AI Act: chi vigila su cosa, e perché le «prime multe» che leggi in giro non esistono

La ripartizione, che è la prima cosa da sapere

Nessuno vigila su tutto, ed è il motivo per cui la domanda «chi mi controlla» non ha una risposta unica. L'AI Office della Commissione si occupa direttamente dei modelli per finalità generali, con il potere di chiedere documentazione tecnica, condurre valutazioni, imporre misure correttive e infliggere sanzioni. Le autorità nazionali competenti seguono gli altri sistemi che operano sul territorio del rispettivo Stato. Il Garante europeo della protezione dei dati vigila sulle istituzioni europee stesse.

• Il tuo cliente sviluppa o mette a disposizione un modello per finalità generali: risponde all'AI Office
• Il tuo cliente usa un sistema di IA nella propria attività: risponde all'autorità nazionale designata nel suo Stato
• Il tuo cliente è un'istituzione o un organismo dell'Unione: risponde all'EDPS
• Il tuo cliente è un titolare che tratta dati personali con quel sistema: risponde anche all'autorità di protezione dei dati, che è un binario parallelo e non alternativo

Cosa è diventato obbligatorio il 2 agosto

Gli obblighi di trasparenza dell'articolo 50 sono la parte che tocca il numero più alto di aziende, perché non riguarda chi costruisce i modelli ma chi li usa per parlare con il pubblico. I sistemi devono dire all'utente che sta interagendo con una macchina e quando un contenuto è stato generato o modificato da un sistema di IA.

• I chatbot devono identificarsi come sistemi automatizzati
• I deepfake devono essere etichettati
• I contenuti generati o modificati automaticamente devono portare una marcatura leggibile a macchina, così da poter essere rilevati
• Le sanzioni per queste violazioni arrivano a 15 milioni di euro o al 3% del fatturato mondiale annuo, se superiore

Per i fornitori di modelli per finalità generali l'obbligo è diverso: documentare determinate informazioni e metterle a disposizione delle autorità competenti e dei fornitori a valle, adottare una politica sul diritto d'autore e pubblicare un riassunto sufficientemente dettagliato dei contenuti usati per l'addestramento. I fornitori dei modelli più avanzati devono inoltre affrontare i rischi di danno su larga scala: incidenti chimici, biologici, radiologici e nucleari, perdita di controllo, offesa cibernetica, manipolazione dannosa, minacce ai diritti fondamentali.

Il codice di condotta sulla trasparenza

Insieme all'avvio dell'applicazione, la Commissione ha pubblicato un primo elenco di oltre centottanta organizzazioni che hanno firmato il codice di condotta sulla trasparenza dei contenuti generati dall'intelligenza artificiale. Il codice è volontario, ma gli obblighi che gli stanno sotto sono legge in ogni caso: firmarlo serve a documentare come li si rispetta, non a sostituirli. È una distinzione che vale la pena spiegare a un cliente che ti chiede se «basta aderire».

Cosa non è ancora arrivato

• I requisiti per i sistemi ad alto rischio sono stati spostati al 2 dicembre 2027
• Quelli per i sistemi ad alto rischio integrati in prodotti già regolamentati vanno al 2 agosto 2028
• Dal 2 dicembre 2026 sarà vietato l'impiego di sistemi che generano contenuti sessualmente espliciti non consensuali o materiale pedopornografico

Vale la pena ricordare che la Commissione aveva già usato altri strumenti prima di questa data: a gennaio 2026 ha aperto un'indagine formale su X per lo strumento Grok, sulla base del regolamento sui servizi digitali. La lezione per il DPO è che l'AI Act non arriva su un terreno vuoto: si aggiunge a discipline che le stesse autorità stanno già applicando.