Compliance e AI Act
Il quadro normativo europeo sull’intelligenza artificiale si distingue per un impianto costruito su una gradualità applicativa pensata per accompagnare organizzazioni e autorità di vigilanza in una transizione complessa. Il Regolamento (UE) 2024/1689, noto come AI Act, è entrato in vigore il 1° agosto 2024 e prevede un’applicazione scaglionata nel tempo, con scadenze differenziate a seconda della tipologia di obbligo e della categoria di sistema interessata. Nel corso del 2026 questo calendario è stato oggetto di una significativa revisione, che ha ridefinito le priorità di compliance per le organizzazioni chiamate ad adeguarsi al regolamento.
Le prime scadenze e la compliance operativa del 2025
Le prime scadenze del regolamento erano già entrate in applicazione prima del 2026: dal 2 febbraio 2025 sono divenuti efficaci i divieti relativi alle pratiche di intelligenza artificiale considerate a rischio inaccettabile e gli obblighi di alfabetizzazione in materia di AI, sebbene quest’ultimo sia stato riformulato in termini di misure di sostegno anziché di obbligo di risultato, mentre dal 2 agosto 2025 sono diventate applicabili le regole relative ai modelli di intelligenza artificiale per finalità generali, l’architettura di governance e l’impianto sanzionatorio. Il passaggio successivo, originariamente fissato al 2 agosto 2026, avrebbe dovuto segnare l’entrata in applicazione degli obblighi più onerosi, relativi ai sistemi ad alto rischio elencati nell’allegato III del regolamento.
Digital Omnibus sull’IA e novità per la compliance con il Regolamento (UE) 2026/1744
A ridosso di questa scadenza, il quadro è stato modificato dal Regolamento (UE) 2026/1744 del Parlamento europeo e del Consiglio dell’8 luglio 2026, comunemente indicato come Digital Omnibus sull’IA, pubblicato in Gazzetta Ufficiale dell’Unione europea il 24 luglio 2026 ed entrato in vigore il 27 luglio 2026. Il regolamento non modifica l’impianto dell’AI Act basato sui livelli di rischio, non elimina gli obblighi previsti per i sistemi ad alto rischio e non incide sui divieti già operativi. Interviene invece in modo mirato sul calendario di applicazione, motivato dalla mancata disponibilità, al momento della scadenza originaria, delle norme tecniche armonizzate e degli strumenti di valutazione della conformità necessari per rendere pienamente esigibili gli obblighi più complessi.
Nuova roadmap di compliance per i sistemi ad alto rischio (Allegati III e I)
La nuova roadmap prevede che gli obblighi relativi ai sistemi ad alto rischio autonomi, disciplinati dall’allegato III, si applichino dal 2 dicembre 2027, mentre per i sistemi ad alto rischio integrati in prodotti già regolamentati da altre normative di settore, disciplinati dall’allegato I, il termine è fissato al 2 agosto 2028. Il Digital Omnibus ha inoltre ampliato il catalogo delle pratiche vietate dall’articolo 5, includendo i sistemi che generano materiale di abuso su minori o che ritraggono senza consenso parti intime di persone identificabili, con obbligo di adeguamento a partire dal 2 dicembre 2026. Restano invece fermi al 2 agosto 2026 gli obblighi di trasparenza verso il pubblico, tra cui l’identificabilità dei contenuti generati artificialmente e degli agenti conversazionali, insieme alla piena operatività del regime sanzionatorio e alla designazione delle autorità nazionali competenti in materia di notifica e vigilanza del mercato. Per i sistemi di IA generativa già immessi sul mercato prima del 2 agosto 2026, l’obbligo di marcatura machine-readable degli output è stato differito al 2 dicembre 2026.
Censimento dei sistemi e gestione continua della compliance
Il rinvio delle scadenze più onerose non comporta una sospensione della compliance nel suo complesso. Le discipline indipendenti dalla classificazione di rischio dei sistemi di intelligenza artificiale restano infatti pienamente operative per l’intero periodo transitorio. Le organizzazioni che utilizzano sistemi di intelligenza artificiale sono quindi chiamate a mantenere un censimento aggiornato di tali sistemi e a classificarli correttamente rispetto ai criteri dell’allegato III, indipendentemente dallo slittamento dei termini più stringenti.
Questa evoluzione conferma come la gestione della compliance in materia di intelligenza artificiale richieda un approccio dinamico, capace di adattarsi a un calendario normativo in evoluzione e di integrare requisiti provenienti da framework regolatori differenti.
ATENA: Piattaforma di Hermes Bay per la Governance e la Compliance IA
La capacità di tracciare con precisione le scadenze, le evidenze documentali e lo stato di adeguamento dei singoli sistemi rappresenta un elemento essenziale per affrontare correttamente le fasi applicative ancora da venire.
In tale contesto, piattaforme dedicate alla governance e alla compliance come ATENA possono supportare le organizzazioni nella gestione strutturata degli obblighi normativi, nella raccolta delle evidenze e nel monitoraggio dei controlli richiesti dai diversi framework regolatori. La possibilità di collegare requisiti, processi, documentazione e attività operative consente di migliorare la tracciabilità delle informazioni e di semplificare le attività di verifica e audit.
