Domande Frequenti sull'AI Act

L'Artificial Intelligence Act — Regolamento (UE) 2024/1689 — è il quadro giuridico organico dell'Unione europea sull'intelligenza artificiale. Classifica i sistemi di IA in base al rischio e definisce obblighi proporzionati per chi li sviluppa (fornitori) e per chi li utilizza nello svolgimento della propria attività (deployer).

Sì. L'obbligo di alfabetizzazione in materia di IA è applicabile dal 2 febbraio 2025. Il Regolamento (UE) 2026/1744 ha riformulato l'Art. 4 chiedendo a fornitori e deployer di «adottare misure volte a sostenere lo sviluppo dell'alfabetizzazione in materia di IA» del proprio personale e di chi opera per loro conto, calibrandole su competenze, ruolo e contesto d'uso, senza pretendere la garanzia di un livello predefinito su ogni singolo individuo.

No. Come chiarito dalle FAQ ufficiali della Commissione europea sull'AI literacy, non è richiesto un certificato formale né esistono enti accreditati per certificare l'Art. 4. Alle aziende viene chiesto di tenere un registro interno delle iniziative formative (partecipanti, ruoli, argomenti, data, durata). Il rilascio di un attestato al superamento di un test finale è un'ottima prova documentale a supporto del registro, ma non un obbligo di legge.

Le scadenze sono scaglionate: dal 2 febbraio 2025 sono applicabili i divieti (Art. 5) e l'alfabetizzazione IA (Art. 4); dal 2 agosto 2025 le regole sui modelli GPAI; dal 2 agosto 2026 le norme su vigilanza e governance (e in Italia, dal 23 ottobre 2026, il D.Lgs. 179/2026); dal 2 dicembre 2026 i nuovi divieti e gli obblighi di marcatura dei contenuti sintetici per i sistemi già sul mercato; dal 2 dicembre 2027 gli obblighi per i sistemi ad alto rischio dell'Allegato III; dal 2 agosto 2028 gli obblighi per i sistemi ad alto rischio integrati in prodotti regolamentati (Allegato I).

Le sanzioni sono graduate per fascia di violazione (Artt. 99 e 101 Reg. UE 2024/1689): fino a 35 milioni di euro o al 7% del fatturato mondiale annuo esclusivamente per le pratiche di IA vietate (Art. 5); fino a 15 milioni di euro o al 3% del fatturato per la violazione della maggior parte degli altri obblighi del Regolamento; fino a 7,5 milioni di euro o all'1,5% per informazioni inesatte fornite alle autorità. Per l'obbligo di alfabetizzazione (Art. 4), le sanzioni sono determinate dalle autorità nazionali designate (in Italia: vigilanza AgID/ACN ex D.Lgs. 179/2026). Per le PMI e le start-up si applica l'importo inferiore tra il massimale fisso e la percentuale.

In Italia il D.Lgs. 7 ottobre 2026, n. 179 (in vigore dal 23 ottobre 2026) prevede all'Art. 42 che il datore di lavoro informi e formi i lavoratori sui rischi specifici derivanti dall'utilizzo dei sistemi di IA nell'attività lavorativa e ne tenga conto nella valutazione dei rischi (DVR) ai sensi del D.Lgs. 81/2008.

Sì. L'azienda che mette a disposizione o consente l'uso professionale di assistenti generativi agisce come deployer. Deve quindi adottare misure di alfabetizzazione IA per il personale (Art. 4), definire regole chiare sull'inserimento di dati personali o riservati (AI Policy aziendale) e verificare eventuali obblighi di trasparenza verso terzi (Art. 50).

L'Art. 4 riguarda sia il personale dipendente sia le altre persone che gestiscono e utilizzano sistemi di IA per conto del fornitore o del deployer (ad esempio consulenti, collaboratori continuativi o fornitori che operano sui processi aziendali utilizzando strumenti di IA).

Il D.Lgs. 179/2026 designa l'Agenzia per l'Italia Digitale (AgID) quale autorità di notifica e per la promozione dell'innovazione, e l'Agenzia per la Cybersicurezza Nazionale (ACN) quale autorità di vigilanza del mercato e di irrogazione delle sanzioni, ferme restando le attribuzioni di Banca d'Italia, CONSOB, IVASS e del Garante per la protezione dei dati personali nei rispettivi ambiti.