AI Act: cosa si applica dal 2 agosto 2026 e cosa no

Il 2 agosto 2026 l'AI Act diventa applicabile in larga parte. Gli obblighi specifici per i sistemi di IA ad alto rischio non ne fanno parte: arrivano più tardi. È esattamente questa distinzione che manca in molti piani di progetto, dove il 2 agosto 2026 figura come l'unica scadenza.

Le due date successive derivano dal regolamento (UE) 2026/1744; per i sistemi dell'allegato I era originariamente previsto il 2 agosto 2027. Per il MedTech il percorso 2028 è quello rilevante, ma solo alla condizione indicata: senza una valutazione di conformità da parte di terzi per la conformità del prodotto quel termine non si applica, e non ogni dispositivo medico basato su IA vi è soggetto.

All'articolo 4 va dedicata una nota, perché l'obbligo è più antico di tutti questi rinvii ed è stato comunque riformulato: si applica dal 2 febbraio 2025 e nella versione attuale dal 27 luglio 2026. Sono richieste misure che sostengano lo sviluppo dell'alfabetizzazione in materia di IA tra le persone che si occupano dei sistemi di IA, tenendo conto di conoscenze pregresse, esperienza, formazione e contesto d'uso. La norma non richiede espressamente di garantire un determinato livello per una singola persona; la versione precedente richiedeva di assicurare, con ogni sforzo possibile, un livello sufficiente.

Che cosa diventa effettivamente applicabile in quel giorno

In quel giorno vengono per primi, nella pratica, gli obblighi di trasparenza dell'articolo 50. Occorre distinguere se un'impresa è fornitore o deployer del sistema di IA in questione e quale funzione concreta il sistema svolge:

• I fornitori di sistemi di IA destinati a interagire direttamente con persone fisiche devono garantire che le persone interessate possano riconoscere di stare interagendo con un sistema di IA, salvo che ciò sia già evidente.
• I fornitori di sistemi di IA che generano contenuti sintetici audio, immagine, video o testo devono in linea di principio garantire che tali output siano marcati in un formato leggibile dalle macchine e siano riconoscibili come generati o manipolati artificialmente.
• I deployer di sistemi di riconoscimento delle emozioni o di categorizzazione biometrica devono informare le persone interessate dell'utilizzo del sistema.
• I deployer devono rendere noti i deepfake in quanto tali.
• I deployer devono etichettare determinati testi generati o manipolati dall'IA quando sono pubblicati per informare il pubblico su questioni di interesse pubblico. L'etichettatura non è necessaria se il testo è stato sottoposto a un'effettiva verifica specialistica o a un controllo editoriale e una persona o un'organizzazione ne assume la responsabilità editoriale.

Per i sistemi di IA già immessi sul mercato prima del 2 agosto 2026 esiste un periodo transitorio limitato fino al 2 dicembre 2026 esclusivamente per l'obbligo tecnico di marcatura e riconoscibilità dei contenuti sintetici di cui all'articolo 50, paragrafo 2.

Per un ospedale con un chatbot per i pazienti il 2 agosto 2026 diventa immediatamente rilevante, perché i pazienti devono poter riconoscere di stare interagendo con un sistema di IA. Obblighi di etichettatura o di informativa possono sussistere anche per contenuti generati dall'IA utilizzati pubblicamente. Una refertazione preliminare assistita dall'IA, al contrario, non ricade sotto l'articolo 50 per la sola funzione diagnostica; è determinante se sia presente anche una delle funzioni di interazione o di contenuto ivi disciplinate.

Per i requisiti specifici relativi all'alto rischio applicabili a un sistema diagnostico basato su IA valutato secondo MDR o IVDR con il coinvolgimento di un organismo notificato è invece determinante, in linea di principio, il 2 agosto 2028. Indipendentemente da ciò, singoli obblighi di trasparenza dell'articolo 50 possono essere rilevanti già dal 2 agosto 2026.

Perché il rinvio non è un motivo per sospendere il progetto

La conclusione più immediata che si trae dal rinvio è: riprenderemo il tema più avanti. Tre ragioni sconsigliano di farlo.

In primo luogo, il rinvio non modifica la classificazione regolatoria del sistema. Se un sistema di IA debba essere classificato come ad alto rischio dipende dall'articolo 6 dell'AI Act. Per i dispositivi medici e gli IVD è determinante in particolare se il sistema di IA sia esso stesso un prodotto regolamentato o un componente di sicurezza di un prodotto e se, per la conformità del prodotto, sia necessaria una valutazione da parte di terzi. Chi non effettua oggi questa classificazione non ottiene alcuna chiarezza regolatoria dal rinvio.

In secondo luogo, i requisiti dell'AI Act non dovrebbero essere affrontati solo dopo la conclusione della valutazione di conformità secondo MDR o IVDR. Devono essere integrati nello sviluppo del prodotto, nel sistema di gestione della qualità, nella documentazione tecnica e nella valutazione di conformità esistente. Chi integra i requisiti specifici per l'IA solo successivamente rischia rilavorazioni considerevoli su documenti, processi ed evidenze già predisposti.

In terzo luogo, la base dei dati è spesso il vero collo di bottiglia. Le evidenze mancanti su origine, selezione, qualità, rappresentatività o preparazione dei dati di addestramento, convalida e prova potrebbero in seguito non essere più ricostruibili in modo completo e affidabile. In tal caso non si tratta soltanto di una carenza documentale, ma eventualmente di una lacuna nella base dei dati che non può più essere colmata.

Cosa fare adesso

• Documentare per iscritto la classificazione regolatoria del sistema di IA, comprese le motivazioni. Costituisce la base per determinare i requisiti e i termini applicabili.
• Radicare nell'organizzazione l'obbligo di alfabetizzazione in materia di IA, applicabile dal 2 febbraio 2025: individuare i ruoli interessati, definire il fabbisogno di competenze e documentare misure adeguate di formazione o qualificazione.
• Verificare il proprio portafoglio di IA per stabilire quali sistemi e casi d'uso ricadano sotto l'articolo 50. Oltre ai prodotti propri vanno considerati anche i sistemi acquistati o impiegati internamente.
• Pianificare l'attuazione a partire dall'inizio di applicazione previsto dalla legge e dalla successiva valutazione di conformità rilevante, procedendo a ritroso. Il termine di legge resta vincolante; i tempi di trattazione e valutazione dell'organismo notificato devono essere pianificati in aggiunta e concordati tempestivamente.

Entourage supporta fabbricanti e strutture sanitarie nella classificazione dei loro sistemi di IA, nell'integrazione dei requisiti dell'AI Act in una procedura MDR o IVDR già in corso e nella questione di quali obblighi si applichino già oggi.