Il regolamento europeo sull'intelligenza artificiale disciplina progressivamente i sistemi di IA, compresi quelli già integrati nei vostri strumenti quotidiani (Microsoft 365 Copilot, ad esempio). SYAGA vi aiuta a censire i vostri utilizzi reali, comprendere gli obblighi che vi riguardano e costruire un piano d'azione, senza gergo tecnico e senza promesse numeriche non verificate.
Un regolamento europeo già applicabile, spesso senza che l'azienda l'abbia notato
Il Regolamento (UE) 2024/1689 (fonte: EUR-Lex) disciplina la governance dei sistemi di intelligenza artificiale all'interno dell'Unione europea. La sua entrata in applicazione avviene per livelli successivi a seconda del tipo di obbligo interessato.
Funzionalità di intelligenza artificiale sono già integrate in suite per ufficio ampiamente diffuse nelle aziende, come Microsoft 365 Copilot. Molte organizzazioni le utilizzano senza aver formalmente censito questo perimetro.
Tra strumenti forniti da editori, sviluppi interni e agenti automatizzati distribuiti su piattaforme esistenti, il perimetro reale dei sistemi di IA utilizzati è raramente documentato in modo centralizzato.
Come per ogni nuova normativa, è meglio chiarire per tempo il proprio perimetro di esposizione piuttosto che scoprire un obbligo al momento di un controllo o di una richiesta da parte di un cliente, di un assicuratore o di un partner.
Un accompagnamento in 5 fasi, calibrato con voi in base al vostro perimetro reale di sistemi di IA
Comprendere il contesto, gli strumenti già in uso e i progetti di IA in corso o previsti. Obiettivo: delimitare un perimetro di analisi realistico, non un elenco teorico.
Strumenti degli editori (comprese le funzionalità IA già incluse nelle vostre suite per ufficio), sviluppi interni, automazioni e agenti distribuiti sulle vostre piattaforme esistenti.
Determinare, per ogni sistema identificato, in che misura siete fornitori o deployer ai sensi del regolamento, e quali obblighi generali ne derivano per la vostra organizzazione.
Un piano d'azione strutturato, con priorità basate su rischio e sforzo, senza promessa di risultato giuridico: i punti sensibili vengono segnalati per la verifica da parte di un consulente legale specializzato.
Consegna del dossier di mappatura e del piano d'azione, con un momento di confronto per rispondere alle domande dei vostri team.
Documenti di lavoro concreti, adattati al vostro perimetro reale
Inventario strutturato degli utilizzi identificati durante l'inquadramento e la mappatura.
Un documento divulgativo che collega ogni sistema identificato alle grandi categorie di obblighi del regolamento, in linguaggio chiaro.
Una tabella di marcia operativa per la vostra organizzazione.
L'AI Act non si analizza da solo: si articola con testi che già conoscete
Testo di riferimento sulla governance dei sistemi di intelligenza artificiale all'interno dell'Unione europea. Fonte: EUR-Lex.
Quando un sistema di IA tratta dati personali, gli obblighi del GDPR (Regolamento UE 2016/679) restano applicabili in parallelo agli obblighi propri dell'AI Act.
La mappatura degli utilizzi di IA si inserisce naturalmente in un approccio di governance IT più ampio (politica di sicurezza, gestione dei rischi), in particolare se la vostra organizzazione è già interessata da NIS2 o da un percorso ISO 27001.
Funzionalità come Copilot introducono IA in strumenti già utilizzati quotidianamente. Il loro utilizzo rientra nel perimetro da mappare, anche senza un progetto IA "visibile".
Il perimetro di una diagnosi AI Act varia troppo a seconda del numero e della natura dei sistemi di IA utilizzati per proporre un prezzo generico. Stabiliamo un preventivo dopo l'inquadramento.
Perimetro stabilito con voi fin dalla fase di inquadramento
Quello che dice davvero il testo europeo sull'IA, spiegato in linguaggio semplice. Ogni punto rimanda alla sua fonte ufficiale (Commissione europea, EUR-Lex). Informazioni raccolte il 17/07/2026.
E' un regolamento europeo (l'"AI Act", testo 2024/1689), pubblicato il 12 luglio 2024 e già
"in vigore". Fissa regole comuni per l'intelligenza artificiale in tutta l'Unione europea,
indipendentemente dal vostro settore di attività.
fonte ufficiale →
Il regolamento si applica per fasi: i divieti sono attivi dal 2 febbraio 2025; le regole di
governance e gli obblighi sulle IA generaliste dal 2 agosto 2025; la maggior parte degli altri
obblighi (compresa l'IA "ad alto rischio") entrano in vigore il 2 agosto 2026.
Da notare: la Commissione ha proposto il 19 novembre 2025 di modificare alcune di queste scadenze,
quindi queste date possono ancora leggermente cambiare.
fonte ufficiale →
Il testo classifica gli usi dell'IA in 4 categorie: rischio inaccettabile (vietato), rischio
elevato (rigidamente regolamentato), rischio limitato (obbligo di informazione) e rischio minimo -
la grande maggioranza degli usi attuali (per esempio un correttore anti-spam o un videogioco), che
non sono interessati da nuove regole.
fonte ufficiale →
Alcuni usi sono ormai fuorilegge in tutta Europa: manipolare o ingannare le persone tramite
l'IA, sfruttare le vulnerabilità di una persona, valutare i cittadini con un "punteggio sociale",
prevedere che una persona commetterà un reato sulla base del suo profilo, raccogliere in massa
foto dal web o dalla videosorveglianza per creare basi di riconoscimento facciale, analizzare le
emozioni sul lavoro o a scuola, o ancora usare la biometria per dedurre origini, religione o
orientamento.
fonte ufficiale →
Esempi citati dalla Commissione: uno strumento che seleziona i CV, che gestisce l'accesso a un
credito, o che funge da componente di sicurezza in un trasporto. In questo caso occorre valutare e
limitare i rischi, usare dati di qualità, conservare registri di attività, documentare il sistema,
informare chiaramente gli utenti, prevedere una supervisione umana e garantire un buon livello di
robustezza e cybersicurezza.
fonte ufficiale →
Per gli usi vietati: fino a 35 milioni di euro o il 7% del fatturato mondiale (l'importo più
elevato dei due). Per le altre violazioni del regolamento: fino a 15 milioni o il 3%. Per aver
fornito informazioni fuorvianti alle autorità: fino a 7,5 milioni o l'1%. Per le PMI e le start-up,
si applica l'importo più BASSO dei due (vedere il dettaglio con fonti più sotto in "Le sanzioni
dell'AI Act, in chiaro").
fonte ufficiale →
E' stato creato un "Ufficio europeo per l'IA" in seno alla Commissione europea (più di 125
persone) per vigilare su un'applicazione coerente del regolamento, affiancato da un comitato che
riunisce un rappresentante per ogni Stato membro. Ogni paese deve anche designare le proprie
autorità nazionali di sorveglianza.
fonte ufficiale →
La Commissione propone un impegno volontario, l'"AI Pact", per anticipare la messa in conformità
prima delle scadenze legali. Più di 230 aziende (grandi gruppi e PMI) lo hanno già firmato. Questi
impegni non sono giuridicamente vincolanti.
fonte ufficiale →
A differenza del RGPD o della NIS2, l'AI Act non fissa una soglia semplice in numero di dipendenti o fatturato. Ciò che fa scattare gli obblighi è il vostro ruolo (fornitore o deployer) e il livello di rischio del sistema di IA interessato. Informazioni raccolte il 18/07/2026, fonti ufficiali Commissione europea e EUR-Lex.
Il testo ufficiale è chiaro: il regolamento si applica "to both public and private
actors inside and outside the EU, who place an AI system or general-purpose AI model
on the EU market, or put an AI system into service or use it in the EU". In concreto,
un'azienda stabilita fuori dall'UE può essere interessata quando l'output del suo
sistema di IA è destinato ad essere usato nell'Unione.
fonte ufficiale →
Chi sviluppa il sistema di IA o lo immette sul mercato. Esempio fornito dalla
Commissione europea: "a developer of a CV-screening tool" (lo sviluppatore di uno
strumento di selezione dei CV). Sono interessati anche i fornitori di modelli di IA
per finalità generali.
fonte ufficiale →
Chi utilizza il sistema nella propria attività professionale. Esempio fornito dalla
Commissione: "a bank using this screening tool" (la banca che utilizza lo strumento di
selezione dei CV). Un uso strettamente personale e non professionale è escluso da
questa definizione.
fonte ufficiale →
fonte ufficiale (EUR-Lex) → · fonte ufficiale (FAQ Commissione) →
Le PMI e le start-up restano nel campo di applicazione del regolamento, ma beneficiano
di sanzioni amministrative proporzionate alle loro dimensioni, di obblighi di documentazione
tecnica alleggeriti (accordo "AI omnibus"), e di "sandbox normative" per
testare i loro progetti di IA in condizioni controllate.
fonte ufficiale →
Il regolamento classifica tutti gli usi in 4 livelli di rischio (inaccettabile, elevato,
limitato, minimo). E' questo livello, determinato dalla natura del sistema e dal suo uso,
a far scattare (o meno) degli obblighi, indipendentemente dal numero di dipendenti o dal
fatturato dell'organizzazione che lo utilizza.
fonte ufficiale →
Elenco indicativo delle grandi famiglie di usi che possono rientrare nell'"alto rischio", come presentato dalla Commissione europea:
Niente gergo giuridico: 8 domande concrete, una risposta semplice, e la fonte ufficiale (Commissione europea, EUR-Lex) dietro ogni risposta.
Cliccate su una domanda per vedere la risposta e la sua fonte.
Nella grande maggioranza dei casi, no, non da obblighi specifici. Usare un chatbot o un copilota disponibile in commercio, senza integrarlo né trasformarlo in prodotto, resta al di fuori del cuore del regolamento finché non si tratta di un sistema di IA "ad alto rischio". Restate comunque "deployer" dello strumento: dovete usarlo conformemente alle sue istruzioni per l'uso.
E' un obbligo previsto dal regolamento (articolo 4, "alfabetizzazione all'IA"), in vigore dal 2 febbraio 2025. L'idea: dare alle vostre squadre - quelle che forniscono, usano o sono interessate da un sistema di IA - le nozioni necessarie per prendere decisioni informate di fronte a questi strumenti. La Commissione ha pubblicato una raccolta di pratiche ("living repository") per aiutare le aziende a organizzarsi, senza imporre un formato unico di formazione.
Sì, a partire dal 2 agosto 2026 (articolo 50 del regolamento). Una persona che interagisce con un chatbot deve poter sapere che sta parlando con una macchina. Un contenuto generato dall'IA (testo, immagine, video) deve restare identificabile come tale, e i "deepfake" o i testi generati dall'IA pubblicati su temi di interesse pubblico devono essere segnalati in modo chiaro e visibile. Un codice di buone pratiche volontario sull'etichettatura di questi contenuti è stato pubblicato il 10 giugno 2026 per guidare le aziende.
Solo se siete fornitori di un sistema di IA "ad alto rischio": in questo caso, l'iscrizione in una banca dati pubblica europea è obbligatoria. Anche le autorità pubbliche che utilizzano un sistema ad alto rischio devono iscriversi, tranne che per le infrastrutture critiche. Gli usi correnti di strumenti IA disponibili in commercio non sono interessati da questo registro.
No. Il regolamento fissa 3 fasce di sanzioni (fino a 35 M€ o il 7% del fatturato mondiale per le pratiche vietate; 15 M€ o il 3% per le altre violazioni; 7,5 M€ o l'1% per informazioni false fornite alle autorità), applicando ogni volta l'importo più elevato dei due. Per le PMI e le start-up, la regola si inverte: si applica l'importo più BASSO di ogni fascia, mai il più alto. Dettaglio completo e con fonti nella sezione "Le sanzioni dell'AI Act, in chiaro".
Sì. La Commissione ha messo in campo un "AI Act Service Desk" che propone una FAQ, uno strumento "Compliance Checker" per valutare i propri obblighi, un "AI Act Explorer" per navigare nel testo articolo per articolo, e un modulo per porre una domanda direttamente a un team di esperti.
Sì, sono usi tipici classificati "ad alto rischio" dal regolamento. In qualità di deployer, dovete in particolare designare una supervisione umana garantita da personale "sufficientemente attrezzato e abilitato", informare i vostri dipendenti PRIMA di distribuire un tale sistema sul loro luogo di lavoro, e informare qualsiasi persona quando un'IA partecipa a una decisione che la riguarda (per esempio la selezione di una candidatura). Il regolamento impone anche trasparenza, documentazione tecnica e tenuta di registri per questi usi.
Sì, è proprio il ruolo delle "sandbox normative" (regulatory sandboxes) e dei test in condizioni reali previsti dal regolamento, pensati per le PMI e le start-up. Un emendamento del 7 maggio 2026 ha ulteriormente ampliato l'accesso a questo dispositivo: più innovatori possono ormai accedervi, anche tramite una sandbox a livello europeo, e l'idoneità è stata estesa alle "small mid-cap" (piccole imprese a media capitalizzazione).
Il regolamento europeo sull'IA non si applica tutto in una volta: avanza per fasi tra il 2024 e il 2028. Ecco le date da ricordare, cosa è già attivo e cosa sta arrivando, ciascuna con la sua fonte ufficiale. Informazioni raccolte il 18/07/2026.
Il testo europeo sull'intelligenza artificiale diventa ufficialmente un regolamento in
vigore in tutta l'Unione europea. E' il punto di partenza: tutte le scadenze
successive si contano a partire da questa data.
fonte ufficiale →
Manipolazione delle persone, punteggio sociale, riconoscimento facciale di massa... le
pratiche più pericolose sono ormai fuorilegge in tutta Europa (dettaglio nella
sezione "monitoraggio normativo" più sopra). Anche le regole sulla sensibilizzazione all'IA
nelle organizzazioni si applicano da questa data.
fonte ufficiale →
Le autorità di controllo previste dal testo (compreso l'Ufficio europeo per l'IA) sono
ufficialmente operative, e i fornitori di grandi modelli di IA generativa (tipo
assistente conversazionale) devono rispettare obblighi di trasparenza e
documentazione tecnica.
fonte ufficiale →
E' la data che il testo originario fissava per la sua applicazione generale (24 mesi dopo
l'entrata in vigore): obbligo di informare gli utenti di fronte a un'IA, e la maggior parte
dei sistemi di IA "ad alto rischio" utilizzati in modo autonomo. Una parte dell'alto rischio è
stata tuttavia posticipata nel frattempo (vedere le due fasi successive).
fonte ufficiale →
Il 19 novembre 2025 la Commissione europea ha proposto di semplificare e posticipare
alcune scadenze del regolamento, in attesa che le norme tecniche necessarie fossero
pronte. Il Parlamento europeo e il Consiglio hanno trovato un accordo politico su questo testo il
7 maggio 2026. Conseguenza concreta: due scadenze sull'"alto rischio" sono state posticipate
(le due fasi successive qui sotto). Alla data di questa pagina, questo accordo politico
non è ancora pubblicato nella sua forma definitiva sulla Gazzetta ufficiale dell'UE.
fonte ufficiale →
Nuova scadenza per i sistemi di IA ad alto rischio utilizzati in particolare in biometria,
infrastrutture critiche, istruzione, lavoro, o migrazione/asilo/controllo delle frontiere.
Questi obblighi, che inizialmente dovevano applicarsi ad agosto 2026, sono posticipati a questa
data per lasciare il tempo alle norme tecniche di essere finalizzate.
fonte ufficiale →
Per i sistemi di IA che sono componenti di sicurezza in prodotti già regolamentati
altrove (ascensori, giocattoli, dispositivi medici...), la scadenza era fissata ad agosto
2027 nel testo originario (36 mesi dopo l'entrata in vigore). E' ormai
posticipata a questa data.
fonte ufficiale →
I divieti e le regole di governance sono già attivi dal 2025; la scadenza generale del regolamento cade nei prossimissimi giorni (2 agosto 2026); e due famiglie di sistemi ad alto rischio (settori sensibili, prodotti regolamentati) beneficiano di un termine supplementare fino a fine 2027 e poi metà 2028, il tempo che le norme tecniche siano pronte.
Niente panico né cifre shock: ecco esattamente cosa dice il testo europeo sulle multe, chi le dispone, e da quando si applicano davvero. Ogni importo è quello scritto nero su bianco nel regolamento (UE) 2024/1689, articoli da 99 a 101.
Si applica l'importo più elevato dei due. Riguarda esclusivamente gli 8 usi vietati dall'articolo 5: manipolazione o inganno tramite IA, sfruttamento delle vulnerabilità di una persona, punteggio sociale, previsione di un rischio di reato a partire dal solo profilo, raccolta massiva di volti per creare una base di riconoscimento facciale, riconoscimento delle emozioni sul lavoro o a scuola, categorizzazione biometrica di caratteristiche protette, e identificazione biometrica "in tempo reale" da parte delle forze dell'ordine in spazi pubblici.
Regolamento (UE) 2024/1689, articolo 99§3 →E' questa fascia a toccare più direttamente le aziende clienti di uno strumento di IA: obblighi dei fornitori (articolo 16), dei mandatari (22), degli importatori (23), dei distributori (24), dei deployer, cioè delle aziende che utilizzano un sistema di IA ad alto rischio (articolo 26), degli organismi notificati, e gli obblighi di trasparenza verso gli utenti (articolo 50 - per esempio segnalare che un chatbot è un'IA).
Regolamento (UE) 2024/1689, articolo 99§4 →Si applica quando un'azienda fornisce un'informazione scorretta, incompleta o fuorviante a un organismo notificato o a un'autorità nazionale competente che le ha fatto una richiesta ufficiale.
Regolamento (UE) 2024/1689, articolo 99§5 →Regola esplicita del testo: per le PMI e le start-up, ogni multa è limitata all'importo più basso dei due termini (percentuale o somma fissa), mai il più alto. In pratica, una multa basata su una percentuale del vostro fatturato reale sostituisce quasi sempre il tetto in milioni di euro pensato per le multinazionali.
Regolamento (UE) 2024/1689, articolo 99§6 →Il testo impone all'autorità di tener conto, prima di fissare un importo: della gravità e della durata della violazione, del numero di persone interessate, delle dimensioni e del fatturato dell'azienda, del carattere intenzionale o negligente, del grado di collaborazione con l'autorità, e delle misure già adottate per correggere il problema.
Regolamento (UE) 2024/1689, articolo 99§7 →Ogni Stato membro deve designare almeno un'"autorità di vigilanza del mercato" nazionale, incaricata di far applicare il regolamento sul proprio territorio. A livello europeo, l'Ufficio europeo per l'IA coordina l'insieme. Ad oggi, nessuna fonte ufficiale consultata permette di confermare il nome dell'autorità definitivamente designata per la Francia - non lo inventiamo quindi.
Regolamento (UE) 2024/1689, articolo 70 →I divieti dell'articolo 5 (e le loro multe fino a 35 M€) si applicano dal 2 febbraio 2025. L'intero regime sanzionatorio (capitolo XII, articolo 99) è in applicazione dal 2 agosto 2025. Non è quindi una scadenza lontana: il quadro delle multe è già attivo oggi.
Regolamento (UE) 2024/1689, articolo 113 →I fornitori di grandi modelli di IA per finalità generali (le "fondamenta" dietro a strumenti come gli assistenti IA) rientrano in un regime a parte: è la Commissione europea stessa che può infliggere loro una multa fino a 15 M€ o al 3% del loro fatturato mondiale. Questo regime riguarda l'editore del modello, non l'azienda che lo utilizza quotidianamente.
Regolamento (UE) 2024/1689, articolo 101 →Il regolamento prevede che ogni Stato membro trasmetta ogni anno alla Commissione un rapporto sulle multe realmente inflitte. Nessuna prima edizione di questo rapporto è stata individuata ad oggi nelle fonti ufficiali consultate - non citiamo quindi alcun caso concreto né alcun importo realmente inflitto finché non è pubblicato ufficialmente.
Regolamento (UE) 2024/1689, articolo 99§11 →In Europa, ogni paese ha le proprie autorità. Ecco, per i 30 paesi dello Spazio economico europeo, l'autorità di protezione dei dati (il vostro interlocutore per il RGPD) e l'autorità nazionale di cybersicurezza. Ogni nome rimanda al sito ufficiale.
Fonti: siti ufficiali delle autorità ed elenco dei membri dell'EDPB (edpb.europa.eu), consultati il 18 luglio 2026. Autorità di protezione dei dati confermate: 30/30. Autorità di cybersicurezza confermate: 28/30. Le indicazioni "da confermare" segnalano una fonte ufficiale non ancora stabilizzata ad oggi.
Scriveteci per un primo scambio e un preventivo personalizzato.
Gratis: il vostro punteggio + i vostri scostamenti. Il rapporto dettagliato e l'attestazione: 499 € + IVA, solo se decidete voi.
contact@syaga.eu