Testo dell'articoloVigente
Art. 2 Reg. (UE) 2024/1689 – Ambito di applicazione
Regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio del 13 giugno 2024 che stabilisce regole armonizzate sull’intelligenza artificiale (regolamento sull’intelligenza artificiale)
1. Il presente regolamento si applica:
a) ai fornitori che immettono sul mercato o mettono in servizio sistemi di IA o immettono sul mercato modelli di IA per finalità generali nell'Unione, indipendentemente dal fatto che siano stabiliti o ubicati nell'Unione o in un paese terzo;
b) ai deployer dei sistemi di IA che hanno il loro luogo di stabilimento o sono situati all'interno dell'Unione;
c) ai fornitori e ai deployer di sistemi di IA che hanno il loro luogo di stabilimento o sono situati in un paese terzo, laddove l'output prodotto dal sistema di IA sia utilizzato nell'Unione;
d) agli importatori e ai distributori di sistemi di IA;
e) ai fabbricanti di prodotti che immettono sul mercato o mettono in servizio un sistema di IA insieme al loro prodotto e con il loro nome o marchio;
f) ai rappresentanti autorizzati di fornitori, non stabiliti nell'Unione;
g) alle persone interessate che si trovano nell'Unione.
2. Ai sistemi di IA classificati come ad alto rischio ai sensi dell'articolo 6, paragrafo 1, relativo a prodotti disciplinati dalla normativa di armonizzazione dell'Unione elencata nell'allegato I, sezione B, si applicano unicamente l’articolo 6, paragrafo 1, gli articoli da 102 a 109 e l'articolo 112. L'articolo 57 si applica solo nella misura in cui i requisiti per i sistemi di IA ad alto rischio a norma del presente regolamento siano stati integrati in tale normativa di armonizzazione dell'Unione.
3. Il presente regolamento non si applica a settori che non rientrano nell'ambito di applicazione del diritto dell'Unione e, in ogni caso, non pregiudica le competenze degli Stati membri in materia di sicurezza nazionale, indipendentemente dal tipo di entità incaricata dagli Stati membri di svolgere compiti in relazione a tali competenze. Il presente regolamento non si applica ai sistemi di IA se e nella misura in cui sono immessi sul mercato, messi in servizio o utilizzati con o senza modifiche esclusivamente per scopi militari, di difesa o di sicurezza nazionale, indipendentemente dal tipo di entità che svolge tali attività. Il presente regolamento non si applica ai sistemi di IA che non sono immessi sul mercato o messi in servizio nell'Unione, qualora l'output sia utilizzato nell'Unione esclusivamente per scopi militari, di difesa o di sicurezza nazionale, indipendentemente dal tipo di entità che svolge tali attività.
4. Il presente regolamento non si applica alle autorità pubbliche di un paese terzo né alle organizzazioni internazionali che rientrano nell'ambito di applicazione del presente regolamento a norma del paragrafo 1, laddove tali autorità o organizzazioni utilizzino i sistemi di IA nel quadro della cooperazione o di accordi internazionali per la cooperazione delle autorità di contrasto e giudiziarie con l'Unione o con uno o più Stati membri, a condizione che tale paese terzo o organizzazione internazionale fornisca garanzie adeguate per quanto riguarda la protezione dei diritti e delle libertà fondamentali delle persone.
5. Il presente regolamento non pregiudica l'applicazione delle disposizioni sulla responsabilità dei prestatori di servizi intermediari di cui al capo II del regolamento (UE) 2022/2065.
6. Il presente regolamento non si applica ai sistemi di IA o modelli di IA, ivi compresi i loro output, specificamente sviluppati e messi in servizio al solo scopo di ricerca e sviluppo scientifici.
7. Il diritto dell'Unione in materia di protezione dei dati personali, della vita privata e della riservatezza delle comunicazioni si applica ai dati personali trattati in relazione ai diritti e agli obblighi stabiliti dal presente regolamento. Il presente regolamento lascia impregiudicati il regolamento (UE) 2016/679 o (UE) 2018/1725 o la direttiva 2002/58/CE o (UE) 2016/680, fatti salvi l'articolo 10, paragrafo 5, e l'articolo 59 del presente regolamento.
8. Il presente regolamento non si applica alle attività di ricerca, prova o sviluppo relative a sistemi di IA o modelli di IA prima della loro immissione sul mercato o messa in servizio. Tali attività sono svolte in conformità del diritto dell'Unione applicabile. Le prove in condizioni reali non rientrano in tale esclusione.
9. Il presente regolamento lascia impregiudicate le norme stabilite da altri atti giuridici dell'Unione in materia di protezione dei consumatori e di sicurezza dei prodotti.
10. Il presente regolamento non si applica agli obblighi dei deployer che sono persone fisiche che utilizzano sistemi di IA nel corso di un'attività non professionale puramente personale.
11. Il presente regolamento non osta a che l'Unione o gli Stati membri mantengano o introducano disposizioni legislative, regolamentari o amministrative più favorevoli ai lavoratori in termini di tutela dei loro diritti in relazione all'uso dei sistemi di IA da parte dei datori di lavoro, o incoraggino o consentano l'applicazione di contratti collettivi più favorevoli ai lavoratori.
12. Il presente regolamento non si applica ai sistemi di IA rilasciati con licenza libera e open source, a meno che non siano immessi sul mercato o messi in servizio come sistemi di IA ad alto rischio o come sistema di IA rientrante nell'ambito di applicazione dell'articolo 5 o 50.
In sintesi
Indice dei contenuti
Chi rientra nell'ambito del regolamento: la mappa dei soggetti obbligati
L'articolo 2 del Regolamento (UE) 2024/1689 - l'AI Act - definisce il perimetro soggettivo e oggettivo del nuovo quadro normativo sull'intelligenza artificiale. La disposizione adotta un approccio volutamente ampio, pensato per evitare che i soggetti possano sottrarsi agli obblighi mediante semplici scelte di localizzazione.
I fornitori sono coloro che sviluppano un sistema di IA e lo immettono sul mercato o lo mettono in servizio nell'Unione, indipendentemente da dove abbiano sede. Un'impresa statunitense che distribuisce un sistema di IA alle aziende europee è pienamente soggetta all'AI Act. I deployer sono invece i soggetti - imprese o professionisti - che utilizzano un sistema di IA sotto la propria responsabilità nell'ambito della propria attività. L'articolo 2, paragrafo 1, lettera b), precisa che i deployer rilevano quando hanno il loro luogo di stabilimento o si trovano nell'Unione. Questa distinzione è cardine dell'intera architettura del regolamento: fornitore e deployer hanno obblighi diversi, spesso complementari.
Il regolamento si applica anche agli importatori (chi immette sul mercato UE sistemi di IA prodotti fuori dall'Unione), ai distributori, ai fabbricanti di prodotti che integrano sistemi di IA (ad esempio un produttore di dispositivi medici che incorpora un algoritmo diagnostico) e ai rappresentanti autorizzati di fornitori extra-UE.
Il principio di extraterritorialità: perché conta anche la sede fuori dall'UE
Il criterio di applicabilità più innovativo è quello previsto dalla lettera c) del paragrafo 1: il regolamento si applica anche ai fornitori e ai deployer extra-UE laddove l'output prodotto dal sistema di IA sia utilizzato nell'Unione. Questo principio - mutuato dall'approccio del GDPR - significa che un fornitore con sede a Singapore che vende un sistema di classificazione del credito utilizzato da banche italiane non può invocare la propria ubicazione estera per sottrarsi agli obblighi dell'AI Act.
Il meccanismo del rappresentante autorizzato rafforza questa logica: il fornitore extra-UE deve designare un rappresentante stabilito nell'Unione che funge da interlocutore con le autorità di vigilanza. In mancanza, gli obblighi gravano sull'importatore o sul distributore.
Le esclusioni: sicurezza nazionale, open source e uso personale
Il paragrafo 3 cristallizza l'esclusione per i sistemi di IA impiegati esclusivamente per scopi militari, di difesa o di sicurezza nazionale. La ratio è di rispettare la sovranità degli Stati in questi ambiti sensibili. L'esclusione è tuttavia rigorosamente limitata: se il sistema serve anche finalità civili o commerciali, torna in ambito.
Il paragrafo 6 esclude le attività di ricerca e sviluppo scientifico pre-commercializzazione. Si tratta di un'esenzione rilevante per università, centri di ricerca e laboratori privati: finché il sistema non è immesso sul mercato o messo in servizio, non scattano gli obblighi. Fanno eccezione le prove in condizioni reali (real-world testing), che rimangono in ambito.
Il paragrafo 12 prevede l'esclusione per i sistemi di IA open source rilasciati con licenza libera. È un'esenzione di grande impatto pratico per la comunità degli sviluppatori, ma con tre importanti cavità: se il sistema è ad alto rischio (art. 6), se rientra nei divieti assoluti (art. 5) o se è soggetto agli obblighi di trasparenza (art. 50, come i chatbot), l'esenzione non si applica. Un modello linguistico open source utilizzato come chatbot al pubblico, ad esempio, ricade comunque nelle regole di trasparenza.
Il paragrafo 10 esonera i deployer persone fisiche che usano sistemi di IA per attività puramente personali e non professionali. Chi utilizza un assistente virtuale per gestire la propria agenda privata non è un deployer ai fini del regolamento. Questa esenzione cessa però non appena l'uso acquisisce una valenza professionale o economica.
Il raccordo con il GDPR e la protezione dei dati personali
Il paragrafo 7 chiarisce il rapporto tra l'AI Act e il Regolamento (UE) 2016/679 (GDPR): i due strumenti coesistono e si affiancano. Il diritto UE in materia di protezione dei dati si applica integralmente ai dati personali trattati nell'ambito dei diritti e degli obblighi stabiliti dall'AI Act. Questo significa che un fornitore di un sistema di IA che elabora dati personali deve contemporaneamente rispettare le basi giuridiche del GDPR, effettuare la valutazione d'impatto (DPIA) ove richiesta e soddisfare i requisiti dell'AI Act (documentazione tecnica, gestione del rischio, trasparenza, ecc.).
Per il DPO (Data Protection Officer) e i responsabili privacy aziendali, l'articolo 2 è il punto di partenza: occorre valutare se il sistema di IA in uso o in sviluppo rientra nell'ambito del regolamento, identificare se l'organizzazione è fornitore o deployer (o entrambi), e mappare le sovrapposizioni con gli obblighi già esistenti in materia di protezione dei dati.
Le implicazioni operative per le imprese italiane
Per un'impresa italiana, la lettura pratica dell'articolo 2 suggerisce tre passaggi fondamentali. In primo luogo, occorre classificare il proprio ruolo: si è fornitore se si sviluppa o si fa sviluppare un sistema di IA immesso sul mercato con il proprio nome o marchio; si è deployer se si acquista o si licenzia un sistema di IA da un terzo e lo si utilizza nell'ambito della propria attività. In alcuni casi si è entrambi (ad esempio, un'impresa che usa internamente un sistema che ha commissionato a un fornitore esterno ma personalizzato profondamente).
In secondo luogo, occorre verificare se il sistema è escluso dall'ambito (uso personale, ricerca pre-commercializzazione, open source non ad alto rischio). In terzo luogo, se il sistema rientra nell'ambito, occorre proseguire con la classificazione del rischio prevista dagli articoli 5 e 6.
Una PMI o start-up italiana che sviluppa software basato su IA deve quindi verificare, sin dalla fase di ideazione, se il proprio prodotto soddisfa le condizioni di applicabilità dell'articolo 2 prima di procedere alla progettazione degli obblighi di conformità. I tempi di applicazione scaglionati dell'articolo 113 rendono urgente questo esercizio.
Casi pratici
Caso 1:
Caso 2:
Caso 3:
Domande frequenti
Un'impresa italiana che usa un sistema di IA sviluppato da un fornitore americano è soggetta all'AI Act?
Sì. L'articolo 2, paragrafo 1, lettera b), prevede che i deployer con sede nell'Unione siano soggetti al regolamento indipendentemente dall'origine del sistema. Inoltre, anche il fornitore americano è soggetto all'AI Act se il suo sistema produce output utilizzati nell'UE (paragrafo 1, lettera c).
Un modello di IA open source è sempre esente dall'AI Act?
No. L'esenzione open source (paragrafo 12) non si applica se il sistema rientra nei divieti assoluti dell'articolo 5, negli obblighi di trasparenza dell'articolo 50 (come i chatbot) o nelle categorie ad alto rischio dell'articolo 6. In questi casi, l'obbligo di conformità sussiste a prescindere dalla licenza.
Un libero professionista che usa un assistente IA per redigere contratti è un deployer?
Sì, salvo che l'uso sia puramente personale e non professionale. Un avvocato, un commercialista o un consulente che usa un sistema di IA nell'esercizio della propria attività professionale è un deployer ai sensi dell'articolo 2 e deve rispettare i relativi obblighi.
Quando si applicano gli obblighi dell'AI Act?
L'applicazione è scaglionata (articolo 113): i divieti assoluti dell'articolo 5 sono in vigore dal 2 febbraio 2025; le regole sui modelli GPAI dal 2 agosto 2025; la gran parte degli obblighi per i sistemi ad alto rischio dal 2 agosto 2026.
L'AI Act si applica alle prove di un sistema di IA condotte in laboratorio?
No, purché il sistema non sia ancora immesso sul mercato o messo in servizio (paragrafo 8). Le prove in condizioni reali - cioè su utenti o ambienti reali - sono invece espressamente escluse dall'esenzione e rimangono soggette al regolamento.