Aspetti chiave da ricordare
- A partire da agosto 2026, i requisiti di trasparenza dell'EU AI Act sono diventati ufficialmente applicabili. Tuttavia, alcune categorie di AI a rischio elevato hanno scadenze prorogate.
- Le organizzazioni che implementano, forniscono o importano sistemi di AI sul mercato dell'UE sono responsabili della conformità.
- La mancata conformità può comportare sanzioni significative.
L’uso dell’intelligenza artificiale ha subito un’accelerazione da quando Chat-GPT è stato reso disponibile al pubblico alla fine del 2022. Da allora, le organizzazioni si sono mosse rapidamente per integrare strumenti e funzionalità di IA in un’ampia gamma di processi aziendali.
Nel tentativo di governare meglio la tecnologia emergente e il relativo accesso ai dati, nel 2024 il Parlamento e il Consiglio europeo hanno approvato il regolamento European Union Artificial Intelligence Act (EU AI Act), che ha segnato la prima regolamentazione completa sull'AI al mondo.
Ad agosto 2026, l'EU AI Act è diventata applicabile, il che significa che le aziende con sede o che operano in Europa sono tenute a rispettare determinati obblighi quando immettono l'AI sul mercato. Scopri di più su cosa comporta l'EU AI Act, chi riguarda e perché è importante.
Cos'è l'EU AI Act?
La legge dell’UE sull’AI crea un quadro unificato che disciplina il modo in cui i sistemi di AI vengono sviluppati, distribuiti e utilizzati in tutta l’UE. In base al Capitolo 1, Articolo 3, la Legge definisce i "sistemi di AI" come una macchina che riceve informazioni, stabilisce autonomamente come rispondere e produce risultati — come previsioni, contenuti o decisioni — in grado di influenzare ciò che accade negli ambienti sia fisici che virtuali.
Vieta determinate pratiche dannose, imponendo al contempo obblighi specifici ai sistemi ad alto rischio e ai modelli di AI per finalità generali. Stabilisce inoltre requisiti di trasparenza, strutture di sorveglianza del mercato e di applicazione delle norme, nonché misure di sostegno per aiutare le organizzazioni, in particolare le start-up, a innovare nel rispetto di queste nuove norme.
Qual è l'obiettivo dell'EU AI Act?
Il regolamento persegue due obiettivi simultanei: incoraggiare le organizzazioni a innovare e sviluppare un'AI affidabile, proteggendo al contempo la salute, la sicurezza e il diritto alla privacy delle persone. Posiziona inoltre l'UE come leader nella governance dell'AI imponendo requisiti di trasparenza per tutte le applicazioni di AI.
Cosa è entrato in vigore ad agosto 2026?
Mentre gran parte dell'EU AI Act doveva entrare in vigore ad agosto 2026, a maggio 2026 il Consiglio e il Parlamento europeo hanno raggiunto un accordo per posticipare le scadenze per determinate categorie di sistemi di AI a rischio elevato.
Ciò che è ora applicabile riguarda l'Articolo 50, che delinea i requisiti di trasparenza e copre quattro aree:
- Chatbot e agenti AI: i provider devono comunicare che gli utenti stanno interagendo con l’AI, a meno che ciò non sia già evidente
- Contenuti di AI generativa: i fornitori devono contrassegnare gli output (testo, immagini, audio, video) in un formato leggibile dalle macchine affinché siano rilevabili come generati o manipolati dall'AI.
- Riconoscimento delle emozioni e categorizzazione biometrica: i deployer devono informare le persone quando sono esposte a questi sistemi.
- Deepfake e contenuti di interesse pubblico generati dall'AI: devono essere dichiarati come generati artificialmente, a meno che non siano stati sottoposti a una revisione editoriale umana con qualcuno che se ne assuma la responsabilità editoriale.
Quali sono i requisiti dell'EU AI Act?
L'EU AI Act vieta determinate pratiche di AI e delinea regole e responsabilità per l'implementazione di sistemi di AI a rischio elevato.
Pratiche AI vietate
Le pratiche di AI vietate sono state proibite sei mesi dopo l’entrata in vigore dell'EU AI Act nell’agosto 2024, ma è stata applicata un'ulteriore proroga ad agosto 2025 rispetto al momento in cui le organizzazioni avrebbero potuto essere sanzionate per le violazioni.
Sistemi AI a rischio elevato
L’altra categoria principale riguarda i sistemi di AI a rischio elevato, entrati in vigore nell’agosto 2026. I sistemi di AI a rischio elevato sono quelli che incidono negativamente sulla sicurezza o sui diritti fondamentali, e i cittadini avranno il diritto di presentare reclami su questi sistemi.
Si dividono in due categorie:
- Sistemi di AI utilizzati nei prodotti che rientrano nella legislazione dell'UE sulla sicurezza dei prodotti, inclusi giocattoli, aviazione, automobili, dispositivi medici e ascensori
- Sistemi di AI che rientrano in aree specifiche che dovranno essere registrati in un database dell'UE, tra cui gestione e funzionamento delle infrastrutture critiche, istruzione e formazione professionale e gestione della migrazione, dell'asilo e del controllo delle frontiere
Panoramica degli obblighi
Gli articoli da 8 a 15 stabiliscono i requisiti sostanziali di conformità che i sistemi di AI ad alto rischio devono soddisfare prima di entrare nel mercato dell’UE. Questi includono:
- Conformità: soddisfa i requisiti in base allo scopo previsto; può integrarsi con le certificazioni esistenti.
- Gestione del rischio: identificazione e mitigazione continue dei rischi nel ciclo di vita.
- Governance dei dati: dati di addestramento di qualità, rappresentativi e verificati per la presenza di bias.
- Documentazione tecnica: registri di conformità pre-commercializzazione (semplificati per le PMI).
- Tenuta dei registri: registrazione automatica degli eventi per la tracciabilità.
- Trasparenza: istruzioni chiare affinché chi esegue l’implementazione comprenda gli output.
- Supervisione umana: gli esseri umani possono monitorare, sovrascrivere o arrestare il sistema.
- Precisione e sicurezza: prestazioni robuste, precise e resistenti agli attacchi informatici.
Scadenze per l'AI ad alto rischio prorogate al 2027 e al 2028
I fornitori di sistemi di AI a rischio elevato dovranno essere conformi entro le seguenti date:
2 dicembre 2027: Allegato III, che riguarda i sistemi autonomi basati sull'uso come occupazione, punteggio di credito, forze dell'ordine e istruzione.
2 agosto 2028: Allegato I, che riguarda l'AI integrata in prodotti già regolamentati come dispositivi medici, macchinari e veicoli.
Obblighi per i sistemi di AI generativa
Gli strumenti di AI generativa come Microsoft 365 Copilot e ChatGPT non sono classificati a rischio elevato, ma richiedono la conformità ai requisiti di trasparenza e alle leggi sul copyright dell’UE, entrate in vigore ad agosto 2026. Ciò include:
- Comunicare chiaramente quando i contenuti sono generati dall'AI, in modo che gli utenti finali ne siano consapevoli
- Progettare il modello per evitare che produca contenuti illegali
- Pubblicare sintesi di dati protetti da copyright utilizzati per la formazione
I modelli di AI ad alto impatto generale devono superare valutazioni approfondite e gli incidenti gravi devono essere segnalati alla Commissione Europea.
Chi riguarda l'EU AI Act?
L'EU AI Act riguarda principalmente tre categorie di imprese. La prima comprende i fornitori di sistemi di AI a rischio elevato nell’UE, ovvero qualsiasi organizzazione che sviluppa l'AI. La seconda comprende gli utilizzatori di sistemi di AI a rischio elevato nell’UE, ovvero persone e organizzazioni che utilizzano l'AI per scopi professionali. La terza comprende gli importatori e i distributori di sistemi di AI a rischio elevato, ovvero le organizzazioni che mettono un sistema di AI a disposizione sul mercato dell'UE. In tutti questi casi, la legge si applica a qualsiasi organizzazione con sede o che opera nell'UE.
Ci sono due importanti eccezioni. La legge esenta le organizzazioni da tali normative mentre testano e perfezionano un sistema di AI. In altre parole, prima che venga immesso sul mercato e sia accessibile ad altre aziende o persone. Inoltre, non si applica ai sistemi e ai modelli di AI progettati e utilizzati per la ricerca e lo sviluppo scientifici.
Gli articoli dal 16 al 27 delineano gli obblighi a cui è soggetta ciascuna categoria. Analizziamo il tutto in modo più dettagliato.
Obblighi del fornitore
I fornitori sono responsabili di garantire la conformità, ottenere il marchio CE prima di implementare un sistema di AI, garantire la qualità del sistema e fornire la documentazione tecnica. Devono inoltre attenersi a quanto segue:
- Sistema di gestione della qualità: processi documentati di conformità, test e responsabilità
- Conservazione della documentazione: conserva i record di conformità per 10 anni.
- Logs generati automaticamente: conservare i log di sistema per almeno sei mesi.
- Azioni correttive: correggere, ritirare o richiamare i sistemi non conformi.
- Cooperazione con le autorità: rispondere alle richieste e alle indagini delle autorità di regolamentazione.
- Rappresentanti autorizzati: i fornitori non UE devono nominare un rappresentante dell’UE.
Obblighi del deployer
I deployer di sistemi a rischio elevato hanno la responsabilità di utilizzare la tecnologia in modo responsabile e devono attenersi a quanto segue:
- Seguire le istruzioni: utilizzare il sistema in base alle istruzioni per l’uso fornite dal fornitore.
- Assegna la supervisione: designa personale qualificato e formato dotato dell’autorità per supervisionare il sistema.
- Controllare i dati di input: assicurati che i dati di input siano pertinenti e rappresentativi.
- Monitorare il funzionamento: monitorare le prestazioni del sistema, sospenderne l’uso e informare il fornitore e le autorità qualora emerga un rischio.
- Segnalare gli incidenti gravi: avvisa immediatamente il fornitore e poi le autorità.
- Conservare i log: conserva i log generati dal sistema per almeno sei mesi.
- Informare i lavoratori: avvisare i dipendenti e i rappresentanti dei lavoratori prima di implementare l’IA sul luogo di lavoro.
- Registrazione (enti pubblici): le autorità pubbliche devono registrare il sistema nella banca dati dell’UE prima dell’uso.
- Supportare le valutazioni della protezione dei dati: utilizza le informazioni fornite dal provider per adempiere agli obblighi del GDPR/DPIA.
- Regole speciali per l’identificazione biometrica: ottieni la previa autorizzazione giudiziaria per l'identificazione biometrica post-remota nell'attività di contrasto. Documenta e redigi un report annuale.
- Informare le persone interessate: comunica alle persone quando un sistema ad alto rischio viene utilizzato per prendere decisioni che le riguardano.
- Collaborare con le autorità: assisti le autorità di regolamentazione nelle azioni esecutive relative al sistema.
Quali sono le multe per non conformità?
I livelli di sanzioni per non conformità sono tre.
1. Pratiche di AI vietate: sanzioni fino a 35.000.000 € o al sette per cento del fatturato totale annuo a livello mondiale dell’esercizio finanziario precedente, se superiore.
2. Fornitori, deployer, importatori e distributori: sanzioni fino a 15.000.000 € o fino al tre percento del fatturato mondiale annuo per le aziende.
3. Fornitura di informazioni inesatte, incomplete o fuorvianti alle autorità: sanzioni fino a 7.500.000 € o all'1% del fatturato mondiale totale.
In che modo Varonis può essere utile per la conformità all'EU AI Act
Garantire la conformità a strutture normative complesse è un compito impegnativo. Con l'introduzione della legge dell'UE sull'AI, la necessità di trasparenza e sicurezza dei dati diventa ancora più stringente.
Varonis semplifica la gestione della conformità e offre visibilità e controllo in tempo reale sui dati critici utilizzati dall'AI per aiutarti a rispettare la legge dell'UE sull'AI in quattro modi fondamentali:
- Proteggendo i dati privati e sensibili ingeriti e prodotti dall'AI generativa.
- Consentendo di vedere completamente i suggerimenti e le risposte dell'AI, compresa l'indicazione dell'accesso ai dati sensibili.
- Inviando avvisi su minacce e anomalie, tra cui attività e comportamenti che indicano un uso improprio.
- Proteggendo automaticamente i dati, compresa la revoca degli accessi eccessivi, la correzione delle etichette e delle configurazioni errate, per ridurre l'esposizione e il rischio.
Abbiamo inoltre consentito a migliaia di aziende di conformarsi alle normative, tra cui HIPAA, GDPR, CCPA, NIST e ITAR.
Accelerare l'adozione dell'AI per i team di sicurezza
L'ampia gamma di funzionalità di sicurezza della nostra piattaforma di sicurezza dei dati può accelerare l'adozione e l'implementazione dell'AI da parte della tua organizzazione, consentendo di vedere e controllare completamente le autorizzazioni e i carichi di lavoro degli strumenti.
Nota: questo blog è stato tradotto con l'aiuto dell'AI e corretto da un traduttore umano.
_2026-07-02_20-05-03.png)
