La Legge IA dell'UE in pratica: una guida alla compliance 2026 per le aziende

Per due anni, la Legge IA dell'UE era qualcosa che le aziende potevano permettersi di osservare da lontano. Quel periodo è finito. Il divieto delle pratiche proibite è in vigore dall'inizio del 2025, gli obblighi per i modelli IA di uso generale sono seguiti nell'agosto 2025, e l'agosto 2026 segna la pietra miliare principale: la maggior parte dei requisiti per sistemi ad alto rischio diventa applicabile. Le multe arrivano a decine di milioni di euro o a una percentuale del fatturato globale — qualunque sia maggiore.

E crucialmente: la Legge si applica a qualsiasi azienda i cui sistemi IA toccano il mercato UE o gli utenti UE, indipendentemente da dove ha sede l'azienda. Se vendi in Europa, questa è anche la tua regolamentazione.

La prima domanda: come è classificata la tua IA?

Tutto nella Legge IA deriva dalla classificazione del rischio. Ci sono quattro livelli, e la maggior parte del carico di compliance si trova in uno di essi.

Le pratiche proibite — scoring sociale, tecniche manipolative che causano danno, scraping non mirato di immagini facciali, riconoscimento delle emozioni sul posto di lavoro e nelle scuole — sono semplicemente vietate. Se qualcosa nel tuo stack somiglia a queste, deve fermarsi, non essere documentato.

I sistemi ad alto rischio sono dove si trova il lavoro reale. La categoria copre l'IA usata nelle assunzioni e nella gestione dei lavoratori, nel credit scoring e nella tariffazione assicurativa, nell'istruzione, nelle infrastrutture critiche, nei contesti di law enforcement, e l'IA che è un componente di sicurezza di prodotti regolamentati. Se la tua piattaforma HR filtra i CV con l'IA, o il tuo prodotto di prestito usa l'IA nelle decisioni di affidabilità creditizia, è molto probabile che tu rientri nell'ambito.

I sistemi a rischio limitato — chatbot, contenuto generato dall'IA, deepfake — comportano doveri di trasparenza: gli utenti devono sapere che stanno interagendo con l'IA, e il contenuto sintetico deve essere dichiarato.

I sistemi a rischio minimo — filtri spam, motori di raccomandazione, la maggior parte degli strumenti interni di produttività — non affrontano nuovi obblighi.

Cosa richiede davvero l'alto rischio

Se un sistema è ad alto rischio, la Legge si aspetta una disciplina di gestione della qualità funzionante attorno a esso, non un raccoglitore di documenti. In pratica ciò significa: un sistema di gestione del rischio che funzioni per tutto il ciclo di vita, non una volta al lancio; governance dei dati che dimostri che i dati di addestramento sono pertinenti, rappresentativi, ed esaminati per i bias; documentazione tecnica e logging sufficienti perché un revisore possa ricostruire cosa ha fatto il sistema e perché; supervisione umana che sia reale — una persona con l'autorità e le informazioni per intervenire, non un timbro di gomma; e test dimostrati di accuratezza e robustezza prima e dopo il deployment.

Le trappole che vediamo più spesso

"Usiamo solo l'IA di un fornitore, quindi è un problema loro." Sbagliato. Chi distribuisce ha i propri obblighi — supervisione, monitoraggio, uso appropriato. E se modifichi sostanzialmente un sistema o ci metti il tuo brand sopra, puoi ereditare interamente gli obblighi del fornitore.

Shadow AI. I team che adottano strumenti IA senza visibilità centrale significa che non puoi nemmeno produrre un inventario accurato — che è la prima cosa che qualsiasi regolatore o cliente enterprise chiederà.

Trattare la classificazione come un'operazione unica. I sistemi evolvono. Uno strumento interno a rischio minimo che inizia a influenzare le decisioni di assunzione diventa ad alto rischio il giorno in cui il suo output conta.

Un piano pragmatico di 90 giorni

Settimane 1–4: inventario. Catalogo ogni sistema IA in uso o sviluppo — incluse gli strumenti di fornitori e quella macro di foglio di calcolo che qualcuno ha collegato a un LLM. Classifica ciascuno secondo i livelli di rischio.

Settimane 5–8: analisi del gap sull'insieme ad alto rischio. Per ogni sistema nell'ambito, mappa la pratica attuale contro i requisiti. La maggior parte delle aziende trova che il logging e il design della supervisione umana sono i gap più grandi.

Settimane 9–12: chiudi i gap critici e assegna la responsabilità. La compliance che nessuno possiede decade. Nomina un owner responsabile per sistema e integra i controlli nel tuo processo di rilascio.

Un'altra cosa da sapere: la regolamentazione sta convergendo globalmente. Il quadro UE sta diventando il modello de facto, e dimostrare la prontezza alla Legge IA è sempre più un asset commerciale nel procurement enterprise — non solo uno scudo legale.