Guida regolamento IA · 11 min
Il regolamento UE sull'IA: livelli di rischio, calendario e cosa devono fare i deployer (articolo 26)
Il regolamento UE sull'IA è la prima legge completa al mondo sull'intelligenza artificiale. Classifica i sistemi di IA per rischio e pone la maggior parte degli obblighi gravosi sui sistemi ad alto rischio, ma impone anche obblighi concreti alle organizzazioni che usano l'IA, non solo a quelle che la costruiscono. È già in vigore e si applica per fasi fino al 2027. Questa guida illustra i livelli di rischio, le date che contano, gli obblighi del deployer ai sensi dell'articolo 26 e cosa significa quando acquistate o mettete in uso l'IA nella vostra supply chain.
Punti chiave
- Il regolamento sull'IA (regolamento (UE) 2024/1689) classifica l'IA per rischio: vietato, alto rischio, limitato (trasparenza) e minimo.
- Date scaglionate: in vigore dal 1° agosto 2024; pratiche vietate dal 2 febbraio 2025; IA per finalità generali dal 2 agosto 2025; alto rischio e la maggior parte degli obblighi dal 2 agosto 2026.
- Se usate un sistema di IA ad alto rischio, siete un «deployer» con obblighi propri ai sensi dell'articolo 26 (sorveglianza umana, monitoraggio, log e altro) anche se il fornitore porta la maggior parte degli obblighi sul lato costruzione.
Cos'è il regolamento sull'IA
Il regolamento sull'IA (regolamento (UE) 2024/1689) è un regolamento basato sul rischio, di tipo prodotto, per i sistemi di IA immessi sul mercato dell'UE o il cui output è utilizzato nell'UE. Essendo un regolamento, si applica direttamente in tutti gli Stati membri. Distribuisce gli obblighi lungo la catena del valore: principalmente ai fornitori (che sviluppano l'IA) e ai deployer (che la usano sotto la propria autorità), con ruoli più leggeri per importatori e distributori.
Anziché regolare «l'IA» in modo uniforme, ordina i sistemi in livelli di rischio e modula gli obblighi di conseguenza: una manciata di pratiche è del tutto vietata, un insieme definito di usi ad alto rischio comporta requisiti gravosi, alcuni sistemi richiedono solo trasparenza, e la grande maggioranza (l'IA a rischio minimo) non ne comporta praticamente alcuno.
Dove sono gli obblighi
Pratiche vietate (proibite), sistemi ad alto rischio (gli obblighi gravosi. Es. IA usata nel lavoro, nel credito, nelle infrastrutture critiche o nella biometria) e sistemi a rischio limitato che richiedono trasparenza (es. informare gli utenti che interagiscono con un'IA o che un contenuto è generato dall'IA).
Rischio minimo (la maggior parte dell'IA)
La grande maggioranza dei sistemi di IA (filtri antispam, motori di raccomandazione, la maggior parte degli strumenti di produttività) rientra nel rischio minimo e non comporta obblighi specifici ai sensi del regolamento, al di là di codici volontari e di un'aspettativa generale di alfabetizzazione sull'IA.
Il calendario
Il regolamento si applica per fasi. Le date che guidano la pianificazione:
Entrato in vigore. L'orologio inizia a scorrere; gli obblighi entrano in vigore per fasi da qui.
Le pratiche vietate si applicano: l'IA a «rischio inaccettabile» (es. punteggio sociale, taluni usi manipolativi o di categorizzazione biometrica) è proibita. Iniziano anche gli obblighi di alfabetizzazione sull'IA.
Iniziano gli obblighi per i modelli di IA per finalità generali (GPAI), insieme alle strutture di governance e alle autorità nazionali competenti.
L'evento principale: gli obblighi per i sistemi ad alto rischio (compresi gli obblighi del deployer ai sensi dell'articolo 26) si applicano.
Termine prorogato per l'IA ad alto rischio che è un componente di sicurezza di prodotti già regolati da altre norme dell'UE (allegato I).
Cosa devono fare i deployer (articolo 26)
Se usate un sistema di IA ad alto rischio sotto la vostra autorità, l'articolo 26 vi impone obblighi operativi. In sintesi, un deployer deve:
- Usare il sistema secondo le istruzioni per l'uso del fornitore.
- Affidare la sorveglianza umana a persone competenti, formate e dotate di risorse adeguate, in grado di intervenire o di disattivarne il funzionamento.
- Monitorare il funzionamento del sistema e sospenderne l'uso e informare il fornitore e le autorità quando presenta un rischio o si verifica un incidente grave.
- Conservare i log generati automaticamente per un periodo adeguato: almeno sei mesi, salvo che altre norme richiedano di più.
- Garantire che i dati di input siano pertinenti e sufficientemente rappresentativi per la finalità prevista, nella misura in cui li controllate.
- Informare i lavoratori e i loro rappresentanti prima di mettere in uso un sistema ad alto rischio sul luogo di lavoro, e informare le persone soggette alle sue decisioni.
- Effettuare una valutazione d'impatto sui diritti fondamentali ove richiesto (art. 27), e cooperare con le autorità competenti.
Come si combina con NIS2 e il GDPR
Il regolamento sull'IA non sostituisce gli altri vostri obblighi. Vi si somma. Un sistema di IA che tratta dati personali resta disciplinato dal GDPR (e può necessitare di una valutazione d'impatto sulla protezione dei dati accanto a quella sui diritti fondamentali del regolamento sull'IA). Un sistema di IA che fa parte dell'operatività dei vostri servizi essenziali resta soggetto agli obblighi di sicurezza e notifica di NIS2. I tre si sovrappongono anziché sostituirsi.
Per gli acquisti, proprio questa convergenza è il punto pratico. Quando portate un sistema di IA nella vostra supply chain, ereditate gli obblighi del deployer (art. 26) e dovete conoscere la posizione di conformità del fornitore: conformità, istruzioni per l'uso, registrazione dei log, classe di rischio del sistema. È lo stesso muscolo di due diligence sui fornitori che NIS2 vi chiede già di costruire, orientato all'IA.
La classificazione dei sistemi di IA (in particolare il confine dell'alto rischio e le regole sui GPAI) è dettagliata e specifica per ciascun caso, e atti di esecuzione e norme sono ancora in arrivo. Confermate la classe di un sistema specifico e il vostro ruolo con una consulenza qualificata e il testo ufficiale.
Cosa significa per voi
I vostri obblighi dipendono dal vostro ruolo rispetto al sistema:
Un fornitore (sviluppate o modificate sostanzialmente un sistema di IA)
Portate gli obblighi sul lato costruzione: gestione del rischio, governance dei dati, documentazione tecnica, valutazione della conformità e marcatura CE per i sistemi ad alto rischio. In gran parte dal 2 agosto 2026.
Un deployer (usate l'IA sotto la vostra autorità)
L'articolo 26 si applica ai sistemi ad alto rischio: sorveglianza umana, monitoraggio, log, informazione ai lavoratori e una valutazione sui diritti fondamentali ove richiesta. Costruitelo ora in vista della data del 2 agosto 2026.
Un importatore o distributore
Potete mettere a disposizione solo sistemi ad alto rischio conformi, dovete verificare la conformità e la marcatura CE del fornitore e dovete attivarvi quando venite a sapere che un sistema non è conforme.
Un acquirente che acquista IA per la propria supply chain
Di norma siete il deployer. Esigete le istruzioni del fornitore, la classe di rischio, lo stato di conformità e la capacità di logging, e trattate i fornitori di IA come parte della vostra due diligence sui fornitori NIS2.
Fonti: Regolamento (UE) 2024/1689 (regolamento sull'IA) e le pagine della Commissione europea sul regolamento sull'IA. Date, livelli e ruoli riflettono il regolamento pubblicato; confermate la classificazione di un sistema specifico con una consulenza qualificata.
Come aiuta norppa.io
norppa.io non renderà un sistema di IA conforme al regolamento sull'IA (è compito del fornitore e del deployer) ma vi dà visibilità sull'esposizione all'IA nella vostra supply chain, da dove inizia la due diligence del deployer. La sua scansione fa emergere endpoint di servizi di IA, API di modelli e inferenza esposte e interfacce legate all'IA (compresi gli endpoint Model Context Protocol) sulla superficie di attacco dei vostri fornitori.
I questionari di autovalutazione colgono ciò che nessuna scansione esterna vede (quali sistemi di IA un fornitore mette in uso, la loro classe di rischio, lo stato di conformità e le modalità di sorveglianza umana) e ogni risposta viene affiancata al profilo tecnico in tempo reale, pronta per il vostro fascicolo fornitori. È lo stesso approccio continuo e basato su prove che NIS2 si attende, esteso all'IA che i vostri fornitori utilizzano.