Il Regolamento europeo sull'intelligenza artificiale non tratta tutti i sistemi allo stesso modo: li divide per livello di rischio e assegna obblighi diversi a chi li sviluppa e a chi li usa. La prima domanda non e “cosa devo fare”, ma “dove mi trovo”. Qui sotto trovi la mappa: classi di rischio, ruoli, scadenze aggiornate e sanzioni reali.
L'AI Act costruisce tutto su quattro livelli di rischio. Piu il rischio per le persone e alto, piu gli obblighi sono stringenti. Tocca un livello per vedere cosa comporta.
L'AI Act assegna obblighi diversi a seconda del ruolo. E la seconda domanda da farsi, subito dopo la classe di rischio.
Sviluppi un sistema di IA, o lo immetti sul mercato con il tuo nome o marchio.
Usi sotto la tua autorita un sistema sviluppato da altri. E il caso della grande maggioranza delle imprese, degli studi e degli enti italiani.
Attenzione al passaggio di ruolo: se personalizzi in modo sostanziale un sistema, lo rimarchi o ne modifichi la finalita, puoi diventare fornitore con tutti gli obblighi che ne derivano. E uno degli errori piu frequenti.
// Il calendario europeoLe date sono aggiornate al Digital Omnibus sull'IA, approvato dal Parlamento europeo il 16 giugno 2026 e adottato in via definitiva dal Consiglio UE il 29 giugno 2026. Molti calendari che circolano online sono precedenti a questa modifica.
Entra in vigore il Regolamento (UE) 2024/1689. Inizia il conto alla rovescia per le applicazioni scaglionate.
Scattano i divieti sulle pratiche a rischio inaccettabile (art. 5) e l'obbligo di alfabetizzazione all'IA del personale (art. 4). Riguarda tutte le organizzazioni che usano IA, di qualsiasi dimensione.
Obblighi per i modelli di IA per finalita generale (GPAI), impianto di governance europea e quadro sanzionatorio.
Diventano applicabili gli obblighi di trasparenza dell'art. 50 e le autorita nazionali acquisiscono pieni poteri di vigilanza e sanzione. E la data che riguarda il maggior numero di organizzazioni.
Marcatura leggibile automaticamente dei contenuti generati dall'IA. Entra in vigore anche il nuovo divieto per i sistemi di “nudificazione” e per la generazione di materiale di abuso su minori.
Termine per l'istituzione degli spazi di sperimentazione normativa (regulatory sandbox) a livello nazionale.
Obblighi per i sistemi ad alto rischio autonomi dell'Allegato III: selezione del personale, merito creditizio, istruzione, biometria, infrastrutture critiche, giustizia.
Obblighi per i sistemi ad alto rischio integrati in prodotti gia regolati da normative settoriali (Allegato I): dispositivi medici, macchinari, veicoli.
La cifra che circola piu spesso, 35 milioni di euro, riguarda solo la fascia piu grave. Il quadro completo e questo.
Per le PMI e le piccole imprese a media capitalizzazione si applica l'importo inferiore tra i due parametri, non il maggiore.
// Il perimetroUna precisazione utile, perche il termine “consulente AI” oggi indica due mestieri diversi. Mi occupo di conformita: verificare che i sistemi di intelligenza artificiale che la tua organizzazione utilizza o sta valutando rispettino gli obblighi dell'AI Act e del GDPR, e produrre la documentazione che lo dimostra.
Non scelgo ne installo strumenti di IA, non costruisco chatbot, non progetto automazioni: quella e un'altra professione. Se hai gia un fornitore tecnologico, il mio lavoro si affianca al suo occupandosi del lato normativo — ed e spesso il pezzo che manca.
// I serviziMappiamo gli strumenti di IA realmente in uso, inclusi quelli adottati spontaneamente dal personale, e ricostruiamo chi li fornisce e con quali condizioni.
Vedi il servizio →
Stabiliamo per ogni sistema il livello di rischio e il ruolo dell'organizzazione, fornitore o utilizzatore, e ne derivano gli obblighi concreti.
Vedi il servizio →
Sessioni pratiche per il personale con attestato e registro delle ore, come richiesto dall'art. 4. E l'adempimento gia dovuto e meno presidiato.
Vedi il servizio →
Adeguamento di informative, avvisi sui chatbot e marcatura dei contenuti generati dall'IA, in vista del 2 agosto 2026.
Vedi il servizio →
Policy aziendale sull'uso dell'IA e registro dei sistemi, integrati con la documentazione GDPR gia esistente invece che costruiti a parte.
Vedi il servizio →
Allineamento al recepimento italiano e collegamento con il Modello 231, dove l'organizzazione ne e dotata.
Vedi il servizio →
Ogni servizio ha una pagina dedicata con l'elenco completo dei documenti che ricevi: assessment e classificazione · formazione art. 4 · trasparenza art. 50 · policy e governance.
// Per chiHo sviluppato pagine dedicate all'AI Act per i principali centri economici italiani, con i sistemi di IA piu diffusi in ciascun territorio, la classificazione del rischio, il ruolo di fornitore o utilizzatore e le scadenze specifiche.
L'AI Act distingue quattro livelli: rischio inaccettabile (pratiche vietate dall'art. 5), alto rischio (Allegato III e Allegato I), rischio limitato (obblighi di trasparenza dell'art. 50, tipicamente chatbot e contenuti generati) e rischio minimo. La maggior parte degli strumenti usati dalle PMI italiane ricade tra rischio limitato e minimo, ma la classificazione va fatta sistema per sistema.
Sei fornitore se sviluppi un sistema di IA o lo immetti sul mercato con il tuo nome. Sei utilizzatore (deployer) se usi sotto la tua autorita un sistema sviluppato da altri. La maggior parte delle imprese italiane e utilizzatore, con obblighi piu leggeri ma non assenti. Chi personalizza in modo sostanziale un sistema o lo rimarchia puo diventare fornitore.
Si. L'uso di sistemi di IA generativa in ambito lavorativo rende l'organizzazione un utilizzatore ai sensi del Regolamento. L'obbligo di alfabetizzazione del personale e applicabile dal 2 febbraio 2025 e dal 2 agosto 2026 si aggiungono gli obblighi di trasparenza dove i sistemi sono a contatto con il pubblico.
Tre livelli: fino a 35 milioni di euro o il 7% del fatturato mondiale per le pratiche vietate; fino a 15 milioni o il 3% per la violazione degli altri obblighi, inclusa la trasparenza; fino a 7,5 milioni o l'1% per informazioni inesatte o fuorvianti alle autorita. Per le PMI si applica l'importo inferiore tra i due parametri.
Diventano applicabili gli obblighi di trasparenza dell'art. 50 e le autorita nazionali acquisiscono pieni poteri di vigilanza e sanzione. Gli obblighi sui sistemi ad alto rischio sono stati rinviati dal Digital Omnibus al 2 dicembre 2027 e al 2 agosto 2028.
No. Lo studio si occupa esclusivamente di conformita normativa: classificazione dei sistemi, obblighi, documentazione e formazione. La scelta e l'integrazione tecnica degli strumenti restano al fornitore o al consulente tecnologico.
Dall'inventario dei sistemi di IA effettivamente in uso e dalla formazione del personale: sono gli adempimenti gia dovuti oggi e i piu rapidi da mettere a terra. Su quella base si costruisce la classificazione del rischio e tutto il resto.
La prima valutazione e gratuita: mappiamo insieme i sistemi di IA in uso, li classifichiamo e definiamo cosa serve davvero, senza allarmismi.
Prenota la valutazione →Azienda svizzera che opera nell'UE? Vedi: GDPR, nLPD e AI Act per le aziende svizzere
Sei in Sardegna? Vedi la pagina dedicata: Consulente AI Act in Sardegna
Per settore: AI Act per studi medici e sanità · AI Act per hotel e strutture ricettive
Approfondimenti: AI Act 2 agosto 2026: cosa cambia davvero · GDPR e AI Act: perche serve un DPO che li conosca entrambi
Servizi correlati: Consulenza GDPR · DPO da remoto · Chi sono
Studio Cravero