Art. 1 Reg. (UE) 2024/1689 — Oggetto

Il perché di una legge sull'intelligenza artificiale

L'AI Act nasce dalla consapevolezza che i sistemi di IA, per le loro caratteristiche di autonomia, opacità e pervasività, richiedono un quadro normativo specifico che i regolamenti generali — incluso il GDPR — non sono in grado di fornire da soli. Il legislatore europeo ha scelto un approccio basato sul rischio: non una regolamentazione uniforme per tutti i sistemi, ma obblighi proporzionati alla pericolosità potenziale dell'applicazione concreta.

L'art. 1 enuncia gli obiettivi e la struttura del regolamento. È una disposizione programmatica, ma ha un peso interpretativo fondamentale: ogni volta che si deve qualificare un sistema, classificarne il rischio o valutare un obbligo, si torna a questo articolo per verificare che l'interpretazione sia coerente con il duplice mandato di proteggere i diritti fondamentali e promuovere l'innovazione.

La struttura del regolamento in sette pilastri

L'art. 1, paragrafo 2, elenca sette categorie di norme che il regolamento introduce. Vale la pena leggerle come una mappa operativa:

• Regole armonizzate per immissione sul mercato e uso (lett. a): si applica a chiunque sviluppi, commercializzi o utilizzi sistemi di IA nell'UE, indipendentemente dal luogo di stabilimento del fornitore.
• Divieti (lett. b): pratiche vietate in assoluto, come il social scoring generalizzato o certi usi biometrici. In vigore dal 2 febbraio 2025.
• Requisiti per i sistemi ad alto rischio (lett. c): la parte più densa del regolamento, con obblighi di conformità, documentazione tecnica, registri, valutazione della conformità. In vigore dal 2 agosto 2026 per la maggior parte delle categorie.
• Regole di trasparenza (lett. d): obbligo di informare gli utenti quando interagiscono con un sistema di IA, come un chatbot o un sistema di generazione di contenuti sintetici.
• Regole GPAI (lett. e): modelli come GPT, Gemini, Claude e simili devono rispettare obblighi di documentazione, copyright e — se superano la soglia di rischio sistemico definita all'art. 51 — ulteriori requisiti. In vigore dal 2 agosto 2025.
• Governance e vigilanza (lett. f): istituzione dell'Ufficio per l'IA della Commissione, delle autorità nazionali, del Comitato europeo per l'IA.
• Misure per l'innovazione (lett. g): sandbox normative, regimi semplificati per le PMI, riduzione degli oneri amministrativi per le start-up.

Chi è soggetto al regolamento

Il regolamento si applica a due categorie principali di operatori, con una distinzione che attraversa ogni singolo obbligo: il fornitore (chi sviluppa o immette sul mercato un sistema di IA, anche se stabilito fuori dall'UE, purché il sistema sia usato nell'UE) e il deployer (chi usa un sistema di IA sotto la propria responsabilità, in un contesto professionale). Questa distinzione è cruciale: gli obblighi di conformità tecnica, documentazione e valutazione gravano principalmente sul fornitore; gli obblighi di uso corretto, sorveglianza umana e informazione agli utenti gravano principalmente sul deployer.

Un'impresa può essere al tempo stesso fornitore e deployer (quando usa internamente un sistema che ha sviluppato) oppure soltanto deployer (quando acquista o integra un sistema di terzi). La qualificazione corretta è il primo passo operativo per ogni analisi di conformità.

Il coordinamento con il GDPR e il diritto vigente

L'AI Act non sostituisce il GDPR: i sistemi di IA che trattano dati personali restano soggetti al Regolamento (UE) 2016/679. I due strumenti si affiancano e si integrano. In molti casi — si pensi ai sistemi biometrici, ai sistemi di profilazione o ai sistemi decisionali automatizzati — le valutazioni richieste dall'AI Act (in particolare la valutazione d'impatto sui diritti fondamentali per l'alto rischio) si sovrappongono alla DPIA del GDPR. Le autorità di protezione dei dati e le future autorità nazionali sull'IA dovranno coordinarsi.

Analogamente, il regolamento si affianca alla disciplina di prodotto: per i sistemi di IA incorporati in prodotti già regolamentati (macchinari, dispositivi medici, veicoli), l'AI Act aggiunge uno strato di requisiti che si integra con le direttive di settore richiamate nell'Allegato I.

Applicazione scaglionata: le date da tenere a mente

L'art. 113 scandisce un'entrata in vigore progressiva. Per chi deve organizzare la conformità, le date rilevanti sono:

• 2 febbraio 2025: applicazione dei divieti (art. 5). Chi utilizzava pratiche oggi vietate avrebbe dovuto cessarle.
• 2 agosto 2025: applicazione delle norme GPAI (artt. 51-56) e delle disposizioni di governance.
• 2 agosto 2026: applicazione degli obblighi principali per i sistemi ad alto rischio elencati nell'Allegato III.
• Per i sistemi di IA che sono componenti di sicurezza di prodotti soggetti a normativa di armonizzazione UE (Allegato I, sezione A), alcune disposizioni si applicano a partire dal 2027.

La scansione temporale non esenta le imprese dal prepararsi per tempo: i processi di valutazione della conformità, la predisposizione della documentazione tecnica e l'adeguamento dei sistemi di gestione della qualità richiedono mesi di lavoro.

Perché questo articolo è rilevante per le imprese

L'art. 1 fissa il perimetro applicativo e gli obiettivi del regolamento. Ogni impresa che sviluppa, commercializza o utilizza sistemi di IA nell'UE deve partire da qui per rispondere alle domande fondamentali: il mio sistema rientra nell'ambito di applicazione? Sono fornitore, deployer o entrambi? Quale livello di rischio si applica? Quali sono le scadenze di conformità che mi riguardano? Senza rispondere a queste domande, qualsiasi piano di conformità è privo di fondamenta.