dell’infrastruttura di conformità esistente.
Le competenze fondamentali sono le stesse: valutare il rischio, mappare i controlli, raccogliere prove e mantenere la prontezza all’audit. Ciò che cambia è l’oggetto di riferimento. I sistemi di IA, i loro casi d’uso e le modalità di governance sostituiscono i framework normativi con cui i team di conformità sono abituati a lavorare.
Le organizzazioni che dispongono già di flussi di lavoro GRC strutturati sono in una posizione migliore per assorbire i requisiti di governance dell’IA, poiché il modello operativo è loro familiare. La sfida spesso non consiste nel comprendere cosa debba essere fatto, ma nel mettere in contatto i team giusti e assicurarsi che i sistemi di IA siano inventariati e classificati prima della loro implementazione, non dopo.
Come iniziare
Il punto di partenza concreto è un inventario. Prima di poter procedere a qualsiasi classificazione, mappatura degli obblighi o due diligence dei fornitori, è necessario avere un quadro chiaro dei sistemi di IA che la propria organizzazione fornisce o implementa, delle loro funzionalità e dei soggetti che ne sono responsabili.
Da quel momento in poi, il lavoro è in gran parte familiare a qualsiasi team di conformità: classificare, valutare gli obblighi, assegnare le responsabilità, documentare e raccogliere prove in modo continuativo, anziché in una corsa contro il tempo prima della scadenza.
Formalize supporta la governance dell’IA come parte di un framework GRC più ampio, che include la mappatura dei sistemi di IA, i flussi di lavoro per la valutazione dei rischi, la gestione degli incidenti e configurazioni predefinite sia per chi implementa l’EU AI Act sia per le organizzazioni che adottano la norma ISO 42001. Per le organizzazioni che già utilizzano Formalize per gestire NIS2, DORA o ISO 27001, la governance dell’IA si inserisce nella stessa struttura anziché essere gestita come un flusso di lavoro separato.