Le scadenze dell'AI Act: timeline applicativa 2024-2027

L'AI Act non si applica tutto in un giorno: gli obblighi si attivano progressivamente da agosto 2024 fino al 2027. Ecco il calendario completo, con le scadenze già operative e quelle ancora da rispettare.

Perché il Regolamento si applica a tappe

L'AI Act è stato pubblicato sulla Gazzetta Ufficiale dell'Unione Europea il 12 luglio 2024 ed è formalmente entrato in vigore il 1° agosto 2024. Tuttavia, l'articolo 113 del Regolamento prevede un'applicazione scaglionata. Questa scelta nasce dalla consapevolezza che la conformità ad alcuni obblighi — soprattutto quelli relativi ai sistemi ad alto rischio — richiede tempo: tempo per costruire le strutture di governance, per documentare i sistemi, per organizzare la formazione del personale, per allineare i fornitori. Il legislatore europeo ha quindi distribuito le scadenze su un arco di tre anni, dando alle aziende il tempo di adeguarsi.

Conoscere la timeline non serve solo per pianificare il lavoro: serve anche per capire quali obblighi sono già esigibili dalle autorità di vigilanza, e quali invece sono ancora in una fase di preparazione. Sotto questo profilo, si distinguono le scadenze passate (quelle in cui l'azienda dovrebbe già essere conforme) e le scadenze future (quelle su cui si può ancora lavorare).

Scadenze passate: cosa dovresti già aver fatto

1° agosto 2024 — Entrata in vigore

Il Regolamento è entrato in vigore venti giorni dopo la pubblicazione in Gazzetta Ufficiale. Da questa data tutte le aziende dell'Unione Europea sono soggette, in linea di principio, al nuovo regime, anche se la maggior parte degli obblighi specifici si applica nei mesi e anni successivi. È da questa data che decorrono i termini per gli adempimenti.

2 febbraio 2025 — Divieti e AI Literacy

Sei mesi dopo l'entrata in vigore, sono diventati pienamente operativi due gruppi di disposizioni. Il primo è quello dei divieti previsti dall'articolo 5: da questa data nessuna azienda può più usare sistemi che ricadano nelle pratiche vietate (social scoring, riconoscimento emozioni sul lavoro, eccetera). Il secondo è il fondamentale obbligo di alfabetizzazione all'intelligenza artificiale (AI Literacy) previsto dall'articolo 4: tutti i fornitori e gli utilizzatori professionali di sistemi di IA devono assicurare che il proprio personale, e chi opera per loro conto, abbia un livello di alfabetizzazione adeguato. Questo obbligo è già pienamente esigibile.

2 agosto 2025 — GPAI e Governance

Dodici mesi dopo l'entrata in vigore sono diventate operative le norme sui modelli di IA per finalità generali (i cosiddetti GPAI, General Purpose AI Models, come GPT, Claude, Gemini, Llama) previste nel Capo V, e le disposizioni sulle autorità di notifica, sulle autorità competenti e sull'organizzazione della governance. Sempre da questa data si applicano le disposizioni sanzionatorie generali del Capo XII, salvo quelle specifiche per i sistemi ad alto rischio.

Scadenze future: cosa dovrai fare

2 agosto 2026 — Alto rischio dell'Allegato III

Ventiquattro mesi dopo l'entrata in vigore — una scadenza ormai imminente — diventeranno pienamente applicabili gli obblighi per i sistemi ad alto rischio elencati nell'Allegato III. Si tratta della scadenza più impegnativa per le aziende italiane, perché coinvolge sistemi molto diffusi: software HR per la selezione del personale, sistemi di valutazione delle performance, strumenti di credit scoring, sistemi biometrici, sistemi usati nell'istruzione e nella formazione. Da questa data, chi usa o sviluppa questi sistemi deve aver implementato sistema di gestione del rischio, governance dei dati, documentazione tecnica, registrazione automatica degli eventi, supervisione umana, valutazione di conformità.

2 agosto 2027 — Alto rischio dell'Allegato I

Trentasei mesi dopo l'entrata in vigore si completa il quadro: scattano gli obblighi per i sistemi ad alto rischio che sono componenti di sicurezza di prodotti già regolati dalla normativa europea armonizzata (Allegato I): dispositivi medici, macchinari, giocattoli, ascensori, imbarcazioni, eccetera. È la scadenza che riguarda soprattutto i produttori di beni tecnologici e i loro fornitori di moduli software intelligenti.

2 agosto 2030 — Sistemi delle autorità pubbliche già in uso

Una scadenza ulteriore riguarda i sistemi di IA ad alto rischio già utilizzati dalle pubbliche amministrazioni alla data di entrata in vigore del Regolamento: per essi è previsto un periodo di adeguamento più lungo, fino al 2030, salvo modifiche significative del sistema.

Una scadenza che vale per tutti: l'AI Literacy

Tra tutte le scadenze, ce n'è una che merita un'attenzione particolare perché è già pienamente operativa e perché si applica a tutti, senza eccezioni di settore o dimensione aziendale: l'obbligo di alfabetizzazione all'intelligenza artificiale previsto dall'articolo 4 del Regolamento. Se la tua azienda usa anche solo ChatGPT per redigere comunicazioni, deve garantire che il personale interessato abbia ricevuto una formazione adeguata sull'uso, sui limiti e sui rischi dei sistemi di IA. È un obbligo che molte aziende ancora ignorano, ma che è già esigibile e che rappresenta tipicamente il primo punto controllato in una verifica.

Come iusprivacy ti aiuta a rispettare la tabella di marcia

Il rischio principale per le aziende non è la cattiva volontà ma la disorganizzazione: arrivare alle scadenze impreparati, accumulare ritardi, scoprire all'ultimo momento di non avere la documentazione richiesta. Per questo iusprivacy.eu lavora con i clienti su un piano di adeguamento articolato per fasi, allineato alle scadenze del Regolamento. Il piano parte dal censimento e dalla classificazione dei sistemi, prosegue con la formazione AI Literacy (già obbligatoria), affronta poi gli obblighi di trasparenza, e infine — per chi ha sistemi ad alto rischio — costruisce per tempo il sistema di gestione del rischio, la documentazione tecnica e tutti gli altri adempimenti.