Le novità del AI act europeo

Dalle formulazioni del 2024 agli obblighi del 2025 fino al recepimento italiano con la legge 132 del 23/9/2025. 

Il 2025 è l’anno in cui l’AI Act entra nel vivo della sua fase operativa. Se il 2024 è stato l’anno dell’approvazione e dei festeggiamenti, il 2025 è quello dei divieti, della governance e delle scadenze vincolanti per le aziende.

Ecco i tre pilastri fondamentali di ciò che è cambiato e cambierà quest’anno:

1. I Divieti sono diventati operativi (Febbraio 2025)

Dal 2 febbraio 2025, sono ufficialmente vietati in tutta l’Unione Europea i sistemi di IA a “rischio inaccettabile”. Non è più una previsione futura, ma un obbligo di legge:

• Social Scoring: Vietati i sistemi che valutano l’affidabilità delle persone in base al comportamento sociale.
• Manipolazione Cognitiva: Vietati i sistemi che usano tecniche subliminali per distorcere il comportamento.
• Riconoscimento Biometrico in tempo reale: Forti restrizioni (salvo casi eccezionali di sicurezza nazionale) negli spazi pubblici.
• AI Literacy: Le aziende hanno ora l’obbligo di garantire che il personale che utilizza sistemi di IA abbia una formazione adeguata (alfabetizzazione digitale).

2. Il “D-Day” dei Modelli GPAI (Agosto 2025)

La data più critica del 2025 è il 2 agosto. Da questo momento scattano gli obblighi per i fornitori di General Purpose AI (GPAI), come i grandi modelli linguistici (LLM):

• Trasparenza e Copyright: I produttori di modelli (es. OpenAI, Google, Anthropic) devono fornire documentazione tecnica dettagliata e dimostrare di rispettare le norme sul copyright europeo.
• Rischio Sistemico: Per i modelli più potenti (quelli che superano determinate soglie di calcolo), scattano obblighi extra: test avversariali, valutazione dei rischi a livello UE e cybersicurezza avanzata.
• Sanzioni Operative: Entra in vigore il regime sanzionatorio. Le multe possono arrivare fino a 35 milioni di euro o al 7% del fatturato mondiale per le violazioni più gravi.

3. L’Infrastruttura di Controllo (Governance)

Nel corso del 2025, l’architettura di sorveglianza diventa realtà:

• AI Office Europeo: È ora pienamente operativo per monitorare i modelli GPAI.
• Autorità Nazionali: Entro il 2 agosto 2025, ogni Stato membro (inclusa l’Italia) deve aver designato le proprie autorità di vigilanza (es. l’Agenzia per l’Italia Digitale – AgID e il Garante Privacy).
• Codici di Buone Pratiche: La Commissione sta finalizzando i “Codes of Practice” che aiuteranno le aziende a capire come conformarsi praticamente alle regole sui modelli di uso generale.

Tabella di marcia per le aziende nel 2025

Parlare con un legale esperto di AI Act nel 2025 non serve solo a evitare multe, ma a proteggere il valore della tua azienda. Poiché siamo nell’anno in cui i divieti e le regole sui modelli GPAI (come ChatGPT o Gemini) diventano vincolanti, le domande devono puntare alla praticità e alla responsabilità.

Ecco le 4 domande “chiave” che ci possono aiutare a capire.  

Dopo gli annunci del 2024 e precedenti, direi che quest’anno siamo entrati nel vivo sia con la promulgazione di leggi nazionali e di aggiornamenti della legge europea, ci puoi sintetizzare quanto di novità è presente in queste regolamenti 

“Qual è l’impatto della Legge Italiana n. 132/2025 sulla nostra attività?”

Oltre all’AI Act europeo, l’Italia ha approvato una propria legge sull’IA (entrata in vigore a ottobre 2025). È fondamentale chiedere come le norme nazionali integrino quelle UE, specialmente per quanto riguarda:

• Responsabilità Penale: La legge italiana ha introdotto nuove fattispecie di reato legate all’uso illecito dell’IA.
• Obblighi nelle professioni: Se fornisci servizi professionali, devi sapere come adempiere all’obbligo di informare i clienti sull’uso dell’IA (Art. 13).

“Come dobbiamo gestire i fornitori di modelli GPAI dopo la scadenza di agosto 2025?”

Dal 2 agosto 2025, i fornitori di modelli di intelligenza artificiale per uso generale hanno obblighi specifici. Chiedi all’avvocato:

• “Quale documentazione dobbiamo esigere dai nostri fornitori (es. OpenAI, Microsoft, Google) per dimostrare che i modelli che integriamo sono a norma?”
• “Come cambiano i nostri contratti di licenza per includere clausole di manleva in caso di violazione del copyright o bias discriminatori del modello?”

“Abbiamo sistemi che potrebbero essere riclassificati come ‘Ad Alto Rischio’?”

Molte aziende usano l’IA in ambiti che sembrano innocui ma che l’AI Act considera critici (es. selezione del personale, valutazione dei crediti, gestione dei dipendenti). Chiedi:

• “Secondo gli Allegati dell’AI Act, i nostri tool interni (HR, analisi predittiva, ecc.) richiedono una Valutazione di Impatto sui Diritti Fondamentali (FRIA)?”
• “Quali prove documentali dobbiamo produrre ora per non farci trovare impreparati quando nel 2026 i requisiti per l’alto rischio diventeranno pienamente sanzionabili?”

4. “Chi risponde legalmente dell’output dell’IA e come mitigiamo il rischio di ‘Allucinazione’?”

Il tema della responsabilità civile è centrale. Chiedi al legale:

• “In caso di errore dell’IA che causa un danno a un cliente (es. un consiglio legale o medico errato, o un errore tecnico), chi è il responsabile finale secondo la gerarchia della catena del valore?”
• “Come dobbiamo strutturare la Supervisione Umana (Human-in-the-loop) per poter dire in tribunale che abbiamo fatto tutto il possibile per prevenire l’errore?”