Cosa cambia davvero per imprese, professionisti e Pubblica Amministrazione
L’intelligenza artificiale non rappresenta più soltanto una straordinaria opportunità di innovazione tecnologica. A partire dal 2 agosto 2026, diventa a tutti gli effetti anche una questione di compliance, governance e responsabilità giuridica. Con l’avvio di una nuova fase di applicazione del Regolamento (UE) 2024/1689 (AI Act), l’Unione europea compie un ulteriore passo nella costruzione del primo quadro normativo organico al mondo dedicato all’intelligenza artificiale, destinato a coniugare innovazione, tutela dei diritti fondamentali e sviluppo del mercato unico digitale.
Non si tratta dell’entrata in vigore dell’AI Act, già applicato progressivamente secondo il calendario previsto dal regolamento, ma di una data che segna l’operatività di disposizioni particolarmente rilevanti. Dal 2 agosto diventano infatti pienamente efficaci i poteri delle autorità di vigilanza, entra in funzione una parte significativa del regime sanzionatorio e trovano applicazione nuovi obblighi di trasparenza destinati a incidere concretamente sull’attività di imprese, professionisti e pubbliche amministrazioni.
Parallelamente, il cosiddetto Digital Omnibus ha introdotto un rinvio di alcuni obblighi riguardanti i sistemi di intelligenza artificiale classificati come ad alto rischio, con l’obiettivo di concedere alle imprese un periodo di adeguamento più ampio senza compromettere gli obiettivi di tutela perseguiti dal regolamento.
Il messaggio del legislatore europeo è chiaro: l’intelligenza artificiale non è più soltanto una tecnologia da sviluppare, ma una tecnologia da governare. La competitività dell’Europa passa anche attraverso un sistema di regole capace di promuovere l’innovazione garantendo, al tempo stesso, sicurezza, trasparenza, affidabilità e protezione dei diritti fondamentali.
Una normativa costruita sul rischio
L’AI Act introduce un modello regolatorio profondamente diverso rispetto alle precedenti discipline in materia di innovazione tecnologica. Il legislatore europeo non ha scelto di regolamentare indistintamente ogni applicazione dell’intelligenza artificiale, ma di modulare obblighi, controlli e responsabilità in funzione del livello di rischio che ciascun sistema può comportare per i cittadini, le imprese e la società.
In quest’ottica, il regolamento individua quattro livelli di rischio. Alcune applicazioni, ritenute incompatibili con i valori fondamentali dell’Unione europea, sono considerate a rischio inaccettabile e, salvo limitate eccezioni, sono vietate. I sistemi ad alto rischio, invece, possono essere immessi sul mercato solo nel rispetto di rigorosi requisiti in materia di governance, qualità dei dati, documentazione tecnica, supervisione umana e monitoraggio. Per le applicazioni a rischio limitato, il legislatore privilegia gli obblighi di trasparenza, imponendo agli operatori di informare gli utenti quando interagiscono con sistemi di intelligenza artificiale o con contenuti generati artificialmente. Rimangono infine i sistemi a rischio minimo, che comprendono la maggior parte delle applicazioni di uso quotidiano e che, pur restando sostanzialmente liberi da specifici obblighi regolamentari, sono comunque incoraggiati ad adottare codici di condotta volontari.
Questa impostazione riflette il principio di proporzionalità che caratterizza ormai gran parte della normativa europea e richiama modelli già consolidati nel GDPR, nella regolamentazione bancaria prudenziale e, più recentemente, nella disciplina sulla resilienza digitale. Non è la tecnologia in sé a essere regolata, ma il rischio che il suo utilizzo può generare: un criterio destinato a diventare il punto di riferimento della futura governance dell’intelligenza artificiale.
L’enforcement entra nella sua fase operativa
Uno dei cambiamenti più significativi introdotti dal 2 agosto riguarda il sistema di enforcement dell’AI Act. Dopo una fase iniziale dedicata alla progressiva applicazione delle disposizioni del regolamento, prende avvio la piena operatività dei meccanismi di vigilanza e controllo previsti dal legislatore europeo.
Le autorità nazionali competenti sono chiamate a esercitare i propri poteri di supervisione, ispezione e verifica del rispetto della normativa, mentre l’AI Office della Commissione europea assume un ruolo di coordinamento strategico, favorendo un’applicazione uniforme delle regole all’interno del mercato unico e promuovendo la cooperazione tra le diverse autorità nazionali.
L’AI Act entra così in una nuova fase: le sue disposizioni non costituiscono più soltanto un quadro di riferimento per imprese e sviluppatori, ma diventano oggetto di un sistema strutturato di vigilanza, destinato a verificare concretamente il rispetto degli obblighi previsti dal regolamento e, ove necessario, ad attivare i relativi poteri sanzionatori.
In altri termini, l’intelligenza artificiale entra definitivamente nell’ambito delle attività di controllo regolamentare, al pari di settori come la protezione dei dati personali, la cybersicurezza e la vigilanza prudenziale nel comparto bancario. Per le imprese ciò significa che la conformità all’AI Act non potrà più essere considerata un obiettivo futuro, ma dovrà diventare parte integrante dei processi di governance e dei sistemi di controllo interno.
La trasparenza come principio cardine dell’AI Act
Tra le innovazioni più significative introdotte dall’AI Act vi è il rafforzamento degli obblighi di trasparenza, destinati a rendere più consapevole il rapporto tra cittadini e sistemi di intelligenza artificiale. Il principio è semplice ma di grande impatto: chi utilizza un’applicazione basata sull’IA deve poter sapere quando sta interagendo con una macchina e quando, invece, si trova di fronte a un contenuto o a una decisione di origine umana.
In quest’ottica, il regolamento impone agli operatori di informare chiaramente gli utenti quando interagiscono con un chatbot o con altri sistemi conversazionali basati sull’intelligenza artificiale. Analogamente, devono essere adeguatamente identificati i contenuti generati o manipolati dall’IA, comprese immagini, audio e video realizzati mediante tecniche di deepfake, fatte salve le limitate eccezioni previste dalla normativa. Specifici obblighi informativi si applicano inoltre all’utilizzo di sistemi di riconoscimento delle emozioni e di categorizzazione biometrica, nei casi in cui tali tecnologie siano consentite dal regolamento.
L’obiettivo perseguito dal legislatore europeo è quello di garantire un utilizzo dell’intelligenza artificiale improntato alla fiducia e alla trasparenza. La consapevolezza dell’utente diventa infatti uno dei presupposti essenziali per un impiego responsabile dell’IA, rafforzando il diritto delle persone a comprendere il contesto nel quale vengono raccolte informazioni, formulate raccomandazioni o generate decisioni automatizzate.
Il Digital Omnibus rinvia alcuni obblighi
Accanto all’entrata in vigore delle nuove misure di vigilanza, la Commissione europea ha avviato un percorso di semplificazione normativa attraverso il cosiddetto Digital Omnibus, con l’obiettivo di rendere più graduale l’attuazione di alcune disposizioni dell’AI Act.
L’intervento riguarda principalmente i sistemi di intelligenza artificiale classificati ad alto rischio, per i quali viene differita l’applicazione di parte degli obblighi più complessi, consentendo a imprese e pubbliche amministrazioni di disporre di un periodo aggiuntivo per adeguare processi, modelli organizzativi e sistemi di controllo. La finalità non è quella di ridurre il livello di tutela previsto dal regolamento, bensì di favorire un’applicazione più sostenibile delle nuove regole, evitando che gli operatori economici siano chiamati a fronteggiare simultaneamente un numero elevato di adempimenti tecnici e organizzativi.
Rimangono invece pienamente operativi gli obblighi di trasparenza, il sistema di vigilanza e i meccanismi di enforcement, che costituiscono il nucleo essenziale della nuova disciplina europea. L’adeguamento all’AI Act, dunque, non viene sospeso, ma procede secondo un calendario più graduale, nella consapevolezza che la costruzione di un ecosistema europeo dell’intelligenza artificiale richiede un equilibrio tra innovazione, competitività e certezza del diritto.
Un impatto destinato a coinvolgere l’intero sistema economico
Sebbene il dibattito pubblico si concentri spesso sulle grandi piattaforme tecnologiche e sugli sviluppatori di modelli di intelligenza artificiale, l’ambito di applicazione dell’AI Act è molto più ampio. La nuova disciplina europea è destinata a incidere sull’operatività di un numero crescente di organizzazioni che, anche senza sviluppare direttamente sistemi di IA, li utilizzano nei propri processi decisionali o operativi.
Il settore bancario e assicurativo rappresenta certamente uno degli ambiti maggiormente interessati, ma gli effetti del regolamento si estendono anche alla sanità, all’industria manifatturiera, alle telecomunicazioni, alle società di consulenza, agli studi professionali e alla pubblica amministrazione. In tutti questi contesti, l’intelligenza artificiale è ormai impiegata per automatizzare attività, supportare decisioni, analizzare grandi quantità di dati o migliorare l’efficienza dei servizi offerti.
Per molte organizzazioni, tuttavia, l’adozione dell’IA è avvenuta in modo progressivo e spesso privo di un modello strutturato di governance. L’AI Act segna un cambio di prospettiva: l’utilizzo dell’intelligenza artificiale non potrà più essere considerato esclusivamente una scelta tecnologica o un fattore di innovazione, ma dovrà essere accompagnato da adeguati processi organizzativi, da un chiaro sistema di responsabilità e da controlli proporzionati ai rischi generati.
In questo senso, il regolamento europeo introduce una trasformazione culturale prima ancora che normativa. Le imprese sono chiamate a sviluppare una vera e propria AI Governance, integrando la gestione dell’intelligenza artificiale nei sistemi di controllo interno, nella gestione dei rischi e nei processi decisionali aziendali, così come già avvenuto negli ultimi anni per la protezione dei dati personali, la cybersicurezza e la sostenibilità.
L’impatto sul settore bancario
Per il sistema bancario l’AI Act rappresenta molto più di un semplice intervento normativo in materia di innovazione tecnologica. Esso introduce un nuovo paradigma di governo dell’intelligenza artificiale destinato a incidere profondamente sui processi decisionali, sull’organizzazione aziendale e sull’assetto dei controlli interni.
Da tempo le banche utilizzano sistemi di intelligenza artificiale e algoritmi di machine learning in numerosi ambiti operativi. Tali strumenti supportano la valutazione del merito creditizio, la prevenzione delle frodi, il monitoraggio delle operazioni sospette ai fini dell’antiriciclaggio, l’individuazione di anomalie operative, la gestione documentale, l’assistenza alla clientela attraverso assistenti virtuali e chatbot, nonché l’analisi dei rischi di credito, di mercato e operativi. L’intelligenza artificiale è quindi già parte integrante dei processi bancari, spesso in maniera invisibile agli stessi clienti.
L’AI Act non limita né vieta l’impiego di queste tecnologie. Al contrario, ne riconosce il potenziale in termini di efficienza, rapidità e qualità delle decisioni. Richiede tuttavia che il loro utilizzo sia inserito all’interno di un quadro di governance fondato su trasparenza, tracciabilità, documentazione, supervisione umana e controllo continuo dei rischi.
Per gli intermediari finanziari ciò comporta un rafforzamento delle responsabilità degli organi di amministrazione e delle funzioni aziendali di controllo. Compliance, Risk Management, Internal Audit, Data Governance e Protezione dei Dati saranno chiamate a verificare non soltanto la conformità normativa dei sistemi di IA, ma anche la qualità e l’affidabilità dei dati utilizzati per l’addestramento degli algoritmi, la robustezza dei modelli, la spiegabilità delle decisioni automatizzate, l’assenza di bias discriminatori e il rispetto dei diritti della clientela.
L’intelligenza artificiale diventa così una nuova dimensione del rischio aziendale, da integrare nei processi di Enterprise Risk Management e nei sistemi di controllo interno già previsti dalla regolamentazione bancaria europea. In questo scenario, la capacità di governare gli algoritmi sarà destinata a diventare un fattore competitivo tanto quanto la loro capacità di produrre innovazione. Per le banche, la vera sfida non sarà semplicemente adottare l’intelligenza artificiale, ma dimostrare di saperla utilizzare in modo responsabile, trasparente e coerente con i principi di sana e prudente gestione che costituiscono il fondamento dell’attività bancaria.
Un sistema sanzionatorio tra i più rigorosi del panorama europeo
A conferma della rilevanza attribuita dall’Unione europea alla disciplina dell’intelligenza artificiale, l’AI Act introduce un sistema sanzionatorio tra i più severi oggi previsti dalla normativa europea. Sul modello già adottato con il GDPR, le sanzioni amministrative sono calibrate in funzione della gravità della violazione e possono raggiungere importi particolarmente elevati, anche in rapporto al fatturato annuo mondiale dell’impresa responsabile.
Il regolamento distingue le diverse tipologie di inadempimento, prevedendo conseguenze più incisive per le violazioni che incidono sui diritti fondamentali o riguardano l’impiego di sistemi di intelligenza artificiale vietati, mentre sanzioni di minore entità sono previste per l’inosservanza degli obblighi documentali, di trasparenza o di governance. La logica è quella di garantire una risposta proporzionata alla natura e all’impatto delle violazioni, nel rispetto del principio di proporzionalità che permea l’intero impianto dell’AI Act.
L’obiettivo del legislatore europeo non è quello di ostacolare lo sviluppo dell’innovazione tecnologica, bensì di favorire un utilizzo dell’intelligenza artificiale che sia affidabile, trasparente e rispettoso dei diritti delle persone. In questa prospettiva, il sistema sanzionatorio rappresenta non soltanto uno strumento repressivo, ma soprattutto un incentivo affinché imprese e organizzazioni adottino modelli di governance adeguati, investano nella formazione del personale e integrino la gestione del rischio legato all’IA nei propri processi decisionali e nei sistemi di controllo interno.
Le principali sanzioni previste dall’AI Act
- fino a 35 milioni di euro o al 7% del fatturato annuo mondiale per le violazioni più gravi (ad esempio l’utilizzo di pratiche di IA vietate);
- fino a 15 milioni di euro o al 3% del fatturato per l’inosservanza degli obblighi previsti per i sistemi di IA;
- fino a 7,5 milioni di euro o all’1,5% del fatturato per la fornitura di informazioni inesatte, incomplete o fuorvianti alle autorità competenti.
Per le PMI e le start-up il regolamento prevede criteri di proporzionalità e soglie più favorevoli rispetto alle grandi imprese.
Le dieci azioni che ogni impresa dovrebbe avviare subito
✔ Mappare tutti i sistemi di IA utilizzati.
✔ Individuare quelli classificabili come ad alto rischio.
✔ Verificare gli obblighi di trasparenza.
✔ Aggiornare informative e procedure interne.
✔ Definire ruoli e responsabilità di governance.
✔ Coinvolgere Compliance, Risk Management, Internal Audit e DPO.
✔ Formare il personale.
✔ Documentare il funzionamento degli algoritmi.
✔ Predisporre sistemi di monitoraggio continuo.
✔ Integrare il rischio AI nel framework di Enterprise Risk Management.
Una nuova cultura della governance digitale
L’AI Act non deve essere interpretato come l’ennesimo adempimento amministrativo imposto alle imprese. Esso rappresenta, piuttosto, il punto di partenza di una nuova stagione regolatoria nella quale l’intelligenza artificiale entra stabilmente tra i fattori strategici di governo dell’impresa, al pari della protezione dei dati personali, della cybersicurezza, della resilienza operativa e della sostenibilità.
Per le organizzazioni non sarà più sufficiente adottare soluzioni basate sull’intelligenza artificiale per migliorare l’efficienza o ridurre i costi. Sarà necessario dimostrare che tali sistemi sono progettati, utilizzati e monitorati secondo principi di trasparenza, affidabilità, supervisione umana e responsabilità.
Le imprese che sapranno cogliere tempestivamente questa trasformazione non conseguiranno soltanto la conformità alle nuove regole europee, ma rafforzeranno la fiducia di clienti, investitori, autorità di vigilanza e mercato, trasformando la governance dell’intelligenza artificiale in un autentico fattore competitivo.
In un’economia sempre più guidata dai dati e dagli algoritmi, il vero vantaggio competitivo non consisterà semplicemente nell’utilizzare l’intelligenza artificiale, ma nel dimostrare di saperla governare. Perché, come dimostra l’AI Act, la fiducia sarà il vero motore dell’innovazione digitale europea.
