AI Act: obblighi responsabilità e governance

L’intelligenza artificiale rappresenta oggi uno dei principali fattori di trasformazione dei modelli economici, organizzativi e decisionali delle imprese digitali. Non si tratta soltanto di una tecnologia emergente, ma di una infrastruttura cognitiva che interviene nei processi produttivi, nelle attività di analisi dei dati, nella gestione dei servizi digitali e nelle decisioni automatizzate che incidono direttamente su persone, mercati e diritti fondamentali.

È in questo contesto che l’Unione europea ha adottato il Regolamento (UE) 2024/1689, noto come AI Act, primo quadro normativo organico al mondo dedicato alla regolazione dei sistemi di intelligenza artificiale. L’intervento normativo si colloca all’interno della strategia europea per la sovranità digitale e per la creazione di un ecosistema tecnologico affidabile, sicuro e conforme ai valori fondamentali dell’ordinamento europeo.

La ratio dell’intervento emerge chiaramente dalle disposizioni iniziali del regolamento, che individuano come obiettivo principale quello di garantire che i sistemi di intelligenza artificiale immessi sul mercato o utilizzati nell’Unione europea siano sicuri, rispettino i diritti fondamentali e promuovano l’innovazione tecnologica.

L’AI Act non si limita a introdurre obblighi tecnici o standard di sicurezza. Il regolamento istituisce una struttura di governance normativa dell’intelligenza artificiale, basata su un approccio graduato fondato sul livello di rischio associato ai sistemi di IA.

Parallelamente, il legislatore italiano ha adottato una legge nazionale recante “Disposizioni e deleghe al Governo in materia di intelligenza artificiale”, approvata dal Senato il 17 settembre 2025. Tale legge stabilisce i principi generali di sviluppo, utilizzo e supervisione dell’IA nel contesto nazionale, chiarendo espressamente che le sue disposizioni devono essere interpretate e applicate in conformità al regolamento europeo.

La normativa italiana non crea un sistema autonomo rispetto al quadro europeo, ma si inserisce in una funzione di integrazione istituzionale e organizzativa, volta a definire autorità competenti, ambiti settoriali di applicazione e strumenti di coordinamento amministrativo.

La portata innovativa di questo assetto normativo non riguarda soltanto la tecnologia. Essa ridefinisce il modo in cui le imprese devono progettare, implementare e governare l’utilizzo dell’intelligenza artificiale nei propri modelli di business.

AI Act e legge italiana: l’architettura normativa dell’intelligenza artificiale

Il regolamento (UE) 2024/1689 è un atto normativo direttamente applicabile negli Stati membri, ai sensi dell’articolo 288 del Trattato sul funzionamento dell’Unione europea. Ciò significa che le disposizioni dell’AI Act producono effetti giuridici immediati negli ordinamenti nazionali senza necessità di recepimento.

La disciplina europea stabilisce un quadro uniforme di regole relative:

• all’immissione sul mercato dei sistemi di intelligenza artificiale;
• alla loro messa in servizio;
• al loro utilizzo nel territorio dell’Unione.

L’ambito territoriale della normativa non si limita alle imprese stabilite nell’Unione europea. Il regolamento si applica anche ai soggetti stabiliti in paesi terzi quando i sistemi di IA producono effetti nel territorio dell’Unione o incidono su persone fisiche situate nell’UE.

La legge italiana approvata nel 2025 interviene in questo contesto con una funzione di coordinamento sistemico, chiarendo che le proprie disposizioni devono essere interpretate alla luce del regolamento europeo e non possono introdurre obblighi ulteriori rispetto a quelli già previsti dal quadro normativo dell’Unione. Legge Italiana IA

Un elemento centrale di questo coordinamento riguarda la designazione delle autorità nazionali competenti. La normativa italiana individua:

• l’Agenzia per l’Italia Digitale (AgID) come autorità responsabile della promozione dell’innovazione e della notifica degli organismi di valutazione della conformità;
• l’Agenzia per la Cybersicurezza Nazionale (ACN) come autorità di vigilanza del mercato e soggetto responsabile delle attività ispettive e sanzionatorie relative ai sistemi di IA. Legge Italiana IA

Accanto a queste autorità si inseriscono ulteriori organismi di vigilanza, tra cui la Banca d’Italia, la CONSOB e l’IVASS per i settori finanziari, nonché il Garante per la protezione dei dati personali per i profili relativi al trattamento dei dati.

Il sistema normativo risultante non è quindi monolitico ma multilivello, con un intreccio di competenze europee e nazionali.

Ambito di applicazione dell’AI Act: quali sistemi e soggetti sono coinvolti

Ambito oggettivo dell’AI Act: quali tecnologie di intelligenza artificiale sono disciplinate

La determinazione dell’ambito oggettivo della disciplina rappresenta uno dei passaggi interpretativi più rilevanti per comprendere la portata applicativa del Regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio del 13 giugno 2024, comunemente noto come AI Act.

Il legislatore europeo ha adottato una definizione ampia e tecnologicamente neutra di sistema di intelligenza artificiale, con l’obiettivo di evitare che la disciplina possa essere elusa attraverso evoluzioni tecnologiche o nuove architetture computazionali.

La definizione fondamentale è contenuta nell’articolo 3, punto 1, del Regolamento (UE) 2024/1689, che stabilisce:

“Per ‘sistema di intelligenza artificiale’ si intende un sistema basato su macchine progettato per operare con diversi livelli di autonomia e che può mostrare adattività dopo la distribuzione e che, per obiettivi espliciti o impliciti, deduce dagli input ricevuti come generare output quali previsioni, contenuti, raccomandazioni o decisioni che possono influenzare ambienti fisici o virtuali.”

Questa disposizione racchiude alcuni elementi strutturali che consentono di individuare con precisione i sistemi che rientrano nell’ambito della disciplina.

In primo luogo, la norma richiede che il sistema sia basato su macchine e progettato per operare con diversi livelli di autonomia. Ciò significa che il sistema deve essere in grado di elaborare dati e produrre risultati senza che ogni singola operazione sia determinata direttamente da un intervento umano.

In secondo luogo, il legislatore introduce il concetto di capacità inferenziale, ossia la capacità del sistema di dedurre risultati a partire dagli input ricevuti.

Infine, la definizione evidenzia che tali sistemi producono output che incidono su ambienti fisici o virtuali, come:

• previsioni,
• contenuti generati automaticamente,
• raccomandazioni,
• decisioni automatizzate.

L’ampiezza di questa definizione consente di includere all’interno dell’ambito applicativo del regolamento un’ampia varietà di tecnologie, tra cui:

• sistemi di machine learning,
• modelli di deep learning,
• sistemi di raccomandazione,
• sistemi di classificazione automatica,
• sistemi di intelligenza artificiale generativa.

La normativa europea non disciplina esclusivamente i sistemi di IA in quanto prodotti finali, ma prende in considerazione anche i modelli di intelligenza artificiale per finalità generali, cioè modelli progettati per essere integrati in numerose applicazioni diverse.

La legge italiana recante “Disposizioni e deleghe al Governo in materia di intelligenza artificiale”, approvata dal Senato della Repubblica il 17 settembre 2025, recepisce esplicitamente questa impostazione.

L’articolo 2, comma 1, lettera a), della legge italiana sull’intelligenza artificiale stabilisce infatti:

“Ai fini della presente legge, si intendono per: a) sistema di intelligenza artificiale: il sistema definito dall’articolo 3, punto 1), del regolamento (UE) 2024/1689.”

La norma non introduce una definizione autonoma ma rinvia espressamente alla definizione contenuta nel regolamento europeo, confermando la volontà del legislatore nazionale di mantenere un quadro interpretativo uniforme.

La stessa legge italiana chiarisce inoltre il significato della nozione di modelli di intelligenza artificiale.

L’articolo 2, comma 1, lettera c), della legge italiana sull’intelligenza artificiale del 2025 stabilisce:

“Ai fini della presente legge, si intendono per: c) modelli di intelligenza artificiale: i modelli definiti dall’articolo 3, punto 63), del regolamento (UE) 2024/1689.”

Il riferimento ai modelli di IA è particolarmente rilevante perché la normativa europea ha introdotto una disciplina specifica per i modelli di intelligenza artificiale per finalità generali, ossia modelli progettati per essere utilizzati in una pluralità di contesti applicativi.

In questo modo il regolamento estende il proprio ambito di applicazione non solo ai sistemi implementati in specifici servizi o prodotti, ma anche alle infrastrutture tecnologiche di base su cui tali sistemi vengono costruiti.

Esclusioni e limiti applicativi

La normativa non si applica indiscriminatamente a qualsiasi utilizzo dell’intelligenza artificiale.

La legge italiana prevede alcune esclusioni espresse dall’ambito applicativo della disciplina, soprattutto con riferimento ad attività sensibili per la sicurezza nazionale.

L’articolo 6 della legge italiana sull’intelligenza artificiale del 2025 stabilisce infatti che:

“Le attività svolte per scopi di sicurezza nazionale […] quelle di cybersicurezza […] nonché quelle svolte per scopi di difesa nazionale […] sono escluse dall’ambito applicativo della presente legge.”

La stessa disposizione precisa tuttavia che tali attività devono comunque essere esercitate nel rispetto dei diritti fondamentali e delle libertà costituzionali, evitando che l’esclusione dal perimetro normativo possa tradursi in una deregolamentazione totale.

Ambito soggettivo dell’AI Act: provider, utilizzatori e operatori coinvolti

Accanto alla definizione delle tecnologie disciplinate, il regolamento individua i soggetti destinatari degli obblighi giuridici previsti dalla normativa.

Il modello normativo adottato dall’AI Act è basato su una logica di responsabilità distribuita lungo tutta la filiera tecnologica dell’intelligenza artificiale.

Tra i principali operatori individuati dal regolamento rientrano:

Provider

Il provider è il soggetto che sviluppa un sistema di intelligenza artificiale o che lo immette sul mercato europeo.

La sua responsabilità riguarda l’intero processo di progettazione e sviluppo del sistema, comprese:

• la scelta dei dati di addestramento,
• la progettazione dell’architettura algoritmica,
• la verifica dei requisiti di sicurezza e conformità.

Deployers (utilizzatori)

Il deployer è il soggetto che utilizza il sistema di intelligenza artificiale nel contesto della propria attività economica o istituzionale.

Si tratta della categoria che riguarda direttamente:

• imprese digitali,
• startup tecnologiche,
• pubbliche amministrazioni,
• operatori economici che integrano sistemi di IA nei propri servizi.

Importatori e distributori

Il regolamento disciplina anche i soggetti che introducono nel mercato europeo sistemi sviluppati da operatori stabiliti in paesi terzi.

Questi operatori devono verificare che i sistemi rispettino i requisiti previsti dalla normativa europea prima della loro immissione nel mercato.

Principi generali applicabili allo sviluppo e all’utilizzo dell’IA

Il legislatore italiano ha introdotto una serie di principi generali che devono orientare lo sviluppo e l’utilizzo dei sistemi di intelligenza artificiale.

L’articolo 3 della legge italiana sull’intelligenza artificiale del 2025 stabilisce che:

“La ricerca, la sperimentazione, lo sviluppo, l’adozione, l’applicazione e l’utilizzo di sistemi e di modelli di intelligenza artificiale […] avvengono nel rispetto dei diritti fondamentali e delle libertà previste dalla Costituzione, del diritto dell’Unione europea e dei princìpi di trasparenza, proporzionalità, sicurezza, protezione dei dati personali, riservatezza, accuratezza, non discriminazione e sostenibilità.”

La norma prosegue affermando che i sistemi di IA devono essere sviluppati nel rispetto di ulteriori principi fondamentali, tra cui:

• sorveglianza umana,
• spiegabilità delle decisioni automatizzate,
• prevenzione del danno,
• sicurezza lungo l’intero ciclo di vita del sistema.

Questi principi non hanno una funzione meramente programmatica ma costituiscono criteri interpretativi vincolanti che guidano l’applicazione dell’intero quadro normativo.

Sintesi dell’ambito di applicazione dell’AI Act

L’analisi dell’ambito di applicazione della disciplina consente di cogliere la portata sistemica del nuovo quadro regolatorio europeo sull’intelligenza artificiale.

Il Regolamento (UE) 2024/1689 adotta una definizione ampia e funzionale di sistema di intelligenza artificiale, capace di includere una vasta gamma di tecnologie e applicazioni. La legge italiana del 2025 recepisce tale impostazione rinviando direttamente alle definizioni contenute nel regolamento europeo e rafforzando così l’unità interpretativa del sistema normativo.

L’ambito applicativo della disciplina non riguarda esclusivamente i soggetti che sviluppano sistemi di IA, ma coinvolge l’intera filiera tecnologica, includendo fornitori, utilizzatori, importatori e operatori che integrano tali sistemi nei propri servizi.

La combinazione tra definizioni ampie, responsabilità distribuite e principi generali di sviluppo responsabile evidenzia come la regolazione dell’intelligenza artificiale non sia concepita come una disciplina settoriale, ma come una cornice normativa destinata a governare l’intero ecosistema tecnologico dell’innovazione digitale.

Gli obblighi previsti dall’AI Act per imprese e utilizzatori di sistemi di IA

Il Regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio del 13 giugno 2024, noto come AI Act, introduce un sistema articolato di obblighi giuridici destinati agli operatori coinvolti nello sviluppo, nella commercializzazione e nell’utilizzo dei sistemi di intelligenza artificiale.

La struttura della disciplina non è uniforme per tutti i sistemi di IA. Il legislatore europeo ha adottato un modello normativo basato sul principio del rischio, secondo cui gli obblighi applicabili variano in funzione della potenziale incidenza dei sistemi di intelligenza artificiale sui diritti fondamentali, sulla sicurezza delle persone e sul funzionamento dei mercati.

Tuttavia, all’interno di questa architettura normativa è possibile individuare alcune categorie strutturali di obblighi, che incidono sull’organizzazione interna delle imprese, sui processi di sviluppo tecnologico e sulla documentazione dei sistemi di IA.

Obblighi organizzativi dell’AI Act: sistema di gestione del rischio

Una delle componenti centrali della disciplina introdotta dall’AI Act riguarda l’adozione di strutture organizzative idonee a garantire la gestione dei rischi derivanti dall’utilizzo dell’intelligenza artificiale.

Il riferimento normativo principale è rappresentato dall’articolo 9 del Regolamento (UE) 2024/1689, rubricato “Sistema di gestione del rischio”.

L’articolo 9, paragrafo 1, stabilisce che:

“I fornitori di sistemi di IA ad alto rischio istituiscono, attuano, documentano e mantengono un sistema di gestione del rischio.”

La disposizione prosegue chiarendo che tale sistema deve essere concepito come un processo continuo e dinamico, destinato a operare per l’intero ciclo di vita del sistema di intelligenza artificiale.

Il legislatore europeo precisa infatti che:

“Il sistema di gestione del rischio è un processo iterativo continuo che si svolge durante l’intero ciclo di vita del sistema di IA ad alto rischio e richiede un aggiornamento sistematico e regolare.”

Dal punto di vista giuridico-organizzativo, questa disposizione impone agli operatori economici di adottare procedure interne strutturate per:

• identificare i rischi associati ai sistemi di IA;
• analizzarne la probabilità e la gravità;
• implementare misure di mitigazione adeguate;
• monitorare costantemente il funzionamento dei sistemi.

La gestione del rischio non è quindi limitata alla fase di sviluppo del software, ma deve essere integrata nei modelli organizzativi e nei sistemi di governance delle imprese.

Obblighi di trasparenza e informazione previsti dall’AI Act

Un secondo pilastro della disciplina riguarda gli obblighi di trasparenza nei confronti degli utenti e delle persone interessate dall’utilizzo dei sistemi di intelligenza artificiale.

Tali obblighi sono disciplinati dall’articolo 13 del Regolamento (UE) 2024/1689, rubricato “Trasparenza e fornitura di informazioni agli utilizzatori”.

L’articolo 13, paragrafo 1, dispone che:

“I sistemi di IA ad alto rischio sono progettati e sviluppati in modo da garantire che il loro funzionamento sia sufficientemente trasparente da consentire agli utilizzatori di interpretare l’output del sistema e utilizzarlo in modo appropriato.”

Questa disposizione introduce un principio fondamentale della regolazione europea dell’intelligenza artificiale: la spiegabilità dei sistemi automatizzati.

Il legislatore non si limita a richiedere che i sistemi funzionino correttamente dal punto di vista tecnico, ma pretende che il loro funzionamento sia comprensibile per i soggetti che li utilizzano.

L’articolo 13 prevede inoltre che il sistema debba essere accompagnato da istruzioni d’uso adeguate, che consentano agli utilizzatori di comprendere:

• le finalità del sistema,
• le modalità di utilizzo,
• i limiti operativi,
• i rischi associati.

Questo obbligo assume una rilevanza particolare nelle organizzazioni che utilizzano sistemi di IA nei processi decisionali o nei servizi digitali rivolti al pubblico.

Documentazione tecnica e obblighi documentali nell’AI Act

Un ulteriore elemento strutturale della disciplina riguarda la predisposizione della documentazione tecnica relativa ai sistemi di intelligenza artificiale.

Il riferimento normativo principale è l’articolo 11 del Regolamento (UE) 2024/1689, rubricato “Documentazione tecnica”.

L’articolo 11 stabilisce che:

“La documentazione tecnica di un sistema di IA ad alto rischio è redatta prima che tale sistema sia immesso sul mercato o messo in servizio ed è mantenuta aggiornata.”

La documentazione tecnica ha la funzione di dimostrare la conformità del sistema ai requisiti previsti dal regolamento.

Essa deve includere informazioni dettagliate relative a:

• architettura del sistema,
• metodologie di addestramento,
• dati utilizzati,
• procedure di validazione e test,
• misure di gestione del rischio.

Dal punto di vista giuridico, questa documentazione assume una funzione probatoria essenziale.

In caso di verifiche da parte delle autorità di vigilanza o di contenzioso, la documentazione rappresenta infatti lo strumento principale attraverso cui dimostrare la conformità del sistema alle disposizioni del regolamento.

Requisiti tecnici e procedurali dei sistemi di IA secondo l’AI Act

L’AI Act introduce inoltre una serie di requisiti tecnici specifici, destinati a garantire l’affidabilità e la sicurezza dei sistemi di intelligenza artificiale.

Uno dei riferimenti normativi principali è rappresentato dall’articolo 10 del Regolamento (UE) 2024/1689, rubricato “Dati e governance dei dati” stabilisce che:

“I sistemi di IA ad alto rischio che utilizzano tecniche di apprendimento automatico sono sviluppati sulla base di set di dati di addestramento, di validazione e di prova che soddisfano criteri di qualità adeguati.”

Il legislatore europeo individua quindi un requisito fondamentale: la qualità dei dati utilizzati per l’addestramento dei sistemi di IA.

La norma chiarisce inoltre che i dataset devono essere progettati in modo da:

• ridurre il rischio di bias,
• evitare risultati discriminatori,
• garantire rappresentatività statistica.

Questa disposizione introduce un collegamento diretto tra qualità dei dati e tutela dei diritti fondamentali, evidenziando come la regolazione dell’intelligenza artificiale non possa essere separata dalla governance dei dati.

Cooperazione con le autorità di vigilanza nell’AI Act

L’AI Act prevede anche obblighi di cooperazione tra operatori economici e autorità di vigilanza.

In questo contesto assume particolare rilievo il sistema di vigilanza nazionale previsto dalla normativa italiana.

La legge italiana sull’intelligenza artificiale approvata il 17 settembre 2025 individua le autorità nazionali competenti per l’applicazione della normativa europea.

L’articolo 20 della legge italiana sull’intelligenza artificiale del 2025 stabilisce infatti che:

“Al fine di garantire l’applicazione e l’attuazione della normativa nazionale e dell’Unione europea in materia di intelligenza artificiale, l’Agenzia per l’Italia digitale (AgID) e l’Agenzia per la cybersicurezza nazionale (ACN) sono designate quali Autorità nazionali per l’intelligenza artificiale.”

La stessa disposizione attribuisce all’ACN funzioni di vigilanza, inclusi poteri ispettivi e sanzionatori.

Ciò implica che gli operatori economici devono essere in grado di:

• fornire alle autorità la documentazione richiesta;
• consentire verifiche tecniche sui sistemi di IA;
• collaborare nei procedimenti di vigilanza.

Sintesi degli obblighi previsti dall’AI Act

L’analisi della struttura degli obblighi previsti dall’AI Act evidenzia come la regolazione dell’intelligenza artificiale non si limiti a introdurre prescrizioni tecniche isolate, ma costruisca un sistema normativo articolato che incide direttamente sull’organizzazione delle imprese e sui processi di sviluppo tecnologico.

Il Regolamento (UE) 2024/1689 prevede infatti obblighi organizzativi, informativi, documentali e tecnici destinati a garantire che i sistemi di intelligenza artificiale siano progettati e utilizzati in modo sicuro, trasparente e conforme ai diritti fondamentali.

A questi obblighi si affianca un sistema di vigilanza articolato, rafforzato nel contesto italiano dalla designazione di specifiche autorità nazionali competenti.

Nel loro insieme, queste disposizioni delineano un modello regolatorio in cui l’intelligenza artificiale non è più considerata esclusivamente una tecnologia innovativa, ma un’infrastruttura digitale soggetta a precise regole di governance giuridica e organizzativa.

Regime di Responsabilità e Sistema Sanzionatorio previsto dall’AI Act

Il Regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio del 13 giugno 2024, noto come AI Act, introduce un sistema di responsabilità e di sanzioni amministrative volto a garantire l’effettività delle disposizioni normative relative allo sviluppo, alla commercializzazione e all’utilizzo dei sistemi di intelligenza artificiale.

Il legislatore europeo ha costruito un modello sanzionatorio ispirato a quello già adottato nel Regolamento (UE) 2016/679 (GDPR), caratterizzato da:

• sanzioni amministrative pecuniarie di importo elevato;
• criteri di proporzionalità legati alla gravità della violazione;
• responsabilità distribuite tra i diversi operatori della filiera tecnologica.

Il sistema di responsabilità previsto dall’AI Act non riguarda esclusivamente la violazione formale di specifici obblighi normativi, ma si estende alla mancata adozione di misure organizzative e tecniche necessarie a garantire la sicurezza e l’affidabilità dei sistemi di intelligenza artificiale.

Pratiche di intelligenza artificiale vietate dall’AI Act

Il livello più elevato del sistema sanzionatorio riguarda le violazioni relative alle pratiche di intelligenza artificiale vietate.

Il riferimento normativo è l’articolo 99 del Regolamento (UE) 2024/1689, che disciplina il regime delle sanzioni amministrative.

L’articolo 99, paragrafo 3, del Regolamento (UE) 2024/1689 stabilisce che:

“Le violazioni delle disposizioni relative alle pratiche di intelligenza artificiale vietate […] sono soggette a sanzioni amministrative pecuniarie fino a 35 000 000 EUR o, se il trasgressore è un’impresa, fino al 7 % del fatturato annuo mondiale totale dell’esercizio finanziario precedente, se superiore.”

Questa disposizione evidenzia la particolare gravità attribuita dal legislatore europeo alle pratiche di IA considerate incompatibili con i diritti fondamentali.

Tra queste rientrano, ad esempio:

• sistemi di manipolazione comportamentale subliminale;
• sistemi di sfruttamento di vulnerabilità di specifiche categorie di persone;
• sistemi di valutazione sociale generalizzata da parte delle autorità pubbliche.

Il regime sanzionatorio riflette quindi l’esigenza di prevenire l’utilizzo di tecnologie di intelligenza artificiale che possano compromettere la dignità, la libertà o l’uguaglianza delle persone.

Obblighi e responsabilità per i sistemi di IA ad alto rischio

Un secondo livello di responsabilità riguarda la violazione degli obblighi previsti per i sistemi di intelligenza artificiale classificati come “ad alto rischio”.

Anche in questo caso il riferimento normativo è l’articolo 99 del Regolamento (UE) 2024/1689.

L’articolo 99, paragrafo 4, del regolamento stabilisce che:

“La violazione degli obblighi previsti dal presente regolamento relativi ai sistemi di IA ad alto rischio […] è soggetta a sanzioni amministrative pecuniarie fino a 15 000 000 EUR o, se il trasgressore è un’impresa, fino al 3 % del fatturato annuo mondiale totale dell’esercizio finanziario precedente, se superiore.”

Le violazioni che rientrano in questa categoria possono riguardare, ad esempio:

• la mancata implementazione di un sistema di gestione del rischio;
• l’assenza di adeguata documentazione tecnica;
• l’utilizzo di dataset non conformi ai requisiti normativi;
• l’assenza di supervisione umana nei sistemi automatizzati.

Il legislatore europeo ha quindi previsto un regime sanzionatorio differenziato che tiene conto della gravità della violazione e dell’impatto potenziale sui diritti fondamentali delle persone.

Violazioni degli obblighi di trasparenza e delle informazioni fornite alle autorità

Un ulteriore livello del sistema sanzionatorio riguarda la violazione degli obblighi informativi e delle disposizioni relative alla cooperazione con le autorità di vigilanza.

L’articolo 99, paragrafo 5, del Regolamento (UE) 2024/1689 dispone che:

“La fornitura di informazioni inesatte, incomplete o fuorvianti agli organismi notificati o alle autorità nazionali competenti […] è soggetta a sanzioni amministrative pecuniarie fino a 7 500 000 EUR o, se il trasgressore è un’impresa, fino all’1 % del fatturato annuo mondiale totale dell’esercizio finanziario precedente, se superiore.”

Questa disposizione evidenzia l’importanza attribuita dal legislatore europeo alla trasparenza nei rapporti tra operatori economici e autorità di vigilanza.

La normativa presuppone infatti che il sistema di supervisione dei sistemi di intelligenza artificiale possa funzionare efficacemente solo se le autorità sono poste nella condizione di accedere a informazioni complete e accurate.

Autorità competenti e poteri di vigilanza nel contesto italiano

Il sistema di responsabilità previsto dall’AI Act si articola attraverso un modello di vigilanza che coinvolge autorità nazionali designate dagli Stati membri.

Nel contesto italiano, la disciplina è integrata dalla legge recante “Disposizioni e deleghe al Governo in materia di intelligenza artificiale”, approvata dal Senato della Repubblica il 17 settembre 2025.

L’articolo 20 della legge italiana sull’intelligenza artificiale del 2025 stabilisce che:

“Al fine di garantire l’applicazione e l’attuazione della normativa nazionale e dell’Unione europea in materia di intelligenza artificiale, l’Agenzia per l’Italia digitale (AgID) e l’Agenzia per la cybersicurezza nazionale (ACN) sono designate quali Autorità nazionali per l’intelligenza artificiale.”

La stessa disposizione attribuisce all’Agenzia per la cybersicurezza nazionale (ACN) specifiche funzioni di vigilanza.

La norma precisa infatti che:

“L’ACN […] è responsabile per la vigilanza, ivi incluse le attività ispettive e sanzionatorie, dei sistemi di intelligenza artificiale.”

Queste autorità hanno il compito di:

• monitorare il rispetto della normativa;
• effettuare attività ispettive;
• applicare le sanzioni previste dal regolamento europeo.

Il sistema di vigilanza si colloca quindi all’interno di un modello multilivello, in cui le autorità nazionali operano in coordinamento con le istituzioni europee.

Sintesi del regime di responsabilità e delle sanzioni dell’AI Act

Il regime di responsabilità previsto dal Regolamento (UE) 2024/1689 (AI Act) rappresenta uno degli strumenti principali attraverso cui il legislatore europeo intende garantire l’effettività della disciplina sull’intelligenza artificiale.

Il sistema sanzionatorio si articola su più livelli, distinguendo tra violazioni particolarmente gravi — come l’utilizzo di pratiche di IA vietate — e violazioni relative agli obblighi organizzativi, tecnici e informativi previsti per i sistemi di IA ad alto rischio.

Le sanzioni amministrative possono raggiungere importi estremamente elevati, analoghi a quelli previsti dalla normativa europea sulla protezione dei dati personali.

Nel contesto italiano, il sistema di vigilanza è ulteriormente rafforzato dalla designazione di specifiche autorità nazionali competenti, tra cui l’Agenzia per l’Italia digitale e l’Agenzia per la cybersicurezza nazionale.

Nel loro insieme, queste disposizioni evidenziano come la regolazione dell’intelligenza artificiale non si limiti a definire principi generali di utilizzo responsabile delle tecnologie digitali, ma introduca un apparato di responsabilità giuridica strutturato e potenzialmente incisivo sul piano economico e organizzativo.

AI Act e coordinamento con le altre normative digitali

Il Regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio del 13 giugno 2024 (AI Act) non costituisce una disciplina isolata, ma si inserisce all’interno di un sistema normativo europeo già caratterizzato da numerosi strumenti di regolazione dell’economia digitale.

L’intelligenza artificiale rappresenta infatti una tecnologia trasversale, destinata a incidere su molteplici ambiti regolatori, tra cui:

• la protezione dei dati personali;
• la cybersicurezza;
• la regolazione dei servizi digitali;
• la disciplina della concorrenza e dei mercati digitali;
• la responsabilità civile per danni causati da sistemi automatizzati.

Il legislatore europeo ha pertanto previsto numerosi meccanismi di coordinamento tra l’AI Act e le normative già vigenti, al fine di evitare sovrapposizioni normative e garantire la coerenza dell’intero sistema regolatorio.

Coordinamento tra AI Act e normativa sulla protezione dei dati personali (GDP

Uno dei principali ambiti di interazione riguarda la disciplina europea sulla protezione dei dati personali, contenuta nel Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, noto come General Data Protection Regulation (GDPR).

L’utilizzo di sistemi di intelligenza artificiale comporta infatti frequentemente il trattamento di dati personali, soprattutto quando tali sistemi sono utilizzati per:

• analisi comportamentali;
• profilazione degli utenti;
• sistemi di raccomandazione;
• decisioni automatizzate.

In questo contesto assume particolare rilevanza l’articolo 22 del Regolamento (UE) 2016/679, rubricato “Processo decisionale automatizzato relativo alle persone fisiche, compresa la profilazione”.

L’articolo 22, paragrafo 1, del Regolamento (UE) 2016/679 stabilisce che:

“L’interessato ha il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici che lo riguardano o che incida in modo analogo significativamente sulla sua persona.”

Questa disposizione introduce un principio fondamentale nella regolazione delle tecnologie automatizzate: la necessità di garantire che le decisioni che incidono significativamente sulle persone non siano affidate esclusivamente a processi automatizzati.

Il coordinamento tra AI Act e GDPR emerge anche nella normativa italiana sull’intelligenza artificiale.

L’articolo 4 della legge italiana recante “Disposizioni e deleghe al Governo in materia di intelligenza artificiale”, approvata dal Senato il 17 settembre 2025, stabilisce infatti che:

“L’utilizzo di sistemi di intelligenza artificiale garantisce il trattamento lecito, corretto e trasparente dei dati personali e la compatibilità con le finalità per le quali sono stati raccolti, in conformità al diritto dell’Unione europea in materia di dati personali e di tutela della riservatezza.”

La disposizione ribadisce quindi che l’utilizzo dell’intelligenza artificiale deve sempre avvenire nel rispetto dei principi fondamentali della protezione dei dati personali.

AI Act e coordinamento con la normativa sulla cybersicurezza

Un ulteriore ambito di coordinamento riguarda la disciplina europea e nazionale in materia di cybersicurezza.

I sistemi di intelligenza artificiale rappresentano infatti infrastrutture tecnologiche complesse, spesso integrate in sistemi informatici critici o in servizi digitali di ampia diffusione.

La legge italiana sull’intelligenza artificiale evidenzia esplicitamente la centralità della sicurezza informatica.

L’articolo 3, comma 6, della legge italiana sull’intelligenza artificiale del 2025 stabilisce che:

“Deve essere assicurata, quale precondizione essenziale, la cybersicurezza lungo tutto il ciclo di vita dei sistemi e dei modelli di intelligenza artificiale per finalità generali […] anche al fine di assicurarne la resilienza contro tentativi di alterarne l’utilizzo, il comportamento previsto, le prestazioni o le impostazioni di sicurezza.”

La norma chiarisce che la cybersicurezza non rappresenta un requisito meramente tecnico, ma una condizione giuridica necessaria per garantire la conformità dei sistemi di IA alla normativa vigente.

AI Act e disciplina dei servizi digitali

Un ulteriore livello di coordinamento riguarda la regolazione dei servizi digitali.

Molte piattaforme online utilizzano sistemi di intelligenza artificiale per:

• moderazione dei contenuti;
• raccomandazione algoritmica;
• gestione della pubblicità online.

In tali contesti l’AI Act interagisce con la disciplina introdotta dal Regolamento (UE) 2022/2065 del Parlamento europeo e del Consiglio del 19 ottobre 2022, noto come Digital Services Act (DSA).

Il Digital Services Act stabilisce obblighi specifici per le piattaforme online, in particolare con riferimento alla trasparenza degli algoritmi utilizzati per la raccomandazione dei contenuti.

L’articolo 27, paragrafo 1, del Regolamento (UE) 2022/2065 stabilisce che:

“I fornitori di piattaforme online che utilizzano sistemi di raccomandazione indicano nei loro termini e condizioni i principali parametri utilizzati nei loro sistemi di raccomandazione.”

Questa disposizione evidenzia l’importanza della trasparenza algoritmica nei servizi digitali.

Nel contesto dell’AI Act, tale principio assume una portata più ampia, poiché riguarda non soltanto le piattaforme digitali ma l’intero ecosistema dei sistemi di intelligenza artificiale.

Coordinamento tra AI Act e autorità nazionali di vigilanza

Il coordinamento tra diverse discipline normative implica anche la cooperazione tra le autorità competenti nei vari settori regolatori.

La legge italiana sull’intelligenza artificiale individua specificamente le autorità nazionali responsabili dell’applicazione della normativa europea.

L’articolo 20 della legge italiana sull’intelligenza artificiale del 2025 stabilisce infatti che:

“Al fine di garantire l’applicazione e l’attuazione della normativa nazionale e dell’Unione europea in materia di intelligenza artificiale, l’Agenzia per l’Italia digitale (AgID) e l’Agenzia per la cybersicurezza nazionale (ACN) sono designate quali Autorità nazionali per l’intelligenza artificiale.”

La stessa disposizione precisa che restano ferme le competenze di altre autorità indipendenti, tra cui il Garante per la protezione dei dati personali.

Questa struttura istituzionale riflette la natura multidisciplinare della regolazione dell’intelligenza artificiale.

Sintesi del coordinamento tra AI Act e altre normative digitali

L’analisi dei profili di coordinamento normativo evidenzia come la disciplina dell’intelligenza artificiale non possa essere interpretata in modo isolato rispetto alle altre normative che regolano l’economia digitale.

Il Regolamento (UE) 2024/1689 (AI Act) si inserisce infatti in un sistema regolatorio complesso, caratterizzato dall’interazione con normative già esistenti, tra cui il Regolamento (UE) 2016/679 (GDPR) in materia di protezione dei dati personali e il Regolamento (UE) 2022/2065 (Digital Services Act) relativo alla regolazione dei servizi digitali.

A livello nazionale, la legge italiana sull’intelligenza artificiale rafforza questo sistema di coordinamento, individuando specifiche autorità di vigilanza e ribadendo l’obbligo di garantire il rispetto dei principi fondamentali dell’ordinamento europeo.

Nel loro complesso, queste disposizioni evidenziano come la regolazione dell’intelligenza artificiale rappresenti un ambito normativo intrinsecamente interdisciplinare, nel quale l’applicazione delle norme richiede un costante coordinamento tra diverse discipline giuridiche.

Impatto organizzativo dell’AI Act per imprese e startup

L’entrata in vigore del Regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio del 13 giugno 2024 (AI Act) non introduce soltanto un insieme di obblighi tecnici relativi allo sviluppo dei sistemi di intelligenza artificiale, ma determina conseguenze rilevanti sul piano organizzativo, contrattuale e procedurale per le imprese che sviluppano o utilizzano tali tecnologie.

Il legislatore europeo ha infatti costruito una disciplina che presuppone l’adozione di modelli organizzativi strutturati, in grado di garantire il controllo dei rischi associati all’utilizzo dell’intelligenza artificiale lungo l’intero ciclo di vita dei sistemi.

Questo approccio emerge chiaramente da alcune disposizioni fondamentali del regolamento.

Impatto dell’AI Act sui modelli organizzativi delle imprese

Uno dei pilastri della disciplina europea è rappresentato dall’obbligo di implementare sistemi strutturati di gestione del rischio.

Il riferimento normativo principale è rappresentato dall’articolo 9 del Regolamento (UE) 2024/1689, rubricato “Sistema di gestione del rischio”.

L’articolo 9, paragrafo 1, del Regolamento (UE) 2024/1689 stabilisce che:

“I fornitori di sistemi di IA ad alto rischio istituiscono, attuano, documentano e mantengono un sistema di gestione del rischio.”

La disposizione prosegue precisando che tale sistema deve operare per l’intero ciclo di vita del sistema di intelligenza artificiale.

L’articolo 9, paragrafo 2, del regolamento dispone infatti che:

“Il sistema di gestione del rischio è un processo iterativo continuo che si svolge durante l’intero ciclo di vita del sistema di IA ad alto rischio e richiede un aggiornamento sistematico e regolare.”

Queste disposizioni evidenziano come la normativa europea non si limiti a richiedere verifiche tecniche occasionali, ma imponga l’adozione di procedure organizzative permanenti.

Dal punto di vista pratico, ciò implica la necessità di introdurre all’interno delle imprese:

• procedure interne di identificazione dei rischi;
• meccanismi di controllo e monitoraggio dei sistemi di IA;
• processi di aggiornamento continuo delle misure di mitigazione del rischio.

La gestione dei rischi derivanti dall’intelligenza artificiale diventa quindi una componente strutturale della governance aziendale.

Impatto dell’AI Act sulla contrattualistica e sui rapporti con i fornitori tecnologici

L’introduzione dell’AI Act comporta conseguenze significative anche nella disciplina dei rapporti contrattuali tra imprese che sviluppano o utilizzano sistemi di intelligenza artificiale.

Uno degli elementi più rilevanti riguarda l’obbligo di predisporre una documentazione tecnica completa dei sistemi di IA, che consenta alle autorità di vigilanza di verificare la conformità del sistema ai requisiti normativi.

Il riferimento normativo è rappresentato dall’articolo 11 del Regolamento (UE) 2024/1689, rubricato “Documentazione tecnica”.

L’articolo 11 del Regolamento (UE) 2024/1689 stabilisce che:

“La documentazione tecnica di un sistema di IA ad alto rischio è redatta prima che tale sistema sia immesso sul mercato o messo in servizio ed è mantenuta aggiornata.”

La norma prosegue chiarendo che tale documentazione deve consentire alle autorità competenti di verificare la conformità del sistema ai requisiti del regolamento.

Dal punto di vista organizzativo e contrattuale, questa disposizione comporta la necessità di definire con precisione:

• la ripartizione delle responsabilità tra sviluppatori e utilizzatori;
• gli obblighi di fornitura della documentazione tecnica;
• le modalità di aggiornamento dei sistemi.

Le imprese che integrano sistemi di intelligenza artificiale sviluppati da fornitori esterni devono quindi prevedere nei propri contratti clausole specifiche relative alla conformità normativa dei sistemi.

Impatto dell’AI Act sui processi interni e sulla governance dei dati

Un ulteriore ambito di impatto riguarda i processi interni di sviluppo e gestione dei sistemi di intelligenza artificiale, in particolare con riferimento alla qualità dei dati utilizzati per l’addestramento dei modelli.

Il riferimento normativo principale è rappresentato dall’articolo 10 del Regolamento (UE) 2024/1689, rubricato “Dati e governance dei dati”.

L’articolo 10 del Regolamento (UE) 2024/1689 stabilisce che:

“I sistemi di IA ad alto rischio che utilizzano tecniche di apprendimento automatico sono sviluppati sulla base di set di dati di addestramento, di validazione e di prova che soddisfano criteri di qualità adeguati.”

La disposizione precisa inoltre che i dataset devono essere progettati in modo tale da:

• minimizzare il rischio di errori;
• ridurre il rischio di bias e discriminazioni;
• garantire rappresentatività statistica.

Questa previsione normativa evidenzia il ruolo centrale della governance dei dati nel sistema regolatorio dell’intelligenza artificiale.

La qualità dei dati utilizzati per l’addestramento dei modelli non rappresenta più soltanto un elemento tecnico, ma diventa un fattore determinante ai fini della conformità giuridica dei sistemi di IA.

Necessità di una qualificazione giuridica preliminare dei sistemi di IA

Uno degli aspetti più complessi dell’applicazione dell’AI Act riguarda la qualificazione giuridica preliminare dei sistemi di intelligenza artificiale.

La normativa europea introduce infatti una classificazione dei sistemi di IA basata sul livello di rischio associato al loro utilizzo.

Tra le categorie principali rientrano:

• sistemi di IA vietati;
• sistemi di IA ad alto rischio;
• sistemi soggetti a obblighi di trasparenza;
• sistemi di rischio limitato.

La corretta qualificazione del sistema rappresenta un passaggio essenziale, poiché da essa dipende l’individuazione degli obblighi normativi applicabili.

Una valutazione errata può determinare l’applicazione incompleta delle disposizioni del regolamento e conseguenti responsabilità giuridiche.

Per questo motivo, l’analisi della conformità dei sistemi di IA non può essere affrontata in modo standardizzato o automatizzato, ma richiede una valutazione giuridica specifica per ciascun caso concreto.

Sintesi dell’impatto organizzativo dell’AI Act

L’analisi delle implicazioni organizzative derivanti dall’AI Act evidenzia come la disciplina europea dell’intelligenza artificiale non si limiti a introdurre obblighi tecnici relativi allo sviluppo dei sistemi, ma incida profondamente sull’organizzazione delle imprese e sui processi decisionali interni.

Le disposizioni del Regolamento (UE) 2024/1689 impongono infatti l’adozione di sistemi strutturati di gestione del rischio, la predisposizione di documentazione tecnica dettagliata, l’implementazione di procedure di governance dei dati e la definizione di rapporti contrattuali coerenti con i requisiti normativi.

L’applicazione concreta della disciplina richiede inoltre una qualificazione preliminare dei sistemi di intelligenza artificiale basata sul livello di rischio associato al loro utilizzo.

Nel loro complesso, queste disposizioni delineano un modello regolatorio in cui la gestione dell’intelligenza artificiale diventa parte integrante della struttura organizzativa e della governance giuridica delle imprese che operano nell’economia digitale.

Governance dell’intelligenza artificiale nelle imprese dopo l’AI Act

L’AI Act rappresenta uno dei più ambiziosi tentativi di regolazione delle tecnologie emergenti nella storia del diritto europeo.

Il regolamento non introduce soltanto obblighi tecnici, ma istituisce un sistema normativo di governance dell’intelligenza artificiale, che ridefinisce il rapporto tra innovazione tecnologica, responsabilità giuridica e tutela dei diritti fondamentali.

La normativa europea, integrata dalle disposizioni nazionali di coordinamento, costruisce un ecosistema regolatorio in cui lo sviluppo dell’intelligenza artificiale deve avvenire nel rispetto di principi di sicurezza, trasparenza e responsabilità.

Per le imprese digitali, l’adeguamento a questo quadro normativo non rappresenta un adempimento marginale, ma un processo di trasformazione organizzativa che incide direttamente sui modelli di business, sulle scelte tecnologiche e sulla gestione del rischio.

L’intelligenza artificiale non è più soltanto un’opportunità tecnologica.

È diventata una infrastruttura regolata, la cui gestione richiede competenze giuridiche, tecniche e organizzative integrate.

La tua organizzazione utilizza già intelligenza artificiale?

Molte imprese integrano oggi sistemi di automazione, analisi dati o intelligenza artificiale generativa nei propri processi aziendali senza avere una chiara visione delle implicazioni giuridiche.

Il problema è che AI Act, GDPR e regolazione dei servizi digitali stanno creando un sistema normativo sempre più integrato, nel quale la gestione dei dati, degli algoritmi e dei processi automatizzati diventa un elemento centrale della governance aziendale.

In questo scenario, non è sufficiente adottare strumenti tecnologici avanzati:

è necessario comprendere come vengono utilizzati i dati, quali decisioni automatizzate vengono generate e quali obblighi normativi si applicano al tuo modello di business.

Una valutazione preventiva consente di:

• individuare i sistemi di IA utilizzati nella tua organizzazione;
• verificare la conformità dei trattamenti di dati personali;
• analizzare i rischi giuridici legati all’utilizzo di sistemi automatizzati;
• costruire una governance legale dei dati e delle tecnologie digitali.

Per questo abbiamo sviluppato il servizio COMPLIANCE AI ACT progettato per imprese digitali, startup e professionisti che vogliono comprendere realmente come vengono trattati i dati all’interno della propria organizzazione e quali rischi normativi possono emergere.

Attraverso un audit strutturato è possibile ottenere una mappatura chiara dei trattamenti di dati, delle tecnologie utilizzate e delle eventuali criticità giuridiche, trasformando la compliance in uno strumento di sicurezza operativa e crescita.

Scopri come funziona il servizio:COMPLIANCE AI ACT