Brubru
Intelligenza politica UE
Il regolamento (UE) 2024/1689 è il primo quadro giuridico orizzontale e completo al mondo in materia di intelligenza artificiale. Vieta un numero limitato di pratiche inaccettabili, assoggetta i sistemi di IA ad alto rischio a requisiti obbligatori e alla valutazione della conformità, e istituisce un regime dedicato ai modelli di IA per uso generale, compresi i più grandi modelli fondazionali.
Il primo quadro giuridico completo al mondo in materia di intelligenza artificiale
L'intelligenza artificiale presenta importanti opportunità economiche e sociali, ma comporta anche rischi per la salute, la sicurezza e i diritti fondamentali. In assenza di un quadro armonizzato a livello dell'UE, la divergenza delle normative nazionali rischiava di frammentare il mercato interno e di ridurre la certezza del diritto per gli sviluppatori e i fornitori operanti in diversi Stati membri. Il regolamento sull'IA colma tale lacuna con un unico regolamento orizzontale, fondato sull'articolo 114 TFUE (ravvicinamento del mercato interno) e sull'articolo 16 TFUE per le disposizioni relative all'applicazione della legge in materia biometrica (considerando 3 e 38).
Il principio organizzatore è un approccio basato sul rischio: anziché disciplinare l'IA in modo uniforme, il regolamento classifica i sistemi di IA in quattro livelli e calibra gli obblighi in funzione del potenziale di danno. È tecnologicamente neutro e si applica a qualsiasi sistema di IA indipendentemente dalla sua architettura, dal metodo di addestramento o dalla modalità di implementazione. I suoi obiettivi dichiarati sono promuovere lo sviluppo e l'adozione di un'IA antropocentrica e affidabile, proteggendo al contempo la salute, la sicurezza, i diritti fondamentali, la democrazia, lo Stato di diritto e l'ambiente, e sostenendo l'innovazione.
La Commissione ha pubblicato la sua proposta come COM(2021) 206 il 21 aprile 2021, in seguito alla strategia sull'IA del 2018 e al Piano coordinato sull'IA del 2021. Il Consiglio ha adottato un orientamento generale il 6 dicembre 2022. Le commissioni IMCO e LIBE del Parlamento europeo hanno guidato i lavori del Parlamento in una procedura congiunta, con i co-relatori Brando Benifei (S&D, Italia) e Dragos Tudorache (Renew, Romania). Un accordo politico in trilogo è stato raggiunto l'8 dicembre 2023; il Parlamento ha adottato formalmente il testo il 13 marzo 2024 (523 voti favorevoli, 46 contrari, 49 astensioni). Il Consiglio lo ha adottato formalmente il 21 maggio 2024. Il regolamento è stato pubblicato nella Gazzetta ufficiale il 12 luglio 2024 (GU L, 2024/1689) ed è entrato in vigore il 1° agosto 2024. DG capofila presso la Commissione: DG CNECT; organismo centrale di vigilanza: l'AI Office (istituito con decisione della Commissione del 24 gennaio 2024).
Il regolamento si applica ai fornitori che immettono sistemi di IA sul mercato dell'UE o li mettono in servizio nell'UE, nonché ai responsabili del deployment di sistemi di IA situati nell'UE. Principali esclusioni (articolo 2): usi militari, di difesa e di sicurezza nazionale (considerando 24, art. 2, par. 3); IA sviluppata esclusivamente per la ricerca e lo sviluppo scientifici (considerando 25, art. 2, par. 6); ricerca e sviluppo puri precedenti all'immissione sul mercato (art. 2, par. 8); uso personale non professionale (art. 2, par. 10); e sistemi di IA liberi e open source, salvo che siano ad alto rischio, vietati o soggetti agli obblighi di trasparenza di cui all'articolo 50 (art. 2, par. 12).
Il regolamento sull'IA contiene 113 articoli suddivisi in 13 capi, oltre a 180 considerando e 13 allegati. Gli allegati recano la maggior parte dei dettagli tecnici e operativi: l'allegato I elenca la legislazione di armonizzazione dell'Unione che attiva la via dell'alto rischio di cui all'allegato I; l'allegato II contiene l'elenco della legislazione di cui all'allegato II; l'allegato III elenca le otto aree di casi d'uso ad alto rischio di cui all'allegato III; l'allegato IV specifica il contenuto obbligatorio della documentazione tecnica; gli allegati XI e XII stabiliscono i requisiti di documentazione per i modelli GPAI; e l'allegato XIII fissa i criteri per designare il rischio sistemico nei modelli GPAI. Il regolamento modifica inoltre nove strumenti esistenti (regolamenti e direttive dell'acquis in materia di sicurezza dei prodotti e di sicurezza dei trasporti), elencati negli articoli da 102 a 110.
Quattro livelli, obblighi calibrati: considerando 26 e articolo 5 e seguenti
Articolo 5: usi dell'IA vietati in modo assoluto dal 2 febbraio 2025
Il Capo II del Regolamento, che contiene l'articolo 5, ha iniziato ad applicarsi il 2 febbraio 2025, sei mesi dopo l'entrata in vigore. La violazione di uno qualsiasi degli otto divieti comporta il livello di sanzione più elevato: fino a EUR 35.000.000 o al 7% del fatturato annuo mondiale totale, se superiore. Le PMI e le start-up pagano il minore tra la percentuale e l'importo fisso.
Sistemi di IA che impiegano tecniche subliminali, ingannevoli o manipolative che operano al di sotto della soglia di consapevolezza di una persona, o che sfruttano debolezze psicologiche, con l'effetto di distorcere materialmente il comportamento di una persona in modo tale da causare un danno significativo a quella persona o a un'altra persona.
Sistemi di IA che sfruttano specifiche vulnerabilità di una persona o di un gruppo a causa della loro età, disabilità o di una specifica situazione sociale o economica, al fine di distorcere materialmente il loro comportamento in modo tale da causare un danno significativo a quella persona o a un'altra persona.
Sistemi di IA per l'attribuzione di punteggi sociali a persone fisiche da parte di soggetti pubblici o privati che valutano o classificano gli individui in base al loro comportamento sociale o alle loro caratteristiche personali, determinando un trattamento pregiudizievole o sproporzionato non correlato al contesto originario dei dati o non giustificato.
Sistemi di IA utilizzati dalle autorità di contrasto che valutano il rischio che una persona fisica commetta un reato basandosi esclusivamente sulla profilazione di tale persona o sulla valutazione dei suoi tratti e caratteristiche della personalità, senza una base fattuale. Tale divieto non riguarda le valutazioni del rischio basate su fatti oggettivi inerenti alla specifica persona interessata.
Sistemi di IA che creano o ampliano banche dati di riconoscimento facciale attraverso la raccolta indiscriminata di immagini facciali da Internet o da riprese di sistemi di videosorveglianza. Tale divieto riguarda la raccolta massiva e indiscriminata di dati biometrici in assenza di un soggetto specifico o di una finalità investigativa determinata.
Sistemi di IA che inferiscono le emozioni di persone fisiche nei luoghi di lavoro e negli istituti scolastici. È prevista un'eccezione per i sistemi di IA utilizzati per ragioni mediche o di sicurezza (ad esempio il rilevamento della stanchezza del conducente a bordo di un veicolo).
Sistemi di IA che categorizzano individualmente le persone fisiche in base ai loro dati biometrici per dedurre o inferire la loro razza, opinioni politiche, appartenenza sindacale, credenze religiose o filosofiche, vita sessuale o orientamento sessuale. Tale divieto si distingue da quello relativo all'identificazione biometrica remota in tempo reale: riguarda la categorizzazione, non l'identificazione.
L'uso di sistemi di identificazione biometrica remota in tempo reale in spazi accessibili al pubblico a fini di attività di contrasto è vietato, fatte salve tre eccezioni tassativamente elencate: ricerca mirata di vittime di rapimento, tratta o sfruttamento sessuale e di persone scomparse; prevenzione di un attacco terroristico specifico, sostanziale e imminente o di una minaccia alla vita; identificazione o localizzazione di un sospettato di un reato di cui all'Allegato II punibile con almeno quattro anni di reclusione. Tutte e tre le eccezioni richiedono la previa autorizzazione di un'autorità giudiziaria o amministrativa indipendente (entro 24 ore nei casi urgenti), una valutazione dell'impatto sui diritti fondamentali e la registrazione nella banca dati dell'UE.
Articoli da 6 a 49, Allegati I e III: due percorsi di classificazione, sei requisiti obbligatori
Un sistema di IA è ad alto rischio secondo questo percorso se costituisce un componente di sicurezza di un prodotto disciplinato dalla legislazione di armonizzazione dell'Unione elencata nell'Allegato I, e tale prodotto è soggetto a valutazione della conformità da parte di terzi. La sezione A dell'Allegato I riguarda la legislazione del Nuovo Quadro Legislativo, comprendente macchinari, giocattoli, imbarcazioni da diporto, ascensori, attrezzature ATEX, apparecchiature radio, attrezzature a pressione, dispositivi di protezione individuale, apparecchi a gas, dispositivi medici e dispositivi medico-diagnostici in vitro. La sezione B riguarda la sicurezza dell'aviazione civile, i veicoli a due e tre ruote, i veicoli agricoli e forestali, le attrezzature marine, l'interoperabilità ferroviaria, i veicoli a motore e l'aviazione EASA. L'applicazione di questo percorso è differita al 2 agosto 2027.
Una deroga (art. 6, paragrafo 3) consente a un sistema dell'Allegato III di sfuggire allo status di alto rischio qualora non esegua la profilazione di persone fisiche e non presenti rischi significativi. La Commissione deve pubblicare orientamenti con esempi pratici entro il 2 febbraio 2026 (art. 6, paragrafo 5).
I fornitori di sistemi di IA ad alto rischio devono garantire che i loro sistemi soddisfino sei requisiti, applicati lungo l'intero ciclo di vita:
Inoltre, l'articolo 15 richiede accuratezza, robustezza e cibersicurezza a un livello adeguato, con resilienza contro le alterazioni non autorizzate da parte di terzi.
I sistemi di IA ad alto rischio recano la marcatura CE (considerando 129, articoli 47 e 48), che attesta la conformità al regolamento. La maggior parte dei sistemi ad alto rischio deve inoltre essere registrata in una banca dati pubblica dell'UE (articolo 49, considerando 131) prima della messa in servizio. La banca dati dell'UE è gestita dalla Commissione. La registrazione include l'identità del fornitore, il nome e la versione del sistema, una descrizione della sua destinazione d'uso, la procedura di valutazione della conformità utilizzata e informazioni sul piano di monitoraggio post-commercializzazione.
I responsabili del deployment che sono enti pubblici, fornitori di servizi pubblici, nonché i responsabili del deployment nel settore bancario e assicurativo che utilizzano sistemi di IA ad alto rischio dell'Allegato III devono effettuare una valutazione dell'impatto sui diritti fondamentali prima della messa in servizio (art. 27, considerando 96). La valutazione deve individuare i diritti a rischio, il danno atteso, le misure per attenuare il danno e, ove sia identificato un rischio residuo, consultare le persone interessate o i loro rappresentanti ove ciò sia fattibile. I risultati devono essere registrati nella banca dati dell'UE (per i sistemi soggetti a tale obbligo).
Capitolo V, articoli da 51 a 56: norme orizzontali per i modelli fondazionali, con obblighi aggiuntivi per i fornitori che presentano rischi sistemici
Un modello di IA per uso generale è definito dalla sua generalità e dalla capacità di svolgere in modo competente un'ampia gamma di compiti distinti (considerando 97). I grandi modelli generativi ne sono l'esempio paradigmatico (considerando 99). Il capitolo si applica ai fornitori di modelli GPAI, non ai deployer o agli integratori che incorporano tali modelli nei propri prodotti, a meno che essi stessi non modifichino un modello GPAI e immettano sul mercato una nuova versione.
Ogni fornitore di un modello GPAI, indipendentemente dalle dimensioni, deve:
I modelli GPAI open source sono esenti dagli obblighi di documentazione di cui agli allegati XI e XII, ma devono comunque rispettare gli obblighi relativi alla politica sul diritto d'autore e al sommario dell'addestramento, e perdono l'esenzione qualora presentino un rischio sistemico (art. 53, paragrafo 2).
Un modello GPAI è classificato come portatore di rischio sistemico quando presenta capacità ad alto impatto. Ciò si presume quando la quantità cumulativa di calcolo utilizzata nell'addestramento supera 1025 operazioni in virgola mobile (FLOPs). I criteri aggiuntivi di cui all'allegato XIII comprendono il numero di parametri, la dimensione del set di dati di addestramento, le modalità, le prestazioni nei benchmark e una presunzione di diffusione di almeno 10.000 utenti professionali dell'UE registrati. La Commissione può altresì designare un modello in base ai criteri dell'allegato XIII mediante decisione. I fornitori devono notificare all'Ufficio per l'IA entro due settimane dal raggiungimento (o dal previsto raggiungimento) della soglia di rischio sistemico (articolo 52).
Lo strumento di conformità principale per gli obblighi GPAI è un insieme di codici di condotta elaborati congiuntamente dall'Ufficio per l'IA e dai fornitori di modelli GPAI, dai deployer a valle e da altri portatori di interessi. L'adesione a un codice di condotta crea una presunzione di conformità ai corrispondenti obblighi dell'AI Act. I codici dovevano essere pronti entro il 2 maggio 2025, e le norme GPAI sono diventate applicabili il 2 agosto 2025. I fornitori che non aderiscono a un codice possono dimostrare la conformità con mezzi alternativi. I firmatari comprendono OpenAI, Anthropic, Google DeepMind, Mistral, Meta e Microsoft.
Articolo 50, Capo IV: obblighi di divulgazione applicabili indipendentemente dal livello di rischio
I fornitori di sistemi di IA destinati a interagire direttamente con persone fisiche devono garantire che tali persone siano informate di interagire con un sistema di IA, a meno che ciò non risulti evidente dal contesto o il sistema sia utilizzato per individuare, prevenire, indagare o perseguire reati penali. La divulgazione deve avvenire al più tardi al momento della prima interazione.
I fornitori di sistemi di IA che generano contenuti audio, immagini, video o testi sintetici devono garantire che gli output siano contrassegnati in un formato leggibile automaticamente come generati o manipolati artificialmente, mediante soluzioni tecniche quali la filigrana digitale. Tale obbligo supporta la rilevazione e la divulgazione a valle da parte dei responsabili del deployment e delle piattaforme. La Commissione è responsabile della specificazione degli standard tecnici. Il termine per la filigrana digitale è stato oggetto di una breve proroga nell'ambito del Digital Omnibus 2025/0359.
I responsabili del deployment di sistemi di IA che operano sulla base del riconoscimento delle emozioni o della categorizzazione biometrica devono informare le persone fisiche esposte a tali sistemi del funzionamento del sistema. Tale obbligo di divulgazione si applica anche quando il sistema è altrimenti al di fuori del livello ad alto rischio e indipendentemente dalla posizione della persona rispetto al responsabile del deployment.
I responsabili del deployment che utilizzano sistemi di IA per generare o manipolare contenuti di immagini, audio o video che costituiscono un deepfake devono dichiarare che il contenuto è stato generato o manipolato artificialmente. Una norma meno stringente si applica alle opere manifestamente artistiche, creative, satiriche o di finzione, per le quali la divulgazione può limitarsi a evitare inganni sull'autenticità. Anche il testo generato dall'IA e pubblicato nell'interesse pubblico deve essere divulgato, a meno che il contenuto non sia stato sottoposto a revisione umana sotto responsabilità editoriale.
Capi VII e IX: l'architettura dell'Unione a cinque organi e le autorità nazionali
Ogni Stato membro deve istituire almeno uno spazio di sperimentazione normativa per l'IA, operativo entro il 2 agosto 2026, per favorire lo sviluppo, la sperimentazione e la validazione di sistemi di IA innovativi in un ambiente controllato prima della loro immissione sul mercato. Gli spazi di sperimentazione devono prevedere condizioni di accesso prioritarie e semplificate per le PMI e le start-up. Il regolamento prevede inoltre la sperimentazione in condizioni reali di sistemi di IA al di fuori degli spazi di sperimentazione, nel rispetto di condizioni che garantiscano un'adeguata protezione (articoli 58 e 60). La ricerca dell'EPRS (aprile 2026) ha identificato difficoltà legate alla progettazione, alla frammentazione e alle tempistiche nell'attuazione degli spazi di sperimentazione da parte degli Stati membri.
Articoli 99 a 101: una struttura delle ammende a tre livelli basata sulla gravità e sulla tipologia di soggetto
| Categoria di violazione | Base giuridica | Ammenda massima | Note |
|---|---|---|---|
| Pratiche vietate (articolo 5) | Art 99(3) | EUR 35.000.000 o 7% del fatturato annuo mondiale | Il maggiore dei due importi. Il livello di sanzione più elevato riflette la gravità della condotta vietata. |
| Altri obblighi (fornitori, deployer, importatori, distributori, organismi notificati, obblighi di trasparenza) | Art 99(4) | EUR 15.000.000 o 3% del fatturato annuo mondiale | Si applica all'intera gamma di requisiti per i sistemi IA ad alto rischio e agli obblighi GPAI diversi dall'art. 5. |
| Informazioni errate, incomplete o fuorvianti fornite agli organismi notificati o alle autorità nazionali competenti | Art 99(5) | EUR 7.500.000 o 1% del fatturato annuo mondiale | Riguarda le false dichiarazioni, la documentazione falsa e l'ostruzione delle attività di vigilanza. |
| PMI e start-up | Art 99(6) | Il minore tra la percentuale e l'importo fisso | Proporzionalità: per ciascun livello, le PMI e le start-up pagano il minore tra la percentuale del fatturato e il massimale fisso. |
| Fornitori di modelli GPAI | Art 101 | EUR 15.000.000 o 3% del fatturato annuo mondiale | La Commissione può sanzionare direttamente i fornitori GPAI. Applicabile dal 2 agosto 2025. |
| Istituzioni, organi e agenzie dell'Unione | Art 100 | EUR 1.500.000 (art. 5) o EUR 750.000 (altro) | Irrogate dal GEPD. Il calcolo basato sul fatturato non si applica agli organi dell'Unione. |
In tutti i casi, la sanzione applicabile è il maggiore tra il massimale fisso e la percentuale del fatturato, ad eccezione delle PMI e delle start-up (per le quali si applica il minore). Le autorità competenti devono tenere conto della natura, della gravità, della durata e degli effetti della violazione, del grado di responsabilità del soggetto interessato e delle circostanze attenuanti o aggravanti. Le violazioni ripetute nell'arco di cinque anni innalzano il limite massimo. Il Comitato europeo per la protezione dei dati può inoltre irrogare sanzioni ai sensi del GDPR qualora il trattamento IA riguardi dati personali.
Articolo 113 e considerando 179: un'entrata in vigore progressiva dall'entrata in vigore fino alla piena applicazione
Aggiornamento (16 giugno 2026): il Parlamento europeo ha adottato l'omnibus di semplificazione dell'AI Act (2025/0359(COD)) in prima lettura il 16 giugno 2026 con 423 voti a favore, 57 contrari e 174 astensioni, a seguito dell'accordo interistituzionale provvisorio del 7 maggio 2026 (il Coreper ha approvato l'accordo il 13 maggio 2026). Il testo adottato rende vincolanti le nuove date: un nuovo divieto all'articolo 5 dei sistemi di IA che creano immagini intime non consensuali e materiale pedopornografico (conformità entro il 2 dicembre 2026); filigrana digitale dei contenuti generati dall'IA dal 2 dicembre 2026; sistemi ad alto rischio autonomi (allegato III) dal 2 dicembre 2027; e sistemi ad alto rischio integrati in prodotti regolamentati dal 2 agosto 2028. La maggior parte delle altre disposizioni dell'AI Act continua ad applicarsi dal 2 agosto 2026. Resta solo l'adozione formale del Consiglio; il testo vigente del regolamento (UE) 2024/1689 rimane in vigore fino alla pubblicazione dell'atto modificativo nella Gazzetta ufficiale. Relatori congiunti del PE (IMCO e LIBE): Arba Kokalari (PPE, Svezia) e Michael McNamara (Renew, Irlanda). Fonte: comunicato stampa del PE 20260611IPR45207.
Termini essenziali dell'articolo 3 del regolamento (UE) 2024/1689
Abbreviazioni e organi principali citati nel regolamento (UE) 2024/1689
Documentazione primaria per il Regolamento (UE) 2024/1689
Sei strumenti per analizzare, monitorare e lavorare con la normativa europea sull'intelligenza artificiale
Prova gratuita di 14 giorni. Nessuna carta richiesta.
Inizia la prova gratuita