Il conto alla rovescia dell’AI Act: la scommessa regolatoria dell’Europa mette l’industria con le spalle al muro

Immaginate questo: l’Europa, appena uscita dall’approvazione della prima legge al mondo davvero completa sull’intelligenza artificiale, si ritrova ora davanti a un labirinto regolatorio in cui il traguardo continua a spostarsi. Mentre i legislatori si scontrano su cosa debba essere applicato subito e cosa possa aspettare, per le imprese la realtà è gelidamente chiara: l’esitazione è un lusso che non possono permettersi.

Dati rapidi

• L’AI Act è già parzialmente in vigore; divieti e obblighi chiave partono a febbraio 2025.
• Le regole per i sistemi di IA ad alto rischio potrebbero essere rinviate fino a 16 mesi con la proposta Digital Omnibus.
• Alcune scadenze - come le regole di trasparenza - non possono essere posticipate ed entrano in vigore ad agosto 2026.
• La piena conformità per i sistemi ad alto rischio può richiedere 8–14 mesi; la maggior parte delle organizzazioni è già in ritardo.
• Le sanzioni dell’AI Act arrivano fino a 35 milioni di euro o al 7% del fatturato globale.

L’AI Act europeo: una legge senza un manuale operativo?

L’AI Act europeo - ufficialmente in vigore da agosto 2024 - è stato salutato come una pietra miliare. Ma l’inchiostro era appena asciutto quando è subentrata la confusione. Le parti più ambiziose della legge, soprattutto quelle che disciplinano i sistemi di IA ad alto rischio come il credit scoring, l’assunzione del personale, l’identificazione biometrica e gli strumenti per la giustizia, restano in sospeso. Il motivo? Gli standard tecnici che dovrebbero guidare la conformità sono in ritardo e molti Paesi dell’UE non hanno nemmeno nominato le autorità che faranno rispettare le regole.

La proposta Digital Omnibus, attualmente discussa a Bruxelles, mira a guadagnare tempo - fino a 16 mesi - prima che scattino i requisiti per l’alto rischio. Ma i regolatori avvertono: semplificare non può significare annacquare le tutele. Il Comitato europeo per la protezione dei dati (EDPB) e il Garante europeo della protezione dei dati (EDPS) hanno lanciato l’allarme, chiedendo che le salvaguardie fondamentali per i dati sensibili e la trasparenza restino intatte.

Scadenze: quali sono fisse, quali potrebbero slittare?

Alcune date non sono negoziabili. Entro febbraio 2025, le pratiche di IA vietate - come il social scoring e la categorizzazione biometrica razziale - sono messe al bando. Entro agosto 2025, entrano in vigore le regole per i modelli di IA per finalità generali (GPAI) e la supervisione istituzionale. Le regole di trasparenza dell’Articolo 50, inclusa l’etichettatura dei contenuti generati dall’IA, sono fissate per agosto 2026, con un breve periodo di grazia per i sistemi esistenti.

Ma se il Digital Omnibus non viene approvato entro agosto 2026, gli obblighi per l’alto rischio si applicano integralmente, senza proroghe. Puntare su un rinvio è una strategia rischiosa - che potrebbe lasciare le organizzazioni a rincorrere le scadenze.

Conformità: più che burocrazia

Rispettare i requisiti per l’alto rischio non è un esercizio di spunta caselle. Richiede una solida gestione del rischio, governance dei dati, supervisione umana, documentazione tecnica e audit indipendenti. Gli organismi di certificazione sono già sotto pressione, e gli esperti dicono che un progetto di conformità completo può richiedere fino a 14 mesi. Chi non ha iniziato è già in ritardo - indipendentemente da qualsiasi possibile tregua.

Mosse strategiche: costruire, non aspettare

Gli esperti invitano le organizzazioni ad agire subito. Il primo passo: un inventario completo di tutti i sistemi di IA, classificati per rischio e ruolo. Poi, integrare la governance tra normative sovrapposte - GDPR, NIS2, Cyber Resilience Act e altre. Infine, progettare i nuovi progetti di IA in ottica di conformità fin dal primo giorno; adeguare in un secondo momento è più costoso e più rischioso.

Chi si muove per primo sta ottenendo un vantaggio competitivo. Oltre 230 organizzazioni, inclusi colossi come Allianz e Lenovo, hanno già aderito al quadro dell’AI Act. Per loro, la conformità non riguarda solo l’evitare multe - ma il guadagnare fiducia e rendere il business a prova di futuro.

Conclusione: il costo dell’attesa

L’AI Act europeo non riguarda il prevedere il futuro - ma il prendere decisioni difficili ora, con informazioni imperfette. Con l’avvicinarsi delle scadenze e il persistere della nebbia regolatoria, le aziende devono scegliere: scommettere sul rinvio, oppure incorporare la conformità nel proprio DNA. In questo gioco ad alta posta, aspettare è la mossa più rischiosa di tutte.

WIKICROOK

• AI Act: L’AI Act è un regolamento dell’UE che stabilisce regole per un uso sicuro ed etico dell’intelligenza artificiale, inclusi standard per sistemi ad alto rischio come i deepfake.
• High: “High” nella cybersecurity indica un livello di rischio o minaccia serio, che richiede un’azione immediata per prevenire danni significativi o perdita di dati.
• GPAI (General Purpose AI): I GPAI sono modelli di IA progettati per un uso ampio e flessibile in più domini, il che li rende preziosi ma potenzialmente rischiosi nella cybersecurity.
• Organismi notificati: Gli organismi notificati sono organizzazioni indipendenti che certificano prodotti e servizi di cybersecurity per la conformità alle normative UE, garantendo il rispetto di standard di sicurezza e qualità.
• Compliance by design: La compliance by design integra requisiti legali e regolatori nei processi aziendali, nei sistemi e nei prodotti fin dall’inizio, garantendo sicurezza e privacy continue.