AI Act 2026 per le imprese: normativa, governance e gestione dell’intelligenza artificiale

L’AI Act è entrato nella fase in cui, per le imprese, smette di essere un tema da monitorare e diventa un insieme di regole da tradurre in processi concreti.

Il regolamento europeo sull’intelligenza artificiale è entrato in vigore nel 2024, ma la sua applicazione è stata distribuita nel tempo. Nel 2026 una parte significativa del quadro è ormai operativa, mentre alcune disposizioni più complesse, in particolare quelle relative ai sistemi ad alto rischio, saranno implementate successivamente.

Al di là delle scadenze, il cambiamento più importante è però concettuale: l’intelligenza artificiale non viene regolata in base alla tecnologia utilizzata, ma in base all’impatto che può produrre.

Non tutte le applicazioni AI sono uguali

Un filtro antispam, un chatbot, un sistema utilizzato per selezionare candidati e un algoritmo che contribuisce a determinare l’accesso al credito non presentano lo stesso livello di rischio.

L’AI Act parte proprio da questa differenza.

La maggior parte delle applicazioni utilizzate quotidianamente rientra in un’area di rischio contenuto e non è soggetta a obblighi particolarmente invasivi.

In altri casi entra in gioco un requisito di trasparenza. Chi interagisce con un chatbot, per esempio, deve poter capire che sta comunicando con un sistema di intelligenza artificiale. Analogamente, la diffusione di contenuti generati artificialmente rende sempre più importante poter distinguere ciò che è autentico da ciò che è stato prodotto o manipolato da un modello.

Esistono poi impieghi considerati incompatibili con il quadro europeo e quindi vietati, come alcune forme di manipolazione, social scoring o utilizzi particolarmente invasivi della biometria.

Il livello successivo è quello dei sistemi ad alto rischio.

Quando il rischio diventa “alto”

La definizione riguarda applicazioni che possono incidere in modo significativo sulla sicurezza, sui diritti o sulle opportunità di una persona.

È il caso, ad esempio, di determinati sistemi utilizzati nella selezione del personale, nell’istruzione, nell’accesso a servizi essenziali, nelle infrastrutture critiche o in alcuni ambiti della biometria.

Per il settore finanziario, il caso più rilevante riguarda i sistemi utilizzati per valutare l’affidabilità creditizia delle persone fisiche o determinarne il merito di credito.

La distinzione è importante perché non significa che qualsiasi soluzione AI utilizzata in una banca sia automaticamente classificata come ad alto rischio.

Un sistema che estrae dati da un documento o automatizza un controllo non rientra necessariamente nella stessa categoria di un modello che contribuisce direttamente a decidere se una persona possa ottenere o meno un finanziamento.

È quindi il caso d’uso, più che la tecnologia in sé, a determinare il livello di attenzione richiesto.

Perché la governance diventa centrale

Quando l’AI entra in processi ad alto impatto non è sufficiente chiedersi se il modello sia preciso.

Diventa necessario sapere quali dati utilizza, come vengono controllati, quali operazioni vengono registrate, come viene monitorato il sistema e in quali circostanze una persona può intervenire.

È qui che l’AI Act sposta il baricentro dalla semplice performance alla governance.

Per i sistemi ad alto rischio, il quadro europeo richiede infatti misure strutturate di gestione del rischio, qualità dei dati, documentazione, tracciabilità, supervisione umana, robustezza e sicurezza informatica.

La conseguenza è rilevante soprattutto nei settori regolamentati: non basta acquistare una tecnologia evoluta, occorre essere in grado di dimostrare come viene utilizzata e governata nel tempo.

Il calendario è cambiato

Uno degli aggiornamenti più significativi del 2026 riguarda le tempistiche.

A seguito dell’AI Omnibus entrato in vigore nel luglio 2026, l’applicazione delle regole per i sistemi ad alto rischio indicati nell’Allegato III è stata rinviata al 2 dicembre 2027.

Rientrano in questo gruppo, tra gli altri, alcuni sistemi utilizzati nell’occupazione, nell’istruzione, nella biometria e nella valutazione dell’affidabilità creditizia delle persone fisiche.

Per i sistemi AI integrati in prodotti già regolamentati, il termine è invece fissato al 2 agosto 2028.

Il rinvio concede più tempo alle imprese, ma non cambia la direzione del regolamento. La necessità di predisporre adeguati sistemi di controllo, documentazione e governance rimane invariata.

Trasparenza e contenuti generati dall’AI

Un altro fronte rilevante riguarda la trasparenza.

Con la crescente diffusione dell’AI generativa, diventa sempre più difficile distinguere contenuti autentici da contenuti prodotti artificialmente.

Per questo il regolamento introduce obblighi specifici nei casi in cui una persona interagisce direttamente con un sistema AI o quando vengono generati contenuti che potrebbero essere scambiati per autentici.

Il principio è semplice: l’utilizzo dell’intelligenza artificiale non deve essere necessariamente invasivo, ma deve essere riconoscibile quando questa informazione è rilevante per chi utilizza il servizio o fruisce il contenuto.

Anche chi utilizza l’AI ha responsabilità

Una delle conseguenze più importanti dell’AI Act riguarda le aziende che non sviluppano direttamente modelli, ma utilizzano soluzioni fornite da terzi.

Il regolamento distingue infatti tra chi sviluppa e commercializza un sistema sul mercato e chi lo utilizza all’interno della propria organizzazione.

Per quest’ultimo soggetto, soprattutto nei casi ad alto rischio, non basta verificare che il fornitore sia conforme.

Occorre definire modalità di utilizzo corrette, assegnare responsabilità interne, conservare le evidenze disponibili e garantire che la supervisione venga esercitata da persone con competenze adeguate.

In altre parole, la compliance non può essere completamente delegata al provider tecnologico.

Dal controllo finale alla compliance by design

È probabilmente questa la trasformazione più rilevante introdotta dal nuovo quadro europeo.

Tradizionalmente, in molti progetti tecnologici la compliance interviene a valle: viene sviluppato il sistema, vengono individuati i rischi e successivamente si introducono controlli e correttivi.

Con l’AI questo approccio diventa sempre meno sostenibile.

Qualità del dato, tracciabilità, gestione degli accessi, supervisione e documentazione devono essere considerati già durante la progettazione.

È il principio della compliance by design: costruire soluzioni che incorporino fin dall’inizio i requisiti necessari per essere controllabili e utilizzabili in un ambiente regolamentato.

Per banche e intermediari finanziari, questo significa avvicinare sempre di più tecnologia, risk management e compliance.

Non solo un vincolo normativo

L’AI Act viene spesso presentato come un ulteriore livello di complessità per le imprese.

In parte lo è, ma nei settori nei quali l’intelligenza artificiale contribuisce a decisioni sensibili, trasparenza, qualità del dato e responsabilità non sono soltanto obblighi regolamentari, sono condizioni indispensabili perché la tecnologia possa essere adottata su larga scala.

Il vero effetto dell’AI Act potrebbe quindi essere quello di accelerare una selezione naturale tra soluzioni semplicemente innovative e soluzioni realmente utilizzabili.

Nel prossimo ciclo di sviluppo dell’intelligenza artificiale, la differenza non sarà soltanto nella capacità di un modello di produrre risultati migliori.

Sarà nella capacità delle organizzazioni di dimostrare che quei risultati sono affidabili, ricostruibili e governabili.