Testo dell'articoloVigente
Art. 1 Reg. (UE) 2024/1689 – Oggetto
Regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio del 13 giugno 2024 che stabilisce regole armonizzate sull’intelligenza artificiale (regolamento sull’intelligenza artificiale)
1. Lo scopo del presente regolamento è migliorare il funzionamento del mercato interno e promuovere la diffusione di un'intelligenza artificiale (IA) antropocentrica e affidabile, garantendo nel contempo un livello elevato di protezione della salute, della sicurezza e dei diritti fondamentali sanciti dalla Carta dei diritti fondamentali dell’Unione europea, compresi la democrazia, lo Stato di diritto e la protezione dell'ambiente, contro gli effetti nocivi dei sistemi di IA nell'Unione, e promuovendo l'innovazione.
2. Il presente regolamento stabilisce:
a) regole armonizzate per l'immissione sul mercato, la messa in servizio e l'uso dei sistemi di IA nell'Unione;
b) divieti di talune pratiche di IA;
c) requisiti specifici per i sistemi di IA ad alto rischio e obblighi per gli operatori di tali sistemi;
d) regole di trasparenza armonizzate per determinati sistemi di IA;
e) regole armonizzate per l'immissione sul mercato di modelli di IA per finalità generali;
f) regole in materia di monitoraggio del mercato, vigilanza del mercato, governance ed esecuzione;
g) misure a sostegno dell'innovazione, con particolare attenzione alle PMI, comprese le start-up.
In sintesi
Indice dei contenuti
Il perché di una legge sull'intelligenza artificiale
L'AI Act nasce dalla consapevolezza che i sistemi di IA, per le loro caratteristiche di autonomia, opacità e pervasività, richiedono un quadro normativo specifico che i regolamenti generali - incluso il GDPR - non sono in grado di fornire da soli. Il legislatore europeo ha scelto un approccio basato sul rischio: non una regolamentazione uniforme per tutti i sistemi, ma obblighi proporzionati alla pericolosità potenziale dell'applicazione concreta.
L'art. 1 enuncia gli obiettivi e la struttura del regolamento. È una disposizione programmatica, ma ha un peso interpretativo fondamentale: ogni volta che si deve qualificare un sistema, classificarne il rischio o valutare un obbligo, si torna a questo articolo per verificare che l'interpretazione sia coerente con il duplice mandato di proteggere i diritti fondamentali e promuovere l'innovazione.
La struttura del regolamento in sette pilastri
L'art. 1, paragrafo 2, elenca sette categorie di norme che il regolamento introduce. Vale la pena leggerle come una mappa operativa:
Chi è soggetto al regolamento
Il regolamento si applica a due categorie principali di operatori, con una distinzione che attraversa ogni singolo obbligo: il fornitore (chi sviluppa o immette sul mercato un sistema di IA, anche se stabilito fuori dall'UE, purché il sistema sia usato nell'UE) e il deployer (chi usa un sistema di IA sotto la propria responsabilità, in un contesto professionale). Questa distinzione è cruciale: gli obblighi di conformità tecnica, documentazione e valutazione gravano principalmente sul fornitore; gli obblighi di uso corretto, sorveglianza umana e informazione agli utenti gravano principalmente sul deployer.
Un'impresa può essere al tempo stesso fornitore e deployer (quando usa internamente un sistema che ha sviluppato) oppure soltanto deployer (quando acquista o integra un sistema di terzi). La qualificazione corretta è il primo passo operativo per ogni analisi di conformità.
Il coordinamento con il GDPR e il diritto vigente
L'AI Act non sostituisce il GDPR: i sistemi di IA che trattano dati personali restano soggetti al Regolamento (UE) 2016/679. I due strumenti si affiancano e si integrano. In molti casi - si pensi ai sistemi biometrici, ai sistemi di profilazione o ai sistemi decisionali automatizzati - le valutazioni richieste dall'AI Act (in particolare la valutazione d'impatto sui diritti fondamentali per l'alto rischio) si sovrappongono alla DPIA del GDPR. Le autorità di protezione dei dati e le future autorità nazionali sull'IA dovranno coordinarsi.
Analogamente, il regolamento si affianca alla disciplina di prodotto: per i sistemi di IA incorporati in prodotti già regolamentati (macchinari, dispositivi medici, veicoli), l'AI Act aggiunge uno strato di requisiti che si integra con le direttive di settore richiamate nell'Allegato I.
Applicazione scaglionata: le date da tenere a mente
L'art. 113 scandisce un'entrata in vigore progressiva. Per chi deve organizzare la conformità, le date rilevanti sono:
La scansione temporale non esenta le imprese dal prepararsi per tempo: i processi di valutazione della conformità, la predisposizione della documentazione tecnica e l'adeguamento dei sistemi di gestione della qualità richiedono mesi di lavoro.
Perché questo articolo è rilevante per le imprese
L'art. 1 fissa il perimetro applicativo e gli obiettivi del regolamento. Ogni impresa che sviluppa, commercializza o utilizza sistemi di IA nell'UE deve partire da qui per rispondere alle domande fondamentali: il mio sistema rientra nell'ambito di applicazione? Sono fornitore, deployer o entrambi? Quale livello di rischio si applica? Quali sono le scadenze di conformità che mi riguardano? Senza rispondere a queste domande, qualsiasi piano di conformità è privo di fondamenta.
Casi pratici
Caso 1:
Caso 2:
Caso 3:
Domande frequenti
L'AI Act si applica anche alle imprese non europee?
Sì. Il regolamento si applica ai fornitori stabiliti fuori dall'UE quando i loro sistemi di IA sono immessi sul mercato dell'Unione o i loro output sono usati nell'UE. Un'impresa americana o asiatica che vende o offre sistemi di IA a clienti europei è soggetta all'AI Act esattamente come un fornitore europeo.
Qual è la differenza tra fornitore e deployer?
Il fornitore sviluppa o immette sul mercato un sistema di IA. Il deployer lo utilizza sotto la propria responsabilità in un contesto professionale. Gli obblighi di conformità tecnica (documentazione, valutazione, marcatura CE) gravano sul fornitore; gli obblighi di uso corretto, sorveglianza umana e informazione agli utenti gravano sul deployer. Un'impresa può essere entrambi.
Dal quando si applicano le regole dell'AI Act?
L'applicazione è scaglionata: i divieti dell'art. 5 si applicano dal 2 febbraio 2025; le norme sui modelli GPAI dal 2 agosto 2025; la maggior parte degli obblighi per i sistemi ad alto rischio dal 2 agosto 2026. L'art. 113 disciplina il calendario completo.
L'AI Act sostituisce il GDPR per i sistemi che trattano dati personali?
No. L'AI Act e il GDPR si affiancano. Un sistema di IA che tratta dati personali deve rispettare entrambi i regolamenti. In molti casi - profilazione, sistemi biometrici, decisioni automatizzate - le valutazioni richieste dai due strumenti si sovrappongono e devono essere coordinate.
Le PMI hanno regole semplificate?
L'art. 1 menziona esplicitamente le PMI e le start-up tra i destinatari delle misure di sostegno all'innovazione. Il regolamento prevede riduzioni delle tariffe per organismi notificati, accesso agli spazi di sperimentazione normativa (sandbox) e supporto specifico. Tuttavia gli obblighi sostanziali di conformità si applicano a tutte le imprese, indipendentemente dalle dimensioni.