Il Regolamento (UE) 2024/1689 (EU AI Act) è la prima legge organica al mondo sull’intelligenza artificiale. Non riguarda solo chi sviluppa modelli o algoritmi, ma tutte le aziende utilizzatrici (deployer) che impiegano strumenti di IA o assistenti generativi (come ChatGPT, Copilot, Claude) nei propri processi quotidiani.
● Milestone applicativa: 2 agosto 2026 · AI Literacy Obbligatoria (art. 4) · Sorveglianza Umana (artt. 14 e 26)
RegulAI nasce secondo il principio cardine dell’AI Act («L’IA propone, decide una persona») e fornisce gli strumenti operativi per governare ogni sistema di IA aziendale:
Il Regolamento si applica a tutti i ruoli lungo la catena del valore dell’IA: Fornitori (provider) che sviluppano o immettono sistemi sul mercato, Utilizzatori (deployer) che impiegano l’IA nei propri processi aziendali, oltre a importatori e distributori.
Pratiche vietate in tutta l’UE (dal 2 febbraio 2025): sistemi di social scoring, manipolazione cognitivo-comportamentale subliminale, sfruttamento delle vulnerabilità, categorizzazione biometrica sensibile e riconoscimento delle emozioni sul luogo di lavoro o nelle scuole.
Obblighi stringenti per provider e deployer: IA utilizzata per selezione e gestione del personale (HR), valutazione del merito creditizio, biometria, istruzione, gestione di infrastrutture critiche e accesso a servizi essenziali. Richiede gestione del rischio, log, trasparenza e sorveglianza umana effettiva.
Obblighi specifici di trasparenza: chatbot di assistenza clienti, assistenti virtuali e sistemi che generano testi, audio, immagini o video sintetici (deepfake). Le persone devono essere informate che stanno interagendo con un’IA o con contenuti generati artificialmente.
La gran parte degli usi aziendali di supporto: filtri antispam, traduttori, assistenti di scrittura o ricerca interna. Restano comunque fermi l’obbligo trasversale di alfabetizzazione sull’IA (art. 4), il rispetto del GDPR e la prevenzione dello shadow AI.
Ogni prompt contenente dati aziendali o personali, ogni documento caricato su strumenti non autorizzati e ogni decisione affidata senza revisione umana espone l’organizzazione a esfiltrazione di segreti industriali, violazioni del GDPR, violazioni di copyright e decisioni viziate da allucinazioni.
Censire tutti gli strumenti di intelligenza artificiale utilizzati nei reparti aziendali — inclusi gli strumenti gratuiti o le estensioni browser adottate spontaneamente dai dipendenti — registrando scopo, fornitore e categorie di dati trattati.
Apri Scheda EU AI Act (PDF 2026) →Definire con chiarezza cosa è consentito, quali dati non devono mai essere inseriti nei prompt, chi approva i nuovi strumenti e chi esercita la sorveglianza umana qualificata sugli output prima che producano effetti verso terzi.
Apri Scheda EU AI Act (PDF 2026) →Erogato da tecnici e giuristi ArcaSafe: Parte 1 (Introduzione, definizioni, classificazione e principi fondamentali), Parte 2 (Rischi privacy/IP, prompt engineering sicuro e policy aziendale), Parte 3 (Governance operativa, audit e verifiche con attestazione finale).
Apri Scheda EU AI Act (PDF 2026) →Operativo il divieto delle pratiche di IA a rischio inaccettabile (art. 5) e l’obbligo per tutte le aziende di garantire l’alfabetizzazione in materia di IA del personale (art. 4).
Applicabili le norme sui modelli di IA per finalità generali (General Purpose AI), sugli organismi di governance nazionali e sul regime sanzionatorio.
A 24 mesi dall’entrata in vigore diventa applicabile la maggior parte degli obblighi, inclusi i sistemi ad alto rischio dell’Allegato III, mappatura, classificazione e policy d’uso per i deployer.
Applicazione degli obblighi per i sistemi di IA ad alto rischio che costituiscono componenti di sicurezza di prodotti già disciplinati da normative armonizzate UE (Allegato I).
Il Regolamento UE 2024/1689 prevede un quadro sanzionatorio tra i più severi del diritto europeo, oltre al danno reputazionale e alla perdita di fiducia da parte di clienti e committenti:
Con un referente della Governance AI di ArcaSafe (anche in formula vCISO integrata con il DPO), presidi rischio, policy e conformità senza dover assumere una figura interna a tempo pieno: