Guida regolamento IA · 11 min
Il regolamento UE sull'IA: livelli di rischio, calendario e cosa devono fare i deployer (articolo 26)
Il regolamento UE sull'IA è la prima legge completa al mondo sull'intelligenza artificiale. Classifica i sistemi di IA per rischio e pone la maggior parte degli obblighi gravosi sui sistemi ad alto rischio, ma impone anche obblighi concreti alle organizzazioni che usano l'IA, non solo a quelle che la costruiscono. È già in vigore e si applica per fasi fino al 2027. Questa guida illustra i livelli di rischio, le date che contano, gli obblighi del deployer ai sensi dell'articolo 26 e cosa significa quando acquistate o mettete in uso l'IA nella tua supply chain.
Controlla il tuo dominio ora
Scopri cosa è pubblicamente visibile sulla sicurezza della tua organizzazione, senza registrazione.
Questa anteprima immediata verifica:
- HTTPS raggiungibile
- HSTS abilitato
- Reindirizzamento HTTP → HTTPS
- SPF configurato
- DMARC applicato
- Posta (MX) configurata
Il report completo aggiunge ransomware, dark web, certificati, dati aziendali e oltre 100 altri controlli.
Punti chiave
- Il regolamento sull'IA (regolamento (UE) 2024/1689) classifica l'IA per rischio: vietato, alto rischio, limitato (trasparenza) e minimo.
- Date scaglionate: in vigore dal 1° agosto 2024; pratiche vietate dal 2 febbraio 2025; IA per finalità generali dal 2 agosto 2025; alto rischio e la maggior parte degli obblighi dal 2 agosto 2026.
- Se usa un sistema di IA ad alto rischio, sei un «deployer» con obblighi propri ai sensi dell'articolo 26 (sorveglianza umana, monitoraggio, log e altro) anche se il fornitore porta la maggior parte degli obblighi sul lato costruzione.
Cos'è il regolamento sull'IA
Il regolamento sull'IA (regolamento (UE) 2024/1689) è un regolamento basato sul rischio, di tipo prodotto, per i sistemi di IA immessi sul mercato dell'UE o il cui output è utilizzato nell'UE. Essendo un regolamento, si applica direttamente in tutti gli Stati membri. Distribuisce gli obblighi lungo la catena del valore: principalmente ai fornitori (che sviluppano l'IA) e ai deployer (che la usano sotto la propria autorità), con ruoli più leggeri per importatori e distributori.
Anziché regolare «l'IA» in modo uniforme, ordina i sistemi in livelli di rischio e modula gli obblighi di conseguenza: una manciata di pratiche è del tutto vietata, un insieme definito di usi ad alto rischio comporta requisiti gravosi, alcuni sistemi richiedono solo trasparenza, e la grande maggioranza (l'IA a rischio minimo) non ne comporta praticamente alcuno.
Dove sono gli obblighi
Pratiche vietate (proibite), sistemi ad alto rischio (gli obblighi gravosi. Es. IA usata nel lavoro, nel credito, nelle infrastrutture critiche o nella biometria) e sistemi a rischio limitato che richiedono trasparenza (es. informare gli utenti che interagiscono con un'IA o che un contenuto è generato dall'IA).
Rischio minimo (la maggior parte dell'IA)
La grande maggioranza dei sistemi di IA (filtri antispam, motori di raccomandazione, la maggior parte degli strumenti di produttività) rientra nel rischio minimo e non comporta obblighi specifici ai sensi del regolamento, al di là di codici volontari e di un'aspettativa generale di alfabetizzazione sull'IA.
Il calendario
Il regolamento si applica per fasi. Le date che guidano la pianificazione:
Entrato in vigore. L'orologio inizia a scorrere; gli obblighi entrano in vigore per fasi da qui.
Le pratiche vietate si applicano: l'IA a «rischio inaccettabile» (es. punteggio sociale, taluni usi manipolativi o di categorizzazione biometrica) è proibita. Iniziano anche gli obblighi di alfabetizzazione sull'IA.
Iniziano gli obblighi per i modelli di IA per finalità generali (GPAI), insieme alle strutture di governance e alle autorità nazionali competenti.
L'evento principale: gli obblighi per i sistemi ad alto rischio (compresi gli obblighi del deployer ai sensi dell'articolo 26) si applicano.
Termine prorogato per l'IA ad alto rischio che è un componente di sicurezza di prodotti già regolati da altre norme dell'UE (allegato I).
Cosa devono fare i deployer (articolo 26)
Se usa un sistema di IA ad alto rischio sotto la tua autorità, l'articolo 26 vi impone obblighi operativi. In sintesi, un deployer deve:
- Usare il sistema secondo le istruzioni per l'uso del fornitore.
- Affidare la sorveglianza umana a persone competenti, formate e dotate di risorse adeguate, in grado di intervenire o di disattivarne il funzionamento.
- Monitorare il funzionamento del sistema e sospenderne l'uso e informare il fornitore e le autorità quando presenta un rischio o si verifica un incidente grave.
- Conservare i log generati automaticamente per un periodo adeguato: almeno sei mesi, salvo che altre norme richiedano di più.
- Garantire che i dati di input siano pertinenti e sufficientemente rappresentativi per la finalità prevista, nella misura in cui li controlla.
- Informare i lavoratori e i loro rappresentanti prima di mettere in uso un sistema ad alto rischio sul luogo di lavoro, e informare le persone soggette alle sue decisioni.
- Effettuare una valutazione d'impatto sui diritti fondamentali ove richiesto (art. 27), e cooperare con le autorità competenti.
Scopri il tuo punteggio reale e quello dei tuoi fornitori
7 giorni gratuiti · senza carta di credito · disdici quando vuoi
Come si combina con NIS2 e il GDPR
Il regolamento sull'IA non sostituisce gli altri tuoi obblighi. Vi si somma. Un sistema di IA che tratta dati personali resta disciplinato dal GDPR (e può necessitare di una valutazione d'impatto sulla protezione dei dati accanto a quella sui diritti fondamentali del regolamento sull'IA). Un sistema di IA che fa parte dell'operatività dei tuoi servizi essenziali resta soggetto agli obblighi di sicurezza e notifica di NIS2. I tre si sovrappongono anziché sostituirsi.
Per gli acquisti, proprio questa convergenza è il punto pratico. Quando portate un sistema di IA nella tua supply chain, ereditate gli obblighi del deployer (art. 26) e devi conoscere la posizione di conformità del fornitore: conformità, istruzioni per l'uso, registrazione dei log, classe di rischio del sistema. È lo stesso muscolo di due diligence sui fornitori che NIS2 vi chiede già di costruire, orientato all'IA.
La classificazione dei sistemi di IA (in particolare il confine dell'alto rischio e le regole sui GPAI) è dettagliata e specifica per ciascun caso, e atti di esecuzione e norme sono ancora in arrivo. Confermate la classe di un sistema specifico e il tuo ruolo con una consulenza qualificata e il testo ufficiale.
Cosa significa per voi
I tuoi obblighi dipendono dal tuo ruolo rispetto al sistema:
Un fornitore (sviluppate o modificate sostanzialmente un sistema di IA)
Portate gli obblighi sul lato costruzione: gestione del rischio, governance dei dati, documentazione tecnica, valutazione della conformità e marcatura CE per i sistemi ad alto rischio. In gran parte dal 2 agosto 2026.
Un deployer (usa l'IA sotto la tua autorità)
L'articolo 26 si applica ai sistemi ad alto rischio: sorveglianza umana, monitoraggio, log, informazione ai lavoratori e una valutazione sui diritti fondamentali ove richiesta. Costruitelo ora in vista della data del 2 agosto 2026.
Un importatore o distributore
Puoi mettere a disposizione solo sistemi ad alto rischio conformi, devi verificare la conformità e la marcatura CE del fornitore e devi attivarvi quando venite a sapere che un sistema non è conforme.
Un acquirente che acquista IA per la propria supply chain
Di norma sei il deployer. Esigete le istruzioni del fornitore, la classe di rischio, lo stato di conformità e la capacità di logging, e trattate i fornitori di IA come parte della tua due diligence sui fornitori NIS2.
Fonti: Regolamento (UE) 2024/1689 (regolamento sull'IA) e le pagine della Commissione europea sul regolamento sull'IA. Date, livelli e ruoli riflettono il regolamento pubblicato; confermate la classificazione di un sistema specifico con una consulenza qualificata.
Come aiuta norppa.io
norppa.io non renderà un sistema di IA conforme al regolamento sull'IA (è compito del fornitore e del deployer) ma vi dà visibilità sull'esposizione all'IA nella tua supply chain, da dove inizia la due diligence del deployer. La sua scansione fa emergere endpoint di servizi di IA, API di modelli e inferenza esposte e interfacce legate all'IA (compresi gli endpoint Model Context Protocol) sulla superficie di attacco dei tuoi fornitori.
I questionari di autovalutazione colgono ciò che nessuna scansione esterna vede (quali sistemi di IA un fornitore mette in uso, la loro classe di rischio, lo stato di conformità e le modalità di sorveglianza umana) e ogni risposta viene affiancata al profilo tecnico in tempo reale, pronta per il tuo fascicolo fornitori. È lo stesso approccio continuo e basato su prove che NIS2 si attende, esteso all'IA che i tuoi fornitori utilizzano.